Negli Stati Uniti criptare è legale?

La risposta: nessun divieto generale

Nel diritto federale americano non c'è una norma che vieti a un privato o a un'impresa di cifrare i propri dati o le proprie comunicazioni, né una che imponga di consegnare le chiavi allo Stato. Lo mostrano, da angolazioni diverse, tre testi ufficiali.

• La legge sulle intercettazioni. Il CALEA, la legge del 1994 che obbliga gli operatori telefonici a rendere le reti intercettabili, stabilisce al 47 U.S.C. § 1002(b)(3) che l'operatore «shall not be responsible for decrypting, or ensuring the government's ability to decrypt, any communication encrypted by a subscriber or customer», salvo che la cifratura l'abbia fornita lui e abbia i mezzi per toglierla. La norma presuppone che i clienti possano cifrare. Il resto è nella pagina Intercettazioni e cifratura: Wiretap Act e CALEA.
• I giudici. Nel 2017 il 3° circuito, in una causa in cui l'indagato si rifiutava di decifrare i propri dischi, ha scritto che la cifratura «may be used to hide illegal material», ma «also assists individuals and businesses in lawfully safeguarding the privacy and security of information», e che «many federal and state laws either require or encourage encryption to protect sensitive information» (United States v. Apple MacPro Computer, 851 F.3d 238 (3d Cir. 2017), nota 1).
• Il governo, nel 1994. Nell'annuncio dello standard con le chiavi in deposito, il NIST (Dipartimento del Commercio) scrisse: «There is no requirement that the public use this standard», aggiungendo che l'amministrazione «will not propose new legislation to limit the use of encryption technology».

Il tentativo di ottenere per via giudiziaria un aiuto dei produttori a superare la cifratura esiste, ma è un'altra cosa: riguarda l'accesso a un dispositivo sequestrato, non il diritto di cifrare. Nel 2016 un giudice federale di Brooklyn ha negato un ordine di questo tipo anche perché il Congresso aveva esaminato proposte di legge in quel senso senza approvarle: vedi Apple contro FBI: l'All Writs Act e Le proposte per indebolire la cifratura.

A volte è un obbligo

Più che vietata, in certi settori la cifratura è richiesta. L'esempio più netto è la Safeguards Rule (regola sulle misure di protezione) della Federal Trade Commission, che attua il Gramm-Leach-Bliley Act e si applica alle istituzioni finanziarie di competenza della FTC. Il 16 C.F.R. § 314.4(c)(3) impone di:

«Protect by encryption all customer information held or transmitted by you both in transit over external networks and at rest.»

Se la cifratura non è praticabile, sono ammessi controlli alternativi efficaci, approvati dal responsabile designato (Qualified Individual). Le regole per sanità e servizi finanziari e le leggi statali sulle violazioni di dati sono nelle pagine Sanità e finanza: HIPAA, FTC, NY DFS e Violazioni di dati: le leggi statali.

Gli anni Novanta: chiavi in deposito ed export

Le cosiddette crypto wars degli anni Novanta si giocarono su due fronti.

Il Clipper chip

Secondo la ricostruzione storica del NIST, l'ente federale per gli standard, nell'aprile 1993 fu annunciata una soluzione di key escrow (chiavi in deposito) messa a punto dalla NSA: chip resistenti alla manomissione, chiamati Clipper chip, che cifravano le comunicazioni telefoniche e trasmettevano un campo speciale (LEAF) con cui le autorità autorizzate potevano risalire alla chiave. Il 9 febbraio 1994 il Federal Register annunciò l'approvazione dello standard, il FIPS 185 (Escrowed Encryption Standard): algoritmo SKIPJACK classificato, chiavi divise tra agenti di deposito designati dall'Attorney General. Lo stesso annuncio precisava che lo standard non imponeva l'uso di questi dispositivi alle agenzie federali, al settore privato o ad altri livelli di governo: «The use of such devices is totally voluntary». Per il NIST, alla fine Clipper ed EES «were hardly adopted at all, even by federal agencies».

La cifratura come arma

Fino al 1996 molti prodotti di cifratura erano classificati come materiale d'armamento: defense articles della categoria XIII della United States Munitions List, di competenza del Dipartimento di Stato. L'Executive Order 13026 del 15 novembre 1996 (61 FR 58767) dettò le regole per il loro passaggio alla Commerce Control List delle Export Administration Regulations, del Dipartimento del Commercio. La linea restava dura: per l'ordine esecutivo l'export poteva danneggiare la sicurezza nazionale anche quando prodotti simili erano disponibili all'estero, e il software di cifratura andava controllato per la sua «functional capacity», non per il suo eventuale valore informativo.

Oggi il vincolo è l'esportazione

Usare la cifratura negli Stati Uniti è libero; esportare prodotti, software e tecnologie di cifratura resta regolato dalle Export Administration Regulations (EAR), nella categoria 5, parte 2, della Commerce Control List. Molti prodotti possono uscire con la License Exception ENC (15 C.F.R. § 740.17), che non vale però verso i Paesi dei gruