Guia de Solicitação de Dados Policiais e Governamentais do X (Twitter)

Como a polícia autorizada solicita dados de utilizadores do X (Twitter): portal de pedidos legais, níveis de dados, pedidos de emergência e via MLAT.

O X (anteriormente Twitter), operado pela X Corp. e com sede em Bastrop, Texas, é um tema recorrente em investigações que envolvem contas de representação falsa, assédio online, ameaças credíveis, promoção de criptomoedas e fraude de investimento, e operações de influência estrangeira. Como o X permite registos sob pseudónimo e anónimos, os registos de back-end da plataforma — e-mail de registo, número de telefone, histórico de IP de início de sessão e impressões digitais do dispositivo — são frequentemente o único fio condutor disponível para ligar um agente online a uma identidade real. Este guia cobre o processo legal através do qual as agências de aplicação da lei e governamentais autorizadas obtêm esses registos junto da X Corp.

Resposta rápida

Portal, não e-mail: Submeta através do site Legal Request Submissions (LRS) do X em legalrequests.x.com; apenas funcionários governamentais e de aplicação da lei podem aceder ao mesmo. Submissões por correio postal são aceites, mas são significativamente mais lentas.
Identificadores aceites: @nome_de_utilizador com o URL completo do perfil (por exemplo, https://x.com/username), o ID de utilizador (UID) numérico permanente da conta, ou um URL de um Tweet para ancorar um pedido de conteúdo específico.
Dados fornecidos: uma intimação (subpoena) fornece informações básicas do assinante (e-mail de registo, telefone, IP de registo, IPs de início de sessão recentes); uma ordem judicial acrescenta registos de atividade que não são conteúdo; um mandado de busca ou equivalente é necessário para conteúdo — mensagens diretas e publicações protegidas.

Identificadores para um pedido de dados

Cada pedido deve identificar a conta alvo com precisão. O X aceita os seguintes identificadores:

@nome_de_utilizador e URL do perfil — por exemplo, https://x.com/username. Os nomes de utilizador podem ser alterados; sempre que possível, forneça também o UID numérico.
ID de utilizador numérico (UID) — o identificador interno permanente do X. Não muda, mesmo que o utilizador altere o seu nome de utilizador. Ferramentas públicas gratuitas podem converter um nome de utilizador para o seu UID utilizando a API pública do X.
URL do Tweet — utilizado para identificar uma publicação específica para pedidos de conteúdo ou metadados associados.
E-mail de registo ou número de telefone — inclua se conhecido; ajuda a encontrar contas onde o nome de utilizador é contestado ou foi alterado.

Que dados o X fornece

O X aplica uma estrutura de divulgação de três níveis, baseada no nível do processo legal apresentado:

Processo legal	O que o X pode divulgar
Intimação (Subpoena) (ou equivalente)	Informações básicas do assinante: endereço de e-mail registado, número de telefone, data de criação da conta e endereço IP, endereços IP de início de sessão recentes e carimbos de data/hora.
Ordem judicial (por exemplo, 18 U.S.C. § 2703(d) ou equivalente)	O acima referido, mais registos adicionais de atividade da conta e dados transacionais que não são conteúdo: histórico de início de sessão, identificadores de dispositivo e aplicação, tipo de navegador, domínio de referência.
Mandado de busca (ou ordem judicial equivalente que demonstre causa provável)	Conteúdo das comunicações: publicações (incluindo publicações protegidas/não públicas), mensagens diretas e multimédia associada. O conteúdo requer sempre um mandado ou equivalente.

Nota sobre retenção: Os dados de IP e de registo são voláteis. A atual Política de Privacidade do X não se compromete com um período de retenção fixo para dados de registo, e qualquer registo específico pode estar disponível apenas por um período limitado — não assuma que os registos de IP ou de início de sessão ainda existirão quando apresentar o pedido. Os períodos de retenção aplicados pelo X estão definidos na sua Política de Privacidade atual. Apresente um pedido de preservação imediatamente para bloquear os registos antes que estes expirem.

Como submeter um pedido

O canal padrão é o portal Legal Request Submissions do X em legalrequests.x.com — o endereço que o X publica na sua orientação atual para a aplicação da lei. O endereço legado legalrequests.twitter.com redireciona para o mesmo site. Apenas agências governamentais e funcionários de aplicação da lei podem criar contas no site LRS.

Navegue até legalrequests.x.com e confirme que detém autoridade governamental ou de aplicação da lei.
Introduza o seu endereço de e-mail oficial da agência. Domínios de e-mail pessoais ou comerciais são rejeitados. Um link de autorização é enviado para esse endereço para verificar a identidade antes da submissão.
Selecione o tipo de pedido: informações da conta, remoção de conteúdo ou divulgação de emergência.
Anexe o documento do processo legal — intimação, ordem judicial ou mandado de busca — como um PDF. Documentos que não estejam em inglês devem incluir uma tradução certificada.
Indique o(s) identificador(es) da conta alvo, especifique os dados exatos pretendidos e explique a ligação com a sua investigação. Pedidos vagos ou demasiado abrangentes têm maior probabilidade de serem devolvidos para esclarecimento.
Forneça o nome da sua agência, o seu nome, número de identificação ou crachá e detalhes de contacto oficiais.

Os pedidos de preservação podem ser apresentados através do mesmo portal sem uma ordem judicial. O X preservará — mas não divulgará — uma cópia dos registos da conta relevante durante 90 dias, renovável uma vez por mais 90 dias mediante um pedido formal por escrito. Apresente o pedido de preservação o mais cedo possível em qualquer investigação que envolva registos de IP ou histórico de início de sessão.

Pedidos de divulgação de emergência

Quando existe um risco iminente de morte ou lesão física grave, as autoridades podem submeter um pedido de divulgação de emergência (EDR) através do mesmo portal LRS em legalrequests.x.com. Não é necessária uma ordem judicial prévia. O X avalia cada EDR caso a caso: se tiver uma crença de boa-fé de que existe uma emergência urgente, pode divulgar os dados da conta necessários para evitar o dano, conforme permitido pela lei aplicável.

Cada pedido de emergência deve:

Vir de um funcionário de aplicação da lei juramentado utilizando um domínio de e-mail oficial do governo ou de aplicação da lei.
Descrever a natureza da emergência, a ameaça específica à vida e por que razão os dados do X são necessários para a resolver.
Identificar a(s) conta(s) alvo e especificar os dados necessários.

A submissão de pedidos de emergência falsos ou enganosos pode constituir um crime na jurisdição requerente.

Para a Índia

As agências indianas que investigam contas do X enfrentam uma restrição de acesso a dados transfronteiriços: a X Corp. é uma entidade dos EUA, e o processo legal interno indiano não obriga automaticamente uma empresa estrangeira da mesma forma que obriga um intermediário registado internamente.

O que a lei indiana prevê internamente:

BNSS 2023, Secção 94: Os tribunais e os funcionários responsáveis por uma esquadra de polícia podem emitir uma intimação — física ou eletrónica — obrigando qualquer pessoa a produzir um documento, comunicação eletrónica ou outro item necessário para a investigação ou julgamento. Uma ordem da Secção 94 dirigida à X Corp. constitui um processo legal indiano válido; no entanto, a X Corp. não tem qualquer obrigação ao abrigo da lei dos EUA de a cumprir como faria com uma ordem judicial dos EUA.
IT Rules 2021, Regra 3(1): Os intermediários significativos de redes sociais — incluindo o X — devem observar as obrigações de diligência devida e responder às ordens governamentais dentro dos prazos prescritos. A Regra 3(1)(d) rege as ordens governamentais de remoção de conteúdo.
IT Act 2000, Secção 69: Autoriza as agências governamentais centrais e estatais a intercetar, monitorizar ou desencriptar informações através de qualquer recurso informático por motivos de segurança nacional, ordem pública ou relacionados.

Vias práticas para agências indianas:

Pedido direto ao portal (sem conteúdo): As autoridades responsáveis pela aplicação da lei na Índia podem submeter pedidos de informações básicas de subscritores através de legalrequests.x.com, anexando uma ordem judicial traduzida e certificada ou um pedido policial notariado como base legal. O X avalia estes pedidos de acordo com as suas próprias diretrizes; o cumprimento não é garantido, mas ocorre na prática para dados que não sejam de conteúdo.
Via MLAT (conteúdo e cumprimento obrigatório): Para mensagens diretas, publicações protegidas, ou quando o X recusa um pedido direto, o canal formal é um pedido de Tratado de Assistência Jurídica Mútua (MLAT). A Índia e os Estados Unidos possuem um MLAT bilateral, em vigor desde 2005. Os pedidos são encaminhados através do Ministério dos Assuntos Internos (MHA) para o Departamento de Justiça dos EUA (DOJ). O processo demora normalmente vários meses a mais de um ano; submeta um pedido de preservação através do portal ao mesmo tempo para reter os dados.
CLOUD Act: A Índia ainda não concluiu um acordo executivo do CLOUD Act com os Estados Unidos. Assim que tal acordo estiver em vigor, as agências indianas poderão enviar pedidos legalmente vinculativos diretamente aos fornecedores dos EUA para obter dados de conteúdo, contornando o MLAT. Até lá, o MLAT continua a ser a via formal obrigatória para conteúdo.

O que irá precisar

Um endereço de e-mail oficial do governo ou das autoridades responsáveis pela aplicação da lei (pedidos provenientes de domínios de e-mail pessoais são rejeitados pelo portal).
O @nome de utilizador, URL de perfil e/ou UID numérico da conta alvo.
Uma descrição da investigação, os dados específicos solicitados e a ligação entre ambos — pedidos genéricos ou sem fundamentação são devolvidos para esclarecimento.
O documento de processo legal apropriado (intimação, ordem judicial ou mandado de busca) em formato PDF.
Para documentos que não estejam em inglês: uma tradução certificada para inglês.
O nome da sua agência, o seu nome, número de identificação ou crachá e detalhes de contacto oficiais.

O utilizador será informado?

A política padrão do X é notificar o titular da conta antes de divulgar os seus dados. Aplicam-se exceções quando a notificação é legalmente proibida (por exemplo, por uma ordem de não divulgação emitida por um tribunal), quando comprometeria uma investigação em curso ou quando colocaria uma pessoa em risco. Se a sua investigação exigir uma notificação atrasada ou suprimida, indique-o explicitamente no pedido e cite a base legal.

Ver também

Centro de portal LERS — todos os guias de pedidos de dados para autoridades num só lugar
Guia LERS plataforma por plataforma — WhatsApp, Instagram, TikTok, Telegram e mais

Fontes

Ver também: Pedidos de Preservação e de Emergência do X (Twitter): Modelo para a Polícia.