Compreender os tipos de pedidos EPOC e EPOC-PR é essencial para os operadores sujeitos ao regulamento da UE sobre provas digitais. O Regulamento da UE sobre Provas Digitais (Regulamento n.º 2023/1543) representa um dos avanços mais significativos na recolha transfronteiriça de provas digitais na União Europeia. Na sua essência, o regulamento introduz dois novos instrumentos jurídicos — o Certificado Europeu de Ordem de Produção (EPOC) e o Certificado Europeu de Ordem de Preservação (EPOC-PR) — que permitem às autoridades judiciais de um Estado-Membro da UE solicitar provas digitais diretamente a prestadores de serviços estabelecidos noutro Estado-Membro. Para os operadores de telecomunicações e outros prestadores de serviços, compreender a distinção entre estes dois instrumentos é essencial para a criação de processos de resposta em conformidade com a legislação.
Este artigo apresenta uma análise detalhada do EPOC e do EPOC-PR, explicando qual é a função de cada instrumento, quem os pode emitir, quais são os requisitos que impõem aos prestadores de serviços, em que diferem um do outro e como se relacionam com os interceção legal obrigações.
Compreender os pedidos EPOC e EPOC-PR
A EPOC é uma ordem que exige que um prestador de serviços apresente provas eletrónicas específicas à autoridade emissora. É o mais significativo dos dois instrumentos, uma vez que obriga à divulgação efetiva dos dados. As EPOC podem ser emitidas relativamente a dados de assinantes, dados de acesso, dados transacionais e dados de conteúdo, com diferentes requisitos de autorização consoante a categoria de dados solicitada.
No que diz respeito aos dados dos assinantes e aos dados de acesso — que incluem informações básicas de registo, endereços IP e registos de ligação —, um EPOC pode ser emitido por um juiz, um tribunal, um juiz de instrução ou um procurador. No que diz respeito aos dados transacionais e aos dados de conteúdo — que incluem metadados de comunicação e o conteúdo efetivo das comunicações —, uma EPOC deve ser emitida ou validada por um juiz ou tribunal, refletindo o maior impacto destas categorias de dados na privacidade.
Quando um prestador de serviços recebe um EPOC, deve fornecer os dados solicitados no prazo de dez dias ou, em casos de emergência, no prazo de oito horas. O prestador deve apresentar quaisquer objeções — tais como questões sobre a validade da ordem, o âmbito do pedido ou potenciais conflitos com a legislação do seu país — através de um processo definido que envolva a autoridade responsável pela execução no Estado-Membro do prestador. No entanto, o prestador não pode simplesmente recusar-se a cumprir; o regulamento estabelece uma presunção de cumprimento, com motivos limitados para a recusa.
O EPOC representa um afastamento significativo dos procedimentos tradicionais de Assistência Judiciária Mútua (MLA), que exigem que os pedidos sejam encaminhados através de autoridades centrais e cujo processamento pode demorar meses ou mesmo anos. Ao permitir que as autoridades judiciais dirijam as ordens diretamente aos prestadores de serviços, o Regulamento relativo às provas eletrónicas reduz drasticamente o tempo necessário para obter provas digitais transfronteiriças. Para os prestadores de serviços, isto significa que devem estar preparados para receber, validar e responder às EPOC dentro de prazos apertados.
O Certificado da Ordem Europeia de Preservação (EPOC-PR)
O EPOC-PR é um instrumento menos intrusivo que exige que um prestador de serviços preserve provas eletrónicas específicas enquanto se aguarda um pedido de apresentação posterior. Ao contrário do EPOC, o EPOC-PR não exige que o prestador divulgue quaisquer dados — exige simplesmente que o prestador garanta que os dados especificados não sejam apagados, alterados ou, de qualquer outra forma, tornados indisponíveis. O EPOC-PR funciona como uma medida cautelar que impede a perda de provas enquanto a autoridade emissora prepara uma ordem de apresentação ou outro processo legal para obter os dados.
Um EPOC-PR pode ser emitido por um leque mais alargado de autoridades do que um EPOC, incluindo procuradores, bem como juízes e tribunais. Esta autoridade de emissão mais alargada reflete o menor impacto na privacidade da preservação (os dados são retidos, mas não divulgados) em comparação com a produção (os dados são efetivamente divulgados à autoridade requerente).
Quando um prestador de serviços recebe um EPOC-PR, deve tomar medidas imediatas para preservar os dados especificados. A obrigação de preservação mantém-se durante 60 dias, podendo ser prorrogada por 30 dias se a autoridade emissora confirmar que foi iniciado um pedido de apresentação de provas. Se não for recebido qualquer pedido de apresentação de provas dentro do período de preservação, o prestador pode libertar os dados preservados, em conformidade com as suas políticas normais de retenção.
O EPOC-PR é particularmente útil em situações em que as provas possam estar em risco de serem eliminadas — por exemplo, quando um suspeito tem conhecimento de uma investigação e pode tentar destruir provas, ou quando os dados estão sujeitos a eliminação automática ao abrigo das políticas de retenção do prestador de serviços. Ao garantir a preservação rápida dos dados, o EPOC-PR evita a perda de provas, ao mesmo tempo que dá tempo para o processo de autorização mais rigoroso exigido para uma ordem de apresentação de provas.
Principais diferenças entre o EPOC e o EPOC-PR
As diferenças entre o EPOC e o EPOC-PR são fundamentais e abrangem várias dimensões. A finalidade constitui a distinção mais básica: um EPOC obriga à produção (divulgação) de dados, enquanto um EPOC-PR obriga apenas à preservação (retenção) de dados. O impacto na privacidade de um EPOC é significativamente maior do que o de um EPOC-PR, o que se reflete nos diferentes requisitos de autorização e nas garantias processuais.
Os requisitos relativos à autoridade emissora diferem entre os dois instrumentos. Os EPOC relativos a dados transacionais e de conteúdo devem ser emitidos ou validados por um juiz ou tribunal, enquanto os EPOC-PR podem ser emitidos por procuradores sem validação judicial. Esta diferença reflete o princípio da proporcionalidade — quanto mais invasiva for a medida, maior será o nível de supervisão judicial exigido.
Os prazos de resposta também diferem. As EPOC exigem a execução no prazo de dez dias (ou oito horas em casos de emergência), enquanto as EPOC-PR exigem a preservação imediata, com a obrigação a vigorar durante 60 dias (prorrogável até 90 dias). O EPOC-PR foi concebido para ser uma medida rápida e temporária, enquanto o EPOC é uma ordem definitiva que exige o cumprimento efetivo.
Os fundamentos para a recusa diferem entre os dois instrumentos. No caso dos EPOC, os prestadores de serviços dispõem de fundamentos limitados, mas definidos, para apresentar objeções, incluindo questões relativas à imunidade ou aos privilégios que possam aplicar-se aos dados solicitados, ao potencial impacto nos direitos fundamentais e a conflitos com a legislação do Estado-Membro do prestador. No caso dos EPOC-PR, os motivos de objeção são mais limitados, refletindo a natureza menos invasiva da preservação em comparação com a produção.
Implicações para as operadoras de telecomunicações
As operadoras de telecomunicações estão entre os destinatários mais prováveis tanto de EPOCs como de EPOC-PRs, dado o volume de dados de assinantes, de tráfego e de conteúdos que detêm. As operadoras devem criar processos e sistemas para lidar com ambos os tipos de ordens, incluindo a capacidade de receber e validar as ordens recebidas, identificar os dados relevantes nos seus sistemas, preservar os dados em resposta às EPOC-PR, fornecer os dados em resposta às EPOC, acompanhar o estado e os prazos de cada ordem e manter documentação e registos de auditoria para conformidade regulamentar.
O prazo de resposta de dez dias para os EPOC (e de oito horas para emergências) é particularmente exigente. Os operadores devem dispor de processos que permitam a rápida identificação e extração dos dados solicitados, a revisão por pessoal jurídico e de conformidade qualificado e a entrega segura à autoridade requerente. Os processos manuais que dependem da ação individual podem não ser suficientes para cumprir estes prazos de forma consistente, pelo que as operadoras devem considerar investir em sistemas automatizados ou semiautomatizados para o tratamento de pedidos de provas eletrónicas.
