Cloud, app e account: che cosa possono vedere

La regola: sul dispositivo sì, solo in remoto no

Il punto 5.1.2 della CBP Directive 3340-049B, in vigore dal 1° gennaio 2026, traccia il confine:

«The border search will include an examination of only the information that is resident upon the device and accessible through the device's operating system or through other software, tools, or applications. Officers may not intentionally use the device to access information that is solely stored remotely.»

Le categorie sono due. Le informazioni «resident upon the device» sono quelle che si trovano nella memoria del telefono o del computer, comprese quelle che si leggono aprendo un'app. Le informazioni «solely stored remotely» sono quelle che stanno soltanto sui server di un servizio, e che il dispositivo potrebbe raggiungere solo collegandosi alla rete. Il criterio, quindi, non è l'app ma il luogo in cui si trova il dato. Secondo la pagina della CBP sui controlli, la ricerca riguarda le informazioni presenti sul dispositivo «at the time it is presented for inspection».

La regola vale per la ricerca base e per quella avanzata, e anche mentre il dispositivo è trattenuto: la perquisizione di frontiera può riguardare le informazioni conservate sul dispositivo quando è presentato per l'ispezione «or during its detention by CBP» (punto 5.1.2). Le differenze tra i due tipi di ricerca sono in Ricerca base e ricerca avanzata.

La modalità aereo

Per non raggiungere dati conservati in remoto, la direttiva prevede che la connessione venga interrotta:

«officers will either request that the traveler disable connectivity to any network (e.g., by placing the device in airplane mode and disabling Bluetooth and Wi-Fi connections) or where warranted by national security, law enforcement, officer safety, or other operational considerations, officers will themselves disable network connectivity» (punto 5.1.2).

Di norma, quindi, l'agente ti chiede di mettere il dispositivo in modalità aereo e di spegnere Bluetooth e Wi-Fi; per ragioni di sicurezza o operative può farlo lui. La pagina della CBP aggiunge che, prima di iniziare una ricerca base o avanzata, gli agenti «will ensure all data and network connections are disabled». La direttiva chiede inoltre agli agenti di fare attenzione, per tutta la durata del controllo, a non compiere azioni che modifichino il contenuto del dispositivo.

Il divieto riguarda l'uso intenzionale del dispositivo per raggiungere dati remoti: la direttiva dice «intentionally». Rispetto alla 049A, che citava solo la modalità aereo, la 049B nomina espressamente anche Bluetooth e Wi-Fi.

App, email, social: che cosa significa

Applicata ai servizi di tutti i giorni, la regola dà questi risultati:

• Email. I messaggi che l'app di posta ha scaricato e conserva sul telefono sono presenti sul dispositivo; quelli che stanno solo sul server del servizio no.
• Chat. Le conversazioni e gli allegati salvati nella memoria del telefono sono presenti sul dispositivo. La direttiva comprende espressamente le informazioni accessibili «through software applications present on the device» (punto 5.3.1).
• Social network. Ciò che l'app ha salvato sul telefono, per esempio foto o messaggi scaricati, è sul dispositivo; il profilo e i contenuti che si caricano solo con la connessione restano dati conservati in remoto.
• Foto e file sincronizzati. Se una copia si trova sul telefono o sul computer, è presente sul dispositivo; se sta solo nel cloud, no.

Se il telefono è protetto, l'agente può chiederti il codice anche per le informazioni presenti sul dispositivo a cui si accede tramite le app (punto 5.3.1): vedi Il codice di sblocco.

Il codice non apre il cloud

I codici e gli altri mezzi di accesso ottenuti durante il controllo servono solo a ispezionare dispositivi e informazioni soggetti alla perquisizione di frontiera, e:

«Passcodes or other means of access may not be utilized to access information that is only stored remotely» (punto 5.3.2).

L'agente li annota solo in forma temporanea, non li carica nei sistemi della CBP e li cancella quando non servono più per quel dispositivo (punto 5.3.2); la regola sulla forma temporanea e sul divieto di caricamento è una novità della 049B.

Quello che mostri tu

La direttiva non regola la consultazione di informazioni che la persona fornisce volontariamente in formato elettronico: gli esempi sono il biglietto elettronico mostrato sul telefono e le informazioni che uno straniero presenta per dimostrare di poter entrare (punto 2.4). Se sei tu a mostrare qualcosa, quindi, non si applicano i limiti descritti qui. La domanda sui social media nel modulo ESTA è un'altra questione: vedi La domanda sui social nell'ESTA e Che cosa guardano e con quali regole.

I dati che restano sul server

Il limite della direttiva riguarda il controllo di frontiera. Per ottenere dal fornitore del servizio il contenuto delle comunicazioni, un'autorità deve seguire le procedure della legge federale sulle comunicazioni conservate: per esempio, per il contenuto conservato da non più di 180 giorni presso un fornitore di servizi di comunicazione elettronica serve un mandato (warrant) emesso da un giudice competente (18 U.S.C. § 2703(a)). Il quadro, con il CLOUD Act, è in I dati nel cloud: SCA e CLOUD Act.

Se il dispositivo viene trattenuto o copiato

La regola dei dati presenti sul dispositivo vale anche durante il trattenimento, e un'agenzia a cui la CBP chiede assistenza non deve modificare il contenuto del dispositivo (punti 5.1.2 e 5.5.5). Quando la CBP può conservare copie di ciò che ha trovato è spiegato in Le copie dei dati; tempi e ricevuta in Il telefono trattenuto.

Casi frequenti

• «Possono leggere le mie email?» Quelle scaricate e conservate sul telefono sì; per la direttiva gli agenti non possono usare il telefono per raggiungere intenzionalmente quelle che stanno solo sul server.
• «Possono chiedermi la password di un account online?» La direttiva non consente di usare codici o altri mezzi di accesso per entrare in informazioni conservate solo in remoto (punto 5.3.2).
• «Il portatile di lavoro sincronizza i file aziendali: vale la stessa regola?» Sì: i file presenti sul computer rientrano nel controllo, quelli solo sul server no. Le informazioni commerciali vanno trattate come riservate (punto 5.2.3): vedi Dispositivi aziendali e segreti commerciali.

Fonti

CBP Directive No. 3340-049B, Border Search of Electronic Devices, efficace dal 1° gennaio 2026 (punti 2.4, 5.1.2, 5.2.3, 5.3.1, 5.3.2, 5.5.5), e per il confronto CBP Directive No. 3340-049A del 4 gennaio 2018 (punti 5.1.2, 5.3.1, 5.3.2), su cbp.gov. CBP, pagina «Border Search of Electronic Devices at Ports of Entry», risposta «Does CBP search information that is stored remotely (in the cloud)?» (cbp.gov, aggiornata al 4 agosto 2026). 18 U.S.C. §§ 1001, 2232(a), 2703(a); 8 U.S.C. § 1182(a)(6)(C)(i). Verificato il 24 settembre 2026.