Provas electrónicas para mercados em linha e plataformas na nuvem: O que precisa de saber

O Regulamento (UE) 2023/1543 relativo às provas electrónicas é frequentemente discutido como se fosse um problema exclusivo das telecomunicações. Mas não é. A partir de 18 de agosto de 2026, Os mercados em linha, as plataformas SaaS, os fornecedores de armazenamento em nuvem e de IaaS, as empresas de alojamento, as redes sociais e as ferramentas de colaboração são explicitamente abrangidos pelo âmbito de aplicação. Se a sua plataforma armazena, processa ou transmite dados de utilizadores e oferece serviços a utilizadores na UE, tem de estar preparada para receber e executar ordens europeias de entrega de informações eletrónicas (OEP) e ordens europeias de conservação de informações eletrónicas (OEPC-PR) - diretamente, sem intermediários diplomáticos, em prazos regulamentares apertados.

Para as plataformas que, historicamente, lidavam com pedidos de dados como uma questão jurídica ocasional e ad-hoc, trata-se de uma mudança radical. Só o Ministério Federal da Justiça alemão estima que cerca de 9.000 empresas na Alemanha são abrangidos pelo âmbito de aplicação, e números semelhantes aplicam-se ao resto da UE. Este guia explica exatamente que plataformas são afectadas, que tipos de encomendas são de esperar, o que o regulamento exige dos mercados e dos fornecedores de serviços de computação em nuvem em particular e como criar um modelo operacional conforme a tempo.

Que plataformas em linha são abrangidas pelo âmbito de aplicação da prova eletrónica?

O regulamento utiliza deliberadamente definições amplas e tecnologicamente neutras para captar as realidades dos modernos serviços em linha. As categorias mais diretamente relevantes para os operadores de plataformas incluem:

• Mercados em linha - qualquer plataforma que permita a terceiros oferecer bens ou serviços aos consumidores, incluindo mercados B2C, plataformas de comércio peer-to-peer, plataformas de venda de bilhetes, mercados de serviços a pedido e de aluguer.
• Fornecedores de computação e armazenamento em nuvem - Fornecedores de IaaS, PaaS e SaaS, serviços de armazenamento de objectos/ficheiros, fornecedores de cópias de segurança e recuperação de desastres e serviços geridos de bases de dados.
• Fornecedores de alojamento - alojamento gerido, servidores dedicados, VPS, redes de distribuição de conteúdos e plataformas periféricas.
• Redes sociais e comunidades em linha - incluindo fóruns, aplicações de encontros, redes profissionais, plataformas de jogos com caraterísticas sociais e plataformas de criação/streaming.
• Serviços da sociedade da informação que armazenam dados dos utilizadores - suites de colaboração, ferramentas de partilha de ficheiros, plataformas de gestão de projectos, plataformas low-code/no-code e produtos de IA que retêm avisos ou resultados.
• Domínio Internet e serviços de numeração IP - registos, agentes de registo, serviços de privacidade/proxy, RIRs e fornecedores de DNS.
• Comunicações interpessoais independentes do número - mensagens over-the-top, videoconferência e funcionalidades de conversação incorporadas em produtos de maior dimensão.

Fundamentalmente, o regulamento aplica o “teste da ”ligação substancialSe o seu serviço é oferecido a utilizadores localizados na UE e tem como alvo o mercado da UE - por exemplo, através de preços, língua ou marketing localizados - está abrangido pelo âmbito de aplicação, independentemente do local onde a sua entidade empresarial está registada.

Que tipo de dados serão solicitados pelas autoridades?

O regulamento estabelece uma distinção entre quatro categorias de provas electrónicas, cada uma com diferentes limiares e salvaguardas:

1. Dados do assinante - identidade, dados de contacto, informações de faturação, tipo de serviço utilizado e data de registo.
2. Dados solicitados com o único objetivo de identificar o utilizador - Endereços IP e registos de acesso utilizados exclusivamente para identificar uma pessoa.
3. Dados de tráfego (para além dos dados de identificação) - registos de ligação, metadados de transação, IDs de dispositivos, carimbos de data/hora e informações de encaminhamento.
4. Dados de conteúdo - listagens, mensagens, ficheiros carregados, fotografias, documentos, registos de transacções e outros conteúdos substantivos.

Os dados de assinante e de identificação podem ser solicitados para qualquer infração penal. Os dados de tráfego e de conteúdo estão reservados para infracções puníveis com pelo menos três anos de pena privativa de liberdade ou para uma lista definida de infracções graves de cibercriminalidade, terrorismo, abuso sexual de crianças e crime organizado. Os mercados e as plataformas de computação em nuvem contêm normalmente todas as quatro categorias - razão pela qual o mapeamento exato dos dados é uma tarefa fundamental de conformidade.

Cenários típicos de provas electrónicas em mercados e plataformas de computação em nuvem

Fraude no mercado em linha

Um investigador que persegue uma rede de fraude pede a um operador de mercado a identidade do vendedor, o IP de registo, o histórico de transacções e as mensagens trocadas com as vítimas. Os dados relativos aos assinantes e ao tráfego podem fluir ao abrigo da janela normal de 10 dias; os dados relativos aos conteúdos, como mensagens e fotografias, estão reservados para infracções graves e exigem salvaguardas adicionais.

Ransomware e abuso de infra-estruturas em plataformas de computação em nuvem

Um procurador que investiga uma operação de ransomware pede a um fornecedor de serviços de computação em nuvem os registos do plano de controlo, os metadados da instância, a identidade de faturação e os registos de acesso ao armazenamento de um inquilino suspeito. Estes são pedidos de tempo crítico que normalmente chegam como IEPs de emergência com um prazo de 8 horas.

Investigações sobre segurança infantil em linha

As investigações sobre materiais relacionados com o abuso sexual de crianças em redes sociais ou plataformas de conteúdos combinam normalmente ordens de identificação com ordens de produção e preservação de conteúdos. Estes casos beneficiam dos canais acelerados do regulamento, mas também exigem os mais elevados padrões de integridade e cadeia de custódia.

Controlo de contas e phishing em grande escala

As autoridades podem emitir ordens de preservação (EPOC-PRs) no início de uma investigação para bloquear registos e dados de contas enquanto se prepara uma ordem de produção. As plataformas devem ser capazes de preservar conjuntos de dados específicos durante 60 dias, prorrogáveis por mais 30, sem perturbar a retenção normal ou os fluxos de trabalho analíticos.

O desafio do prestador de serviços não comunitário: Estabelecimento designado

Para as plataformas com sede fora da UE, um dos requisitos mais importantes é a obrigação, nos termos da Diretiva (UE) 2023/1544, de designar um estabelecimento oficial ou representante legal num Estado-Membro. Esta entidade designada é o endereço de citação ou notificação de todos os IEP e IEPC-PR - e é ela própria responsável pelo seu cumprimento.

• Sem um estabelecimento designado, não pode receber legalmente encomendas, não pode levantar objecções e arrisca-se a um incumprimento automático e a sanções que podem ir até 2% do volume de negócios anual global.
• A entidade designada deve estar registada junto da autoridade nacional competente (na Alemanha, a Departamento Federal de Justiça; outros Estados-Membros têm equivalentes).
• Deve ter autoridade - e a capacidade operacional - para atuar sobre as ordens dentro dos prazos regulamentares.
• Deve coordenar-se perfeitamente com as suas equipas jurídicas, de segurança e de engenharia globais, muitas vezes através de fusos horários.

Para muitas plataformas não comunitárias, a solução mais eficiente é uma Estabelecimento como serviço designado acordo: um parceiro regulamentado da UE actua como o seu ponto de contacto, executa a admissão 24 horas por dia, 7 dias por semana, valida e faz a triagem das encomendas e só encaminha para as suas equipas internas as decisões substantivas que requerem conhecimentos do lado da plataforma.

Requisitos operacionais para marketplaces e plataformas de nuvem

A conformidade não é apenas um exercício burocrático. Para cumprir de forma fiável os prazos normais de 10 dias e os prazos de emergência de 8 horas, as plataformas necessitam normalmente de

• Interface de admissão segura ligado a e-CODEX, com validação automática de assinaturas digitais e credenciais de autoridade emissora.
• Descoberta de dados entre sistemas capaz de localizar dados de assinantes, identificação, tráfego e conteúdo em armazenamentos de dados antigos e modernos.
• Formatos de exportação normalizados que correspondem aos actos de execução da Comissão relativos aos formatos de dados.
• Entrega encriptada de volta através do e-CODEX, com receção verificável e registo de nível de auditoria.
• Pistas de auditoria invioláveis abrangendo todas as acções, desde a receção até à entrega - essencial para a integridade das provas e para o controlo regulamentar a posteriori.
• Equipa jurídica e de engenharia disponível 24 horas por dia, 7 dias por semana, com manuais ensaiados para encomendas de emergência.
• Controlos de minimização de dados garantir que divulga apenas o que foi especificamente encomendado, em conformidade com o artigo 5º do RGPD.
• Relatórios de transparência alinhada com a Lei dos Serviços Digitais para as plataformas em linha de muito grande dimensão (VLOP) e os motores de pesquisa em linha de muito grande dimensão (VLOSE).

Construir tudo isto internamente é viável para as maiores plataformas, mas a maioria dos mercados e fornecedores de serviços de computação em nuvem beneficiam de uma solução criada para o efeito. O ICS Plataforma de conformidade de provas electrónicas abrange todo o ciclo de vida - desde a entrada até à validação, extração, revisão e entrega - e integra-se nos sistemas existentes de identidade, registo e armazenamento.

Considerações especiais para os fornecedores de serviços em nuvem

Os fornecedores de serviços de computação em nuvem enfrentam vários desafios em camadas que as plataformas de conteúdo puro não enfrentam:

• Multi-tenancy e isolamento: A produção deve visar os dados de um único cliente sem expor outros locatários - tanto do ponto de vista técnico como contratual.
• Encriptação controlada pelo cliente: quando os clientes possuem as suas próprias chaves (BYOK/HYOK), o fornecedor pode efetivamente não conseguir produzir dados de conteúdo, e essa limitação deve ser documentada e comunicada.
• Responsabilidade partilhada: os contratos e acordos de tratamento de dados devem indicar claramente qual a parte responsável pela receção e execução das ordens de aplicação da lei relativamente a que dados.
• Notificação dos clientes: os clientes comerciais - em especial as empresas B2B - têm frequentemente direitos contratuais de serem notificados dos pedidos de acesso, sob reserva das obrigações de confidencialidade impostas pela autoridade emissora.
• Replicação entre regiões: Os dados podem estar localizados em vários Estados-Membros ou países terceiros, o que suscita potenciais conflitos entre as ordens jurídicas da UE e a legislação de países terceiros (a “revisão do artigo 17.º”).

Considerações especiais sobre os mercados em linha

• Dados de verificação do vendedor (KYC, registo comercial, IDs fiscais) são frequentemente os dados de assinantes de maior valor para os investigadores e devem ser facilmente extraíveis.
• Listagens e mensagens são normalmente dados de conteúdo e requerem a produção do limiar de gravidade da infração mais elevado.
• Dados de pagamento pode caber aos prestadores de serviços de pagamento e não ao próprio mercado - é essencial que haja clareza sobre quem responde a que ordem.
• Vendedores transfronteiriços criar sobreposições com as obrigações em matéria de proteção dos consumidores, IVA e DSA; as provas electrónicas devem ser integradas nesses programas - e não duplicadas por eles.