Relação com a interceção legal
É importante distinguir as ordens de provas eletrónicas da interceção legal. A interceção legal envolve a captura e a transmissão em tempo real das comunicações à medida que estas ocorrem. As ordens de obtenção de provas eletrónicas, por outro lado, dizem respeito a dados armazenados — dados que já foram gerados e que se encontram na posse do prestador de serviços. Uma autoridade de proteção de dados (EPOC) pode solicitar dados históricos de tráfego, registos de assinantes ou conteúdos armazenados, mas não autoriza a interceção em tempo real.
No entanto, os dois quadros são complementares. As autoridades responsáveis pela aplicação da lei podem recorrer a mandados de obtenção de provas eletrónicas para obter dados históricos sobre os padrões de comunicação de um alvo e, posteriormente, recorrer à interceção legal para monitorizar as comunicações em curso desse alvo. Os operadores devem estar aptos a dar resposta a ambos os quadros, dispondo de sistemas e processos adequados para cada um deles. O retenção de dados As políticas do operador também são relevantes, uma vez que a disponibilidade de dados históricos depende do período durante o qual o operador conserva as diferentes categorias de dados.
Preparação para a conformidade em matéria de provas eletrónicas
Os operadores devem começar a preparar-se para Conformidade em matéria de provas eletrónicas através da designação de um representante legal na UE (caso ainda não estejam estabelecidas num Estado-Membro da UE) para receber e tratar os pedidos de provas eletrónicas. Devem rever as suas políticas de conservação de dados para garantir que as categorias de dados abrangidas pelas provas eletrónicas estejam disponíveis durante os períodos de conservação exigidos. Devem também desenvolver procedimentos internos para receber, validar e responder tanto a EPOCs como a EPOC-PRs, formar o pessoal relevante sobre os requisitos e prazos, e implementar sistemas técnicos para apoiar a rápida identificação, preservação e extração dos dados solicitados.
Conclusão
O EPOC e o EPOC-PR são os dois pilares do quadro da UE em matéria de provas eletrónicas, desempenhando cada um deles um papel distinto no processo de recolha transfronteiriça de provas. O EPOC obriga à apresentação de dados específicos, enquanto o EPOC-PR exige a sua conservação. Em conjunto, proporcionam às autoridades responsáveis pela aplicação da lei um mecanismo mais rápido e direto para a obtenção de provas digitais além-fronteiras na UE, substituindo o processo de auxílio judiciário mútuo (MLA), que é lento e moroso. Para os operadores de telecomunicações, a conformidade com ambos os instrumentos exige investimento em processos, sistemas e pessoal qualificado — mas as vantagens de uma preparação atempada incluem uma conformidade mais harmoniosa, um risco regulatório reduzido e uma relação construtiva com as autoridades responsáveis pela aplicação da lei que dependem da cooperação dos operadores.
O Regulamento relativo às provas eletrónicas introduz também requisitos para a criação de um sistema informático descentralizado destinado a facilitar a transmissão de ordens de obtenção de provas eletrónicas entre os Estados-Membros e os prestadores de serviços. Os operadores devem acompanhar o desenvolvimento e a implementação deste sistema e preparar-se para a sua integração assim que este entre em funcionamento. O sistema informático destina-se a proporcionar um canal seguro e normalizado para o intercâmbio de ordens e respostas, substituindo os métodos de comunicação ad hoc que têm sido utilizados até à data. O envolvimento precoce no processo de implementação ajudará os operadores a evitar desafios de conformidade de última hora quando o sistema entrar em funcionamento e garantirá que os seus processos internos estejam alinhados com os requisitos técnicos da nova infraestrutura.
Com a entrada em vigor do regulamento da UE relativo às provas eletrónicas, o volume de pedidos EPOC EPOC-PR irá aumentar significativamente. Os operadores devem garantir que os seus processos permitem dar resposta aos pedidos EPOC EPOC-PR dentro dos prazos estabelecidos.
Artigos relacionados
Para mais informações sobre temas relacionados, consulte estes artigos:
- Diferenças entre provas electrónicas e interceção legal - e onde se sobrepõem
- Regulamento sobre provas electrónicas da UE: O que os prestadores de serviços precisam de saber antes de agosto de 2026
- Retenções legais no setor das telecomunicações: o que as operadoras devem conservar e por quanto tempo
Recursos externos
Os seguintes recursos externos fornecem contexto adicional e documentação oficial:
