Provas electrónicas para mercados em linha e plataformas na nuvem: O que precisa de saber

O Regulamento (UE) 2023/1543 relativo às provas electrónicas is often discussed as if it were a problem only for telecoms. It is not. Since 18 de agosto de 2026, online marketplaces, SaaS platforms, cloud storage and IaaS providers, hosting companies, social networks and collaboration tools can all be in scope, if they let users communicate with each other or if storing data for users is a defining part of the service. If that describes your platform and you offer services to users in the EU, you must be ready to receive and execute European Production Orders (sent as EPOCs) and European Preservation Orders (transmitted as EPOC-PR certificates) — directly from the issuing authority, on tight regulatory deadlines. For production orders covering traffic or content data, the authority in your addressee’s Member State is usually notified and can raise grounds for refusal within 10 days (96 hours in emergencies).

For platforms that have historically dealt with data requests as an occasional, ad-hoc legal matter, this is a step-change. The German government’s implementing bill estimates around 10,000 affected service providers in Germany alone. This guide explains exactly which platforms are affected, what kinds of orders to expect, what the regulation requires of marketplaces and cloud providers in particular, and how to build a compliant operating model now that the Regulation applies.

Que plataformas em linha são abrangidas pelo âmbito de aplicação da prova eletrónica?

O regulamento utiliza deliberadamente definições amplas e tecnologicamente neutras para captar as realidades dos modernos serviços em linha. As categorias mais diretamente relevantes para os operadores de plataformas incluem:

• Mercados em linha — where they let buyers and sellers communicate with each other (messaging, Q&A, reviews) or store data on users’ behalf; being a marketplace is not enough on its own (Regulation (EU) 2023/1543, Art. 3(3)(c) and recital 27). This can cover B2C marketplaces, peer-to-peer trading platforms, ticketing platforms, gig and on-demand marketplaces, and rental platforms.
• Fornecedores de computação e armazenamento em nuvem - Fornecedores de IaaS, PaaS e SaaS, serviços de armazenamento de objectos/ficheiros, fornecedores de cópias de segurança e recuperação de desastres e serviços geridos de bases de dados.
• Fornecedores de alojamento — managed hosting, dedicated servers, VPS, and CDNs and edge platforms where they store customer data.
• Redes sociais e comunidades em linha - incluindo fóruns, aplicações de encontros, redes profissionais, plataformas de jogos com caraterísticas sociais e plataformas de criação/streaming.
• Serviços da sociedade da informação que armazenam dados dos utilizadores - suites de colaboração, ferramentas de partilha de ficheiros, plataformas de gestão de projectos, plataformas low-code/no-code e produtos de IA que retêm avisos ou resultados.
• Domínio Internet e serviços de numeração IP — registries, registrars, privacy/proxy services and regional internet registries.
• Comunicações interpessoais independentes do número - mensagens over-the-top, videoconferência e funcionalidades de conversação incorporadas em produtos de maior dimensão.

Fundamentalmente, o regulamento aplica o “teste da ”ligação substancial: you are in scope if users in the EU can use your service and you have a substantial connection to the EU: an establishment there, a significant number of EU users, or activities targeted at EU Member States (language, currency, local app store, ads), regardless of where your corporate entity is registered. Mere accessibility of your website is not enough.

Que tipo de dados serão solicitados pelas autoridades?

O regulamento estabelece uma distinção entre quatro categorias de provas electrónicas, cada uma com diferentes limiares e salvaguardas:

1. Dados do assinante - identidade, dados de contacto, informações de faturação, tipo de serviço utilizado e data de registo.
2. Dados solicitados com o único objetivo de identificar o utilizador — IP addresses with, where needed, source port and timestamp, requested only to identify a person.
3. Dados de tráfego (other than identification data) — connection logs, transaction metadata, purchase history, device IDs, timestamps and routing information.
4. Dados de conteúdo — listings, messages, uploaded files, photos, documents and other substantive content.

For production orders, subscriber and identification data may be requested for any criminal offence; traffic and content data are reserved for offences punishable in the issuing State by a maximum sentence of at least three years, or for listed offences: non-cash payment fraud, child sexual abuse and attacks against information systems committed online, and terrorist offences. Preservation orders can cover any data category for any criminal offence. Marketplaces and plataformas na nuvem normalmente abrangem as quatro categorias — razão pela qual o mapeamento preciso dos dados constitui uma tarefa fundamental em matéria de conformidade.

Cenários típicos de provas electrónicas em mercados e plataformas de computação em nuvem

Fraude no mercado em linha

An investigator pursuing a fraud ring asks a marketplace operator for the seller’s identity, registration IP, transaction history and message threads with victims. Subscriber data and the registration IP address (identification data) can be ordered for any criminal offence. Transaction metadata, message threads and photos are traffic and content data: they need a judge-issued or judge-validated order for an offence carrying a maximum of at least three years (or a listed offence such as online payment fraud), and the enforcing State is usually notified at the same time.

Ransomware e abuso de infra-estruturas em plataformas de computação em nuvem

A prosecutor investigating a ransomware operation asks a cloud provider for control-plane logs, instance metadata, billing identity and storage access logs for a suspect tenant. Where the attack threatens life or critical infrastructure (e.g. a hospital), these can arrive as emergency orders with an 8-hour deadline; otherwise the 10-day deadline applies.

Investigações sobre segurança infantil em linha

Investigations into child sexual abuse material on social or content platforms typically combine identification orders with content production and preservation orders. These cases benefit from the Regulation’s specific offence list and, where a child is at imminent risk, the 8-hour emergency regime, but also demand the highest standards of integrity and chain of custody.

Controlo de contas e phishing em grande escala

Authorities may issue European Preservation Orders (sent as EPOC-PRs) early in an investigation to lock down logs and account data while a production order is prepared. Platforms must be able to preserve specific datasets for 60 days, extendable by 30, and for as long as needed once the authority confirms that a production request has been issued, without disturbing normal retention or analytics workflows.

Designated Establishment or Legal Representative: Who Receives Your Orders

Every in-scope provider that is active in more than one Member State, or established outside the EU, must name an addressee for orders: EU-established providers designate one of their EU establishments as the designated establishment; providers without an EU establishment appoint a representante legal in a participating Member State (Directive (EU) 2023/1544, Art. 3). New entrants have six months from launch. This addressee is the address of service for every EPOC and EPOC-PR — and is itself liable for compliance.

• Without a designated establishment or legal representative you breach national law implementing Directive (EU) 2023/1544 (in Germany: fines up to EUR 500,000). Failing to execute orders can cost up to 2% of worldwide turnover.
• A entidade designada deve estar registada junto da autoridade nacional competente (na Alemanha, a Departamento Federal de Justiça; outros Estados-Membros têm equivalentes).
• Deve ter autoridade - e a capacidade operacional - para atuar sobre as ordens dentro dos prazos regulamentares.
• Deve coordenar-se perfeitamente com as suas equipas jurídicas, de segurança e de engenharia globais, muitas vezes através de fusos horários.

For non-EU platforms, the most efficient solution is often a legal representative service: an EU-based partner appointed under Directive (EU) 2023/1544, jointly liable with you, that runs the 24/7 intake, validates and triages orders, and escalates to your in-house teams the substantive decisions that require platform-side knowledge. SMEs may share a legal representative with other providers.

Requisitos operacionais para marketplaces e plataformas de nuvem

A conformidade não é apenas um exercício burocrático. Para cumprir de forma fiável os prazos normais de 10 dias e os prazos de emergência de 8 horas, as plataformas necessitam normalmente de

• Secure intake through the national e-Evidence system of the Member State where your addressee sits, either via the ETSI TS 104 144 API or the web interface, with validation of qualified electronic signatures and seals (Art. 21) and issuing-authority credentials.
• Descoberta de dados entre sistemas capaz de localizar dados de assinantes, identificação, tráfego e conteúdo em armazenamentos de dados antigos e modernos.
• Standardised delivery through the same channel, in formats the issuing authority can process, with integrity hashes.
• Entrega encriptada to the issuing authority’s X.509 certificate where one is supplied, with verifiable receipt and audit-grade logging; files over 25 MB go by the most appropriate secure alternative means (Art. 19(5)).
• Pistas de auditoria invioláveis abrangendo todas as acções, desde a receção até à entrega - essencial para a integridade das provas e para o controlo regulamentar a posteriori.
• Equipa jurídica e de engenharia disponível 24 horas por dia, 7 dias por semana, com manuais ensaiados para encomendas de emergência.
• Controlos de minimização de dados garantir que divulga apenas o que foi especificamente encomendado, em conformidade com o artigo 5º do RGPD.
• Optional e-Evidence statistics (Art. 28(4)), coordinated with any DSA transparency reporting you already publish.

Construir tudo isto internamente é viável para as maiores plataformas, mas a maioria dos mercados e fornecedores de serviços de computação em nuvem beneficiam de uma solução criada para o efeito. O ICS Plataforma de conformidade de provas electrónicas abrange todo o ciclo de vida - desde a entrada até à validação, extração, revisão e entrega - e integra-se nos sistemas existentes de identidade, registo e armazenamento.

Considerações especiais para os fornecedores de serviços em nuvem

Cloud providers face several layered challenges that pure-content platforms do not. Orders should normally go to your business customer as data controller. You will be addressed directly only if the controller cannot be identified or approaching it would jeopardise the investigation, and you must inform the customer unless the authority asks you not to (Art. 5(6)-(7)).

• Multi-tenancy e isolamento: A produção deve visar os dados de um único cliente sem expor outros locatários - tanto do ponto de vista técnico como contratual.
• Encriptação controlada pelo cliente: quando os clientes possuem as suas próprias chaves (BYOK/HYOK), o fornecedor pode efetivamente não conseguir produzir dados de conteúdo, e essa limitação deve ser documentada e comunicada.
• Responsabilidade partilhada: os contratos e acordos de tratamento de dados devem indicar claramente qual a parte responsável pela receção e execução das ordens de aplicação da lei relativamente a que dados.
• Notificação dos clientes: os clientes comerciais - em especial as empresas B2B - têm frequentemente direitos contratuais de serem notificados dos pedidos de acesso, sob reserva das obrigações de confidencialidade impostas pela autoridade emissora.
• Replicação entre regiões: data may sit in multiple Member States or third countries, raising potential conflicts between EU orders and third-country law (the “Article 17 review”), raised as a reasoned objection within 10 days; the mere fact that data is stored outside the EU is not a valid ground.

Considerações especiais sobre os mercados em linha

• Dados de verificação do vendedor (KYC, registo comercial, IDs fiscais) são frequentemente os dados de assinantes de maior valor para os investigadores e devem ser facilmente extraíveis.
• Listagens e mensagens são normalmente dados de conteúdo e requerem a produção do limiar de gravidade da infração mais elevado.
• Dados de pagamento held by payment service providers is outside the e-Evidence Regulation (financial services are excluded); authorities obtain it through national procedures.
• Vendedores transfronteiriços criar sobreposições com as obrigações em matéria de proteção dos consumidores, IVA e DSA; as provas electrónicas devem ser integradas nesses programas - e não duplicadas por eles.

Sanções por incumprimento

Member States must impose effective, proportionate and dissuasive penalties. Member States must allow pecuniary penalties of up to 2% of total worldwide annual turnover for failing to execute orders or protect their confidentiality. Germany, for example, fines up to EUR 500,000, or up to 2% of turnover for providers above EUR 25 million; for hyperscalers and large marketplaces, the headline figures rapidly become material to financial reporting. Beyond fines, repeated failures can trigger court orders, regulatory action and significant reputational damage with enterprise customers, partners and investors.

A 90-Day Catch-Up Plan for Platforms

1. Days 1–15 — Scope and data mapping. Confirmar quais as entidades e serviços abrangidos, mapear os dados de assinantes/identificação/tráfego/conteúdo nos sistemas, identificar lacunas.
2. Days 15–30 — Legal foundations. Designate an EU establishment or appoint a legal representative, register with the competent authority, update contracts, DPAs, terms and law-enforcement guidelines.
3. Days 30–60 — Technical build. Connect to the national e-Evidence system of the Member State where your addressee sits (ETSI TS 104 144 API or web interface). As of September 2026 only Germany and Ireland can receive orders this way; elsewhere, agree a secure fallback channel with the authorities. Deploy intake/validation/extraction tooling, harden audit logging.
4. Days 60–80 — Operational readiness. Recrutar e formar a equipa de resposta 24 horas por dia, 7 dias por semana, finalizar os manuais, realizar exercícios de emergência.
5. Days 80–90 — Assurance. Independent compliance audit, board-level sign-off and a go-live rehearsal.

Perguntas mais frequentes

Para uma referência mais longa, consulte a nossa secção dedicada FAQ da e-Evidence.

A e-Evidence aplica-se aos pequenos mercados e às empresas em fase de arranque na nuvem?

Yes. There is no general SME exemption. If you offer an in-scope service to users in the EU, you are in scope regardless of headcount or revenue. Smaller platforms can scope their compliance proportionately, but the core obligations — designated establishment or legal representative, intake, response capacity — still apply. The exception: a provider established in one Member State and offering services only there need not designate an addressee (Directive (EU) 2023/1544, Art. 1(5)). SMEs may share a legal representative with other providers.

Podemos confiar no nosso atual fluxo de trabalho de aplicação da lei?

Probably not. Most existing workflows assume manual email/portal intake and weeks of turnaround. The e-Evidence Regulation requires intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), hour-level emergency response and tamper-evident audit logs that legacy workflows usually do not provide.

E se os dados forem detidos por um subcontratante ou por outra parte do nosso grupo?

The provider receiving the order is responsible for executing it. Orders are normally addressed to the data controller; a processor is addressed only if the controller cannot be identified or approaching it would jeopardise the investigation, and must then inform the controller unless told not to (Art. 5(6)-(7)). Internal contracts and data-processing arrangements must be aligned so that you can compel a sub-processor or affiliate to deliver data within the regulatory deadlines.

E quanto aos serviços encriptados de ponta a ponta?

O regulamento não exige que os fornecedores enfraqueçam a cifragem. Se não puder realmente aceder aos dados de conteúdo devido a chaves detidas pelo cliente ou a uma verdadeira arquitetura E2E, essa limitação pode ser comunicada, mas deve continuar a apresentar o assinante, a identificação e os metadados a que tem acesso.

Como o ICS ajuda as plataformas a se prepararem

O ICS fornece tanto o plataforma de conformidade técnica and a legal representative service (with support for EU providers running their own designated establishment) for platforms of all sizes — from fast-growing SaaS scale-ups to global marketplaces and hyperscale cloud providers. Our combined offering covers intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), automated validation, multi-system data extraction, encrypted delivery, tamper-evident audit logging and 24/7 managed operations, all framed within an integrated Programa de conformidade e-Evidence.

Contactar o ICS hoje for an independent e-Evidence readiness assessment for your platform, with a clear plan to close any gaps now that the Regulation applies (since 18 August 2026).