O modelo de interceção legal gerida — frequentemente promovido como «LI Compliance as a Service» — tem vindo a ganhar popularidade significativa entre os MVNO, os operadores de menor dimensão e os novos participantes no mercado que não dispõem dos recursos internos, dos conhecimentos especializados ou da escala necessários para construir e operar a sua própria infraestrutura de interceção. Neste modelo, um fornecedor especializado implementa, opera e mantém o sistema de interceção legal em nome da operadora, tratando de tudo, desde o processamento de mandados até à entrega de dados às autoridades policiais. As vantagens são evidentes: redução das despesas de capital, maior rapidez na obtenção da conformidade e acesso a conhecimentos especializados sem a necessidade de criar uma equipa interna dedicada à interceção legal.
No entanto, a externalização das operações de LI não implica a externalização da responsabilidade legal. O operador continua a ser legalmente responsável pelo cumprimento das obrigações de interceção, e qualquer falha por parte do prestador de serviços geridos repercute-se diretamente no operador. Isto torna o acordo de nível de serviço (SLA) entre o operador e o prestador de serviços geridos de LI um dos contratos mais importantes que o operador irá assinar. No entanto, muitos operadores — especialmente aqueles que são novos no domínio da LI — aceitam SLAs genéricos sem compreenderem plenamente o que precisam, o que devem exigir e onde residem os riscos reais.
Este artigo apresenta um guia detalhado sobre as disposições do SLA que os operadores devem exigir ao contratar serviços de LI geridos, com base nos requisitos práticos da operação em mercados europeus regulamentados.
O que inclui o serviço «Conformidade LI como Serviço»
A métrica mais importante do SLA para os serviços de LI geridos é o tempo de ativação do mandado — o tempo decorrido entre a receção de uma ordem de interceção válida e a ativação da interceção, bem como o início da entrega de dados às autoridades policiais. A regulamentação nacional especifica normalmente prazos máximos de ativação, que podem variar entre algumas horas e alguns dias úteis, dependendo da jurisdição e da urgência do caso.
O SLA deve especificar o tempo máximo de ativação para pedidos normais e urgentes, com definições claras do que constitui cada categoria. No caso dos pedidos urgentes — aqueles que exigem ativação imediata —, o SLA deve especificar a ativação no prazo de horas, e não de dias. O SLA deve também definir como é medido o tempo de ativação: a partir do momento em que a encomenda é recebida pelo prestador de serviços geridos, a partir do momento em que é validada ou a partir do momento em que o alvo é identificado na rede. Cada definição conduz a um tempo de ativação efetivo diferente, e o operador deve insistir numa definição que esteja em conformidade com as expectativas regulamentares.
As sanções por exceder o prazo de ativação devem ser significativas. Uma sanção financeira insignificante em relação ao valor do contrato oferece poucos incentivos para que o prestador cumpra a meta. Os operadores devem negociar sanções que reflitam a gravidade da obrigação — incluindo, em casos extremos, o direito de rescindir o contrato caso as metas relativas ao prazo de ativação sejam sistematicamente descumpridas.
Disponibilidade e tempo de funcionamento do sistema
O sistema LI deve estar disponível de forma contínua. Qualquer período de inatividade resulta na perda de dados de interceção, o que pode comprometer as investigações das autoridades policiais e expor o operador a sanções regulamentares. O SLA deve especificar uma meta mínima de disponibilidade — normalmente 99,9% ou superior — e deve definir como a disponibilidade é medida, incluindo se os períodos de manutenção planeados são excluídos do cálculo.
O SLA deve também definir o tempo de inatividade máximo aceitável para um único incidente e o tempo de inatividade acumulado máximo dentro de um período de medição. Um sistema que atinja uma disponibilidade anual de 99,9%, mas que sofra uma única interrupção de 8 horas, pode não satisfazer as necessidades do operador, mesmo que cumpra a meta agregada. Os operadores devem especificar metas de disponibilidade tanto agregadas como por incidente.
As disposições relativas à redundância e à comutação automática devem ser incluídas no SLA. O prestador de serviços geridos deve operar uma infraestrutura redundante com capacidades de comutação automática, e o SLA deve especificar o objetivo de tempo de recuperação (RTO) e o objetivo de ponto de recuperação (RPO) para diferentes cenários de falha. O operador deve verificar se a arquitetura de redundância do prestador é genuína — e não apenas um sistema em espera que requer intervenção manual para ser ativado.
Integralidade e qualidade dos dados
O SLA deve abordar a integridade e a qualidade dos dados intercetados. Isto inclui tanto o IRI como o CC. A integridade do IRI significa que todos os eventos de metadados exigidos são gerados para cada comunicação intercetada, com todos os campos de dados obrigatórios preenchidos com precisão. A integridade do CC significa que o conteúdo de cada comunicação intercetada é capturado e transmitido sem lacunas, perdas ou corrupção.
Avaliar a integridade dos dados num ambiente LI gerido pode ser um desafio, uma vez que o operador pode não ter visibilidade direta sobre o processo de interceção. O SLA deve, por isso, incluir disposições relativas a auditorias de qualidade regulares, nas quais o operador ou uma entidade terceira independente verifique a integridade e a exatidão dos dados interceitados, comparando-os com cenários de teste de referência. A frequência e a metodologia destas auditorias devem ser especificadas no SLA.
Os problemas de qualidade dos dados identificados durante as auditorias ou comunicados pelas autoridades responsáveis pela aplicação da lei devem estar sujeitos a processos e prazos de correção definidos. O SLA deve especificar o prazo máximo para que o prestador de serviços geridos investigue e resolva os problemas de qualidade dos dados, e deve incluir procedimentos de escalonamento para problemas de qualidade persistentes ou graves.
Segurança e confidencialidade
O prestador de serviços geridos trata alguns dos dados mais sensíveis de toda a atividade da operadora. O SLA deve incluir disposições de segurança abrangentes que cubram a proteção dos dados interceptados, a confidencialidade das interceções em curso e a segurança do pessoal e das infraestruturas do prestador de serviços geridos.
Os requisitos específicos de segurança devem incluir a encriptação de dados em repouso e em trânsito, o controlo de acesso baseado em funções com autenticação multifator, a segurança física dos centros de dados e dos equipamentos, a verificação de antecedentes do pessoal e os requisitos de habilitação de segurança, bem como procedimentos de resposta a incidentes em caso de violações de segurança. O SLA deve exigir que o prestador de serviços geridos cumpra as normas de segurança relevantes — tais como a ISO 27001 — e deve incluir o direito de o operador realizar auditorias de segurança ou exigir que o prestador se submeta a avaliações de segurança independentes.
As disposições relativas à confidencialidade são particularmente importantes no contexto do LI. O prestador de serviços geridos não deve revelar a existência de qualquer interceção a qualquer parte que não seja autorizada a ter conhecimento da mesma. O SLA deve incluir obrigações específicas de confidencialidade que se estendam a todo o pessoal do prestador com acesso ao sistema LI e deve especificar as consequências de uma violação da confidencialidade.
Conformidade regulamentar e apresentação de relatórios
As obrigações regulamentares do operador não são transferidas para o prestador de serviços geridos. O SLA deve definir claramente as responsabilidades de cada parte no que diz respeito à conformidade regulamentar e deve incluir disposições que garantam que a operadora possa cumprir as suas obrigações de prestação de contas e de auditoria. Isto inclui a obrigação do prestador de serviços geridos de manter registos de auditoria completos, de fornecer regularmente relatórios de conformidade à operadora e de apoiar a operadora durante inspeções ou auditorias regulamentares.
O SLA deve também abordar a obrigação do prestador de se manter a par das alterações regulamentares. À medida que os requisitos nacionais em matéria de LI evoluem — novas especificações técnicas, requisitos processuais atualizados, alterações às obrigações de conservação de dados —, o prestador de serviços geridos deve atualizar os seus sistemas e processos em conformidade. O SLA deve especificar prazos para a implementação das atualizações regulamentares e deve incluir disposições que obriguem o prestador a notificar o operador sobre as alterações futuras e as suas implicações.
Disposições transitórias e finais
Um dos aspetos mais negligenciados dos SLA de LI geridos é a estratégia de saída. Os operadores devem ter em conta o que acontece quando o contrato termina — seja por expiração, rescisão ou transição para um prestador diferente. O SLA deve incluir disposições detalhadas sobre a transição, abrangendo a transferência das interceções ativas para um novo sistema, a entrega de dados históricos e registos de auditoria, o calendário da transição e a obrigação do prestador de serviços geridos de continuar a operar durante o período de transição.
O risco de dependência é uma preocupação legítima no que diz respeito aos serviços de LI geridos. Os operadores devem avaliar a portabilidade dos seus dados e configurações de LI e devem negociar cláusulas do SLA que minimizem essa dependência. Isto inclui o direito de aceder e exportar todos os dados em formatos padrão, a disponibilidade da documentação e das informações de configuração necessárias para a transição, bem como prazos de pré-aviso e prazos de transição razoáveis.
Gestão de incidentes e escalamento
O SLA deve definir procedimentos claros de gestão de incidentes e de escalamento. Os diferentes tipos de incidentes — interrupções do sistema, problemas de qualidade dos dados, incidentes de segurança, incumprimento de metas de ativação — devem ter níveis de gravidade, tempos de resposta e percursos de escalamento definidos. Os procedimentos de escalamento devem incluir contactos designados, tanto do operador como do prestador de serviços geridos, com canais de comunicação definidos e obrigações de resposta para cada nível de gravidade.
As reuniões periódicas de análise do serviço devem ser previstas no SLA, proporcionando um fórum para debater o desempenho em relação às metas do SLA, analisar os incidentes e a sua resolução e planear alterações ou melhorias futuras. A frequência destas reuniões deve ser, pelo menos, mensal, devendo ser realizadas análises adicionais sempre que ocorram incidentes significativos ou desvios de desempenho.
Conclusão
O serviço «Compliance as a Service» da LI oferece vantagens significativas para os operadores que não dispõem dos recursos ou dos conhecimentos especializados necessários para criar e operar a sua própria infraestrutura de interceção. No entanto, o sucesso do modelo de serviço gerido depende inteiramente da qualidade e da exaustividade do SLA. As operadoras devem exigir SLAs que abordem o tempo de ativação de mandados, a disponibilidade do sistema, a integridade dos dados, a segurança, a conformidade regulamentar, as disposições de transição e a gestão de incidentes — com metas mensuráveis, sanções significativas e responsabilização clara. Um SLA bem negociado protege a operadora, garante a conformidade e cria as bases para uma parceria produtiva e sustentável com o prestador de serviços geridos.
Ao avaliar as ofertas de serviços de conformidade com a LI, não se limite ao preço anunciado. Um contrato abrangente de serviços de conformidade com a LI deve cobrir todos os aspetos das suas obrigações regulamentares.
Artigos relacionados
Para mais informações sobre temas relacionados, consulte estes artigos:
- Operações de LI internas versus operações de LI geridas: Uma estrutura de decisão para MVNOs
- O que procurar num sistema de gestão de interceção legal (LIMS)
- Como avaliar uma plataforma de mediação de LI: 7 perguntas a fazer a um fornecedor
Recursos externos
Os seguintes recursos externos fornecem contexto adicional e documentação oficial:
