Che cosa guardano e con quali regole

Quali documenti

Il Privacy Act del 1974 (5 U.S.C. § 552a, la legge federale sugli archivi di dati personali) obbliga le agenzie a pubblicare nel Federal Register, quando creano o modificano un archivio di dati personali, un avviso che ne descrive esistenza e caratteristiche: il System of Records Notice (SORN, avviso sul sistema di archivi). Il DHS pubblica inoltre le Privacy Impact Assessment (PIA, valutazioni d'impatto sulla privacy), in cui descrive un sistema, i rischi per la privacy e le misure per ridurli. Sono documenti che l'agenzia scrive su sé stessa: dicono quali regole dichiara di seguire, non come si è svolto un singolo controllo.

Per i social media nei controlli ESTA i documenti principali sono questi:

Il quadro generale è una politica del DHS del 2012, «Privacy Policy for Operational Use of Social Media» (Directive 110-01 e Instruction 110-01-001, entrambe dell'8 giugno 2012), e una direttiva della CBP, «Operational Use of Social Media» (5410-003, del 2 gennaio 2015), citate nella PIA del 2019.

Che cosa guardano

Il SORN del 2022 elenca tra i dati dell'archivio ESTA «Social media identifiers, such as username(s) and platforms used» (gli identificativi social, come nomi utente e piattaforme) e «Publicly available information from social media websites or platforms» (le informazioni pubblicamente accessibili tratte dai social). Spiega che, dopo l'invio, la domanda viene confrontata con banche dati di sicurezza e di polizia e con fonti pubbliche, «such as social media».

La PIA del 2024 aggiunge che il confronto con le fonti pubbliche avviene «even if the applicant chooses not to provide their social media information», cioè anche quando il richiedente sceglie di non indicare i propri social.

La PIA del 2016 descrive il procedimento. Se il richiedente ha indicato i propri identificativi e un primo controllo segnala possibili elementi di interesse, la CBP può usare strumenti e tecniche di ricerca per trovare e identificare con certezza i profili che gli appartengono. Le informazioni pubblicate da conoscenti sulla pagina del richiedente possono essere prese in considerazione, e la CBP vede anche le informazioni sulle persone collegate all'account, ma dichiara di non conservarle se non sono rilevanti per la decisione.

Le FAQ ufficiali del sito ESTA indicano gli scopi: convalidare i viaggi legittimi, decidere sulle deroghe, individuare possibili minacce, confermare quanto dichiarato su identità, lavoro e viaggi precedenti, far emergere inganni o frodi.

Con quali limiti

• Impostazioni sulla privacy. La PIA del 2016 scrive: «Under no circumstance will DHS/CBP violate any social media privacy settings in the processing of ESTA applications.» Le FAQ dicono che l'agente vede le informazioni pubbliche nei limiti delle impostazioni scelte dal richiedente.
• Chi può farlo. Solo personale autorizzato del National Targeting Center della CBP che ha firmato le regole di comportamento sui social e ha seguito la formazione obbligatoria sulla privacy.
• Come. La PIA distingue la Overt Research (ricerca palese: raccogliere informazioni senza accedere con un account e senza interagire) e il Masked Monitoring (monitoraggio mascherato: usare identità o credenziali che non rivelano l'affiliazione alla CBP, anche accedendo con un account). Il personale del National Targeting Center può usare entrambe, ma deve comunque rispettare le impostazioni sulla privacy e non può interagire con gli utenti: niente «friend, fan, like, or message».
• Il peso delle informazioni. «Information collected from social media, by itself, will not be a basis to deny someone entry to the United States» (le informazioni raccolte dai social, da sole, non sono motivo per negare l'ingresso). La PIA aggiunge che chi si vede negare l'ESTA può comunque chiedere un visto.
• Traccia scritta. Per le informazioni tratte dai social la CBP deve documentare la data, i siti consultati, le informazioni raccolte e l'uso che ne ha fatto.
• Libertà di espressione. Il Privacy Act vieta di tenere registrazioni su come una persona esercita i diritti del Primo emendamento, salvo che lo autorizzi una legge o l'interessato o che siano pertinenti a un'attività di polizia autorizzata (5 U.S.C. § 552a(e)(7)). La PIA del 2016 indica questo rischio e lo considera attenuato perché la raccolta rientra, secondo il DHS, in un'attività di polizia autorizzata.

Per quanto tempo e con chi

Secondo il SORN del 2022, i dati della domanda ESTA, foto comprese, si conservano per 15 anni. Gli stessi dati passano in altri sistemi della CBP con i loro tempi: l'Automated Targeting System (ATS) per 15 anni e TECS per 75 anni. La PIA del 2016 precisa che le informazioni dei social raccolte durante il controllo di una domanda sono conservate nell'ATS e che si conserva solo ciò che ha utilità per le decisioni sull'ESTA o per i compiti della CBP.

Sulla condivisione, la PIA del 2016 dice che la CBP condivide i dati ESTA in blocco con altri partner federali della comunità dell'intelligence, per esempio il National Counterterrorism Center, e caso per caso con autorità statali, locali, tribali, territoriali o straniere. La PIA del 2024 conferma la condivisione con altre autorità federali, compresa l'intelligence.

La verifica del 2017

La PIA del 2016 prevedeva una Privacy Compliance Review (verifica di conformità) dell'ufficio privacy del DHS. Il rapporto del 27 ottobre 2017 ha concluso che l'uso degli identificativi social da parte del programma ESTA era conforme a quanto scritto nella PIA e ha fatto tre raccomandazioni: rendere più facile passare dal modulo alle risposte sulle domande social; misurare l'utilità della raccolta per i controlli; dare istruzioni più chiare perché nel campo libero non finiscano dati che non sono identificativi.

Oltre l'ESTA

La PIA del marzo 2019 riguarda un'altra attività: il monitoraggio dei social pubblici per la sicurezza del personale e delle strutture della CBP, per esempio una calamità naturale nella zona di un porto d'ingresso o una sparatoria vicino alla sede centrale. Il documento dice che in questa attività la CBP non pubblica nulla, non si collega con altri utenti, non accetta inviti e non interagisce, e che di norma oscura i dati personali nei rapporti.

Al confine, se un agente controlla il telefono, valgono regole diverse: la direttiva CBP 3340-049B limita la perquisizione ai dati presenti sul dispositivo e vieta di usarlo intenzionalmente per accedere a dati conservati solo altrove. Le app e il cloud sono trattati in cloud, app e account; le copie dei dati in le copie dei dati.

Casi frequenti

• «Se il mio profilo è privato, lo vedono?» I documenti del DHS dicono che la CBP rispetta le impostazioni sulla privacy e non interagisce con gli utenti. Per alcune categorie di visto il Dipartimento di Stato chiede invece di rendere pubblici i profili: vedi il DS-160 e i social media.
• «Guardano anche quello che scrivono gli altri?» Secondo la PIA del 2016, quello che altri pubblicano sulla pagina del richiedente può essere preso in considerazione; la CBP dichiara di non conservare le informazioni su terzi che non sono rilevanti.
• «Se non indico i profili, non li cercano?» La PIA del 2024 dice che la CBP consulta le fonti pubbliche, social compresi, anche quando il richiedente non indica i propri. Che cosa succede se si scrive il falso è spiegato in se ometti un account.
• «Posso sapere che cosa hanno su di me?» Il DHS indica tra i suoi strumenti di trasparenza anche il FOIA (Freedom of Information Act, la legge federale sull'accesso agli atti): come si fa una richiesta è spiegato in reclami, DHS TRIP, FOIA.

Fonti

DHS, Privacy Impact Assessment Update DHS/CBP/PIA-007(g) ESTA (settembre 2016) e DHS/CBP/PIA-007(j) ESTA (luglio 2024); DHS Privacy Office, Privacy Compliance Review of the U.S. Customs and Border Protection Electronic System for Travel Authorization (27 ottobre 2017); DHS, Privacy Impact Assessment DHS/CBP/PIA-058, Publicly Available Social Media Monitoring and Situational Awareness Initiative (marzo 2019): testi integrali su dhs.gov. DHS, SORN DHS/CBP-009 Electronic System for Travel Authorization, 87 FR 41338 (12 luglio 2022), federalregister.gov. 5 U.S.C. § 552a(e)(7). FAQ del modulo ESTA sul sito esta.cbp.dhs.gov, consultate il 24 settembre 2026. CBP Directive 3340-049B, sezione 5.1.2. Verificato il 24 settembre 2026.