Chega uma intimação sobre um dos seus usuários: o que um operador de classificados nos Estados Unidos realmente precisa entregar
A ligação que não é uma intimação
Chega um e-mail de um departamento de polícia perguntando sobre a conta de um anunciante: nome, endereço IP, as mensagens ligadas a um anúncio. Nada na mensagem diz qual lei exige uma resposta, apenas que quem escreve é detetive e o caso é real. A maioria dos operadores faz uma de duas coisas nesse momento, e ambas são erros. Entregam tudo o que o painel mostra porque recusar parece deixar a empresa com cara de cúmplice, ou recusam tudo porque entregar qualquer coisa parece um risco sem nenhuma vantagem. Nenhuma das duas respostas depende do que a lei realmente exige, e é nessa lacuna que um diretório bem administrado se mete em problemas.
Um distintivo, uma ligação e um e-mail de um endereço governamental não são, por si só, um processo legal. Nenhuma lei americana obriga um provedor a divulgar os dados de um usuário só porque um agente pediu, e tratar todo pedido como automaticamente válido é exatamente o instinto que leva a divulgar mais do que qualquer tribunal realmente autorizou. O que obriga a divulgação é um instrumento específico: uma intimação, uma ordem judicial emitida sob uma disposição específica da lei federal, ou um mandado. Cada um alcança uma fatia diferente e precisamente definida do que um diretório guarda, e nenhum é intercambiável com os outros.
A única situação em que entregar dados sem nenhum desses instrumentos é legal é estreita, e vale a pena conhecê-la com exatidão, porque os operadores ou esquecem que ela existe ou a esticam para cobrir casos para os quais nunca foi pensada. Segundo o 18 U.S.C. § 2702(b), um provedor pode divulgar voluntariamente registros, e até o conteúdo de comunicações, a uma entidade governamental se acreditar de boa-fé que uma emergência envolvendo perigo de morte ou lesão física grave exige divulgação sem demora. É uma exceção para emergências reais: um anúncio que se lê como uma ameaça iminente à segurança de alguém, não uma investigação que poderia perfeitamente esperar uma semana pela papelada.
Fora desse único caso, o primeiro passo correto é o mesmo, não importa quem esteja perguntando: exigir o pedido por escrito, confirmar que ele nomeia o instrumento legal real por trás dele, e encaminhá-lo a uma única pessoa dentro da empresa, idealmente a mesma pessoa ou advogado que já cuida das outras obrigações de conformidade da plataforma, em vez de quem quer que tenha aberto o e-mail por acaso. Tudo o que segue depende de saber qual instrumento se tem em mãos antes de decidir a que ele realmente dá direito a quem o apresenta.
O que uma intimação sozinha pode alcançar, e o que não pode
Uma intimação é o instrumento mais fraco dessa hierarquia, e também é aquele com o qual os operadores mais frequentemente cumprem além do exigido. Segundo o 18 U.S.C. § 2703(c)(2), uma intimação pode obrigar a divulgação do que a lei chama de informações básicas do assinante: nome, endereço, registros de sessão e conexão ou sua duração, duração e tipo de serviço, qualquer identificador de assinante ou dispositivo, incluindo um endereço de rede atribuído temporariamente, e o meio ou a fonte de pagamento do serviço, incluindo número de cartão de crédito ou conta bancária. Essa é a lista inteira. Ela não inclui o conteúdo de uma mensagem, a descrição de um anúncio ou uma foto, não importa como o pedido esteja redigido.
Isso importa porque uma intimação é relativamente fácil de obter: não exige que um juiz avalie provas como um mandado exige, e é o instrumento que aparece com mais frequência no curso comum de uma investigação, não só nas mais graves. Um diretório que trata uma intimação como autorização para entregar registros de mensagens ou documentos de verificação está cedendo mais do que a lei pediu, e cada documento extra entregue é mais uma coisa da qual a empresa terá que prestar contas depois, se um usuário, um regulador ou um tribunal algum dia perguntar por que ele saiu dos arquivos.
O conteúdo, ou seja, a substância do que um usuário realmente escreveu ou enviou, e não o simples fato de que uma conta existe, fica atrás de um patamar bem mais alto. Segundo o § 2703(a), conteúdo armazenado por 180 dias ou menos só pode ser exigido com um mandado, obtido sob o mesmo padrão de causa provável usado em qualquer outro caso criminal. O texto da lei trata de forma diferente o conteúdo armazenado por mais tempo, permitindo em teoria uma intimação ou uma ordem menor após aviso ao usuário, mas essa diferença no papel não reflete como o pedido realmente chega na prática.
Depois de uma decisão de um tribunal federal de apelação em 2010 e de uma mudança de política que se seguiu, os promotores federais americanos adotaram uma prática nacional de obter um mandado para conteúdo independentemente de há quanto tempo ele está armazenado, tratando na prática a distinção dos 180 dias prevista na lei como superada, mesmo que o texto em si nunca tenha sido reescrito. Na prática, se chega um pedido de algo parecido com conteúdo de mensagem sem um mandado anexado, esse é o sinal para perguntar qual instrumento está realmente por trás antes de produzir qualquer coisa, não para presumir que quem enviou já verificou.
Entre uma intimação e um mandado fica outro instrumento, uma ordem judicial sob o § 2703(d), que um juiz pode emitir com um patamar mais baixo do que causa provável: fatos específicos e articuláveis que mostrem motivos razoáveis para acreditar que os dados buscados são relevantes e pertinentes a uma investigação em andamento. Ainda exige recorrer a um juiz, o que a distingue de uma intimação emitida sem controle judicial, mas não alcança o conteúdo que só um mandado pode exigir. Saber qual dos três instrumentos está sobre a mesa, intimação, ordem ou mandado, decide o que um diretório deve entregar e o que não deve.
A carta de preservação que chega primeiro
Antes de qualquer intimação ou mandado, a maioria das investigações que tocam um diretório começa com algo mais discreto: um pedido de preservação sob o 18 U.S.C. § 2703(f). Nenhum tribunal está envolvido. Uma entidade governamental pede ao provedor que preserve dados específicos, e o provedor precisa congelar o que possui para que não seja sobrescrito, apagado ou eliminado pelo próprio calendário de retenção da plataforma enquanto o governo decide se vai pedir uma intimação, uma ordem ou um mandado.
O pedido em si não obriga a divulgação de nada: preservação e produção são duas etapas separadas, e um diretório que lê uma carta de preservação como uma exigência de entregar os dados imediatamente está fazendo mais do que a lei pediu, na mesma direção do zelo excessivo diante de uma simples intimação. O que o pedido de fato obriga é a retenção: a lei fixa o bloqueio em 90 dias, prorrogável uma vez por mais 90 dias se o governo renovar o pedido antes que o primeiro período termine.
Este é o momento em que as próprias práticas de dados de um diretório tornam o pedido simples, ou o transformam em uma corrida contra o tempo. Decidir com antecedência por quanto tempo guardar os documentos de verificação de identidade, os dados de pagamento e os registros de conta é o que determina se um bloqueio de 90 dias é trivial, porque os dados ficariam lá de qualquer forma, ou impossível, porque o calendário normal de exclusão da plataforma já os apagou antes de a carta chegar. Um pedido de preservação não pode ressuscitar dados que uma política de retenção já destruiu, e um provedor que não consegue honrar um bloqueio por causa de seus próprios hábitos de exclusão criou um problema para si mesmo, independente do que o governo fez.
A resposta prática é ter um processo documentado pronto antes que a primeira carta chegue: uma caixa de entrada ou contato único para o qual os pedidos de preservação vão, uma pessoa que verifica se o pedido realmente vem de uma entidade governamental, e uma forma de sinalizar a conta indicada para que as rotinas normais de exclusão a pulem durante o período de bloqueio. Nada disso exige um advogado para ser executado depois de projetado, mas projetar isso sem nunca ter lidado com um pedido real é muito mais fácil do que improvisar sob prazo apertado.
O dever que não tem nada a ver com um pedido
Tudo o que foi dito até aqui trata do que acontece quando o governo pede. Uma obrigação vai na direção oposta: um dever de denunciar, disparado pelo que a própria plataforma encontra, sem que nenhum pedido esteja envolvido. Segundo o 18 U.S.C. § 2258A, um provedor que obtém conhecimento efetivo de material que aparenta ser abuso sexual infantil em sua plataforma deve denunciá-lo à CyberTipline, administrada pelo National Center for Missing & Exploited Children, assim que for razoavelmente possível.
A lei é específica sobre o que dispara o dever e o que não dispara: exige uma denúncia assim que o provedor tem conhecimento efetivo, não uma obrigação geral de buscar, escanear ou monitorar anúncios para encontrar esse tipo de material. Um diretório não precisa manter seu próprio programa de detecção para cumprir essa lei, mas se um moderador, um chamado de suporte ou um alerta de um fornecedor de pagamentos ou de verificação trouxer à tona algo que pareça ser isso, o prazo de "assim que for razoavelmente possível" começa imediatamente, não quando a equipe achar tempo de revisar.
A consequência de errar nesse ponto mudou de forma substancial em 2024. O REPORT Act elevou o período de retenção exigido para uma denúncia e o material relacionado a ela dos antigos 90 dias para um ano inteiro, e elevou as penalidades civis por deixar de denunciar de forma consciente e deliberada para até 600.000 dólares na primeira infração e 850.000 dólares em uma subsequente, para um provedor com menos de 100 milhões de usuários mensais, categoria que cobre praticamente todo diretório de classificados. Notas de conformidade mais antigas que ainda citam um bloqueio de 90 dias ou os valores de penalidade anteriores a 2024 estão descrevendo uma lei que não existe mais nessa forma.
Esse dever fica ao lado, mas continua juridicamente distinto, da questão de responsabilidade da plataforma que determina se um operador pode ser responsabilizado criminalmente por facilitar o tráfico através de seus anúncios. Um diretório pode ser cuidadoso com o primeiro ponto e ainda assim falhar no segundo se não tiver um caminho funcional e testado que vá de quem percebe algo até quem de fato registra a denúncia, e esse caminho vale a pena ser testado antes de ser necessário, em vez de se descobrir que ele não funciona no meio de um caso real.
O que fazer, em ordem
Coloque uma única pessoa ou função no comando de todo contato com autoridades policiais, da mesma forma que um diretório designaria uma única pessoa responsável pela fila de estornos ou pelo calendário de exclusão de dados. Quem quer que receba a primeira ligação deve ter uma forma direta de repassá-la a essa pessoa, em vez de responder na hora.
Exija o instrumento por escrito antes de produzir qualquer coisa além de confirmar que uma conta existe, e leia-o pelo que ele realmente é: uma intimação, um pedido de preservação, uma ordem sob o § 2703(d), ou um mandado, cada um autorizando uma fatia de dados diferente e sem sobreposição. Se chegar um pedido de conteúdo de mensagens ou documentos de verificação sem um mandado anexado, esse é o sinal para perguntar o que está por trás, não para presumir que quem enviou já tem a papelada certa.
Registre todo pedido que chegar, resultando ou não na entrega de algo: a data, o órgão solicitante, o instrumento anexado, o que foi preservado ou entregue, e quem deu a aprovação. É a mesma disciplina que transforma uma disputa de pagamento ou uma reclamação de acesso a dados de uma lembrança vaga em um registro no qual a empresa pode realmente se apoiar depois.
Acerte o caminho de denúncia à CyberTipline antes que ele seja realmente necessário: saiba quem dentro da empresa tem de fato a autoridade e o acesso para registrar uma denúncia, e confirme que o período de retenção com o qual a equipe trabalha é o atual, um ano inteiro, e não os 90 dias já superados copiados de um documento de política antigo.
Acerte o contato de um advogado antes do dia em que uma intimação chegar, não depois. Nada neste artigo substitui aconselhamento jurídico sobre um pedido real, e o valor de tudo o que foi dito acima está em dizer a esse advogado, e ao operador, qual desses instrumentos está diante deles antes que qualquer um dos dois precise adivinhar.