Sanções por incumprimento

Os Estados-Membros devem impor sanções efectivas, proporcionadas e dissuasivas. O regulamento estabelece como valor de referência para as coimas até 2% do volume de negócios anual do fornecedor a nível mundial. Para uma plataforma SaaS de média dimensão, isso pode significar dezenas de milhões de euros; para os hipermercados e os grandes mercados, os números tornam-se rapidamente relevantes para os relatórios financeiros. Para além das coimas, as falhas repetidas podem desencadear ordens judiciais, acções regulamentares e danos significativos para a reputação das empresas junto dos seus clientes, parceiros e investidores.

Um roteiro de 6 meses até agosto de 2026 para as plataformas

1. Meses 1-2 - Âmbito e mapeamento de dados. Confirmar quais as entidades e serviços abrangidos, mapear os dados de assinantes/identificação/tráfego/conteúdo nos sistemas, identificar lacunas.
2. Meses 2-3 - Fundamentos jurídicos. Designar um estabelecimento na UE, registar-se junto da autoridade competente, atualizar os contratos, as APD, as condições e as orientações para a aplicação da lei.
3. Meses 3-4 - Construção técnica. Integrar com o e-CODEX, implementar ferramentas de admissão/validação/extração, reforçar o registo de auditorias.
4. Meses 4-5 - Prontidão operacional. Recrutar e formar a equipa de resposta 24 horas por dia, 7 dias por semana, finalizar os manuais, realizar exercícios de emergência.
5. Mês 6 - Garantia. Auditoria de conformidade independente, aprovação a nível do conselho de administração e um ensaio de arranque antes de 18 de agosto de 2026.

Perguntas mais frequentes

Para uma referência mais longa, consulte a nossa secção dedicada FAQ da e-Evidence.

A e-Evidence aplica-se aos pequenos mercados e às empresas em fase de arranque na nuvem?

Sim. Não existe uma isenção geral para as PME. Se oferece um serviço abrangido aos utilizadores na UE, está abrangido pelo âmbito de aplicação, independentemente do número de funcionários ou das receitas. As plataformas mais pequenas podem definir o âmbito da sua conformidade de forma proporcional, mas as obrigações fundamentais - estabelecimento designado, admissão, capacidade de resposta - continuam a aplicar-se.

Podemos confiar no nosso atual fluxo de trabalho de aplicação da lei?

Provavelmente não. A maior parte dos fluxos de trabalho existentes pressupõe a receção manual por correio eletrónico/portal e semanas de resposta. O regulamento relativo às provas electrónicas exige uma entrada baseada no e-CODEX, uma resposta de emergência ao nível de uma hora e registos de auditoria invioláveis que os fluxos de trabalho antigos normalmente não fornecem.

E se os dados forem detidos por um subcontratante ou por outra parte do nosso grupo?

O fornecedor que recebe a encomenda é responsável pela sua execução. Os contratos internos e os acordos de tratamento de dados devem ser alinhados de modo a poder obrigar um subcontratante ou uma filial a entregar os dados dentro dos prazos regulamentares.

E quanto aos serviços encriptados de ponta a ponta?

O regulamento não exige que os fornecedores enfraqueçam a cifragem. Se não puder realmente aceder aos dados de conteúdo devido a chaves detidas pelo cliente ou a uma verdadeira arquitetura E2E, essa limitação pode ser comunicada, mas deve continuar a apresentar o assinante, a identificação e os metadados a que tem acesso.

Como o ICS ajuda as plataformas a se prepararem

O ICS fornece tanto o plataforma de conformidade técnica e serviços de estabelecimentos designados para plataformas de todas as dimensões - desde as scale-ups SaaS em rápido crescimento até aos mercados globais e fornecedores de nuvens em hiperescala. A nossa oferta combinada abrange o registo de e-CODEX, a validação automatizada, a extração de dados de vários sistemas, a entrega encriptada, o registo de auditoria inviolável e as operações geridas 24 horas por dia, 7 dias por semana, tudo enquadrado num sistema integrado de Programa de conformidade e-Evidence.

Contactar o ICS hoje para uma avaliação independente do grau de preparação para a prova eletrónica da sua plataforma, com um roteiro claro para o prazo de 18 de agosto de 2026.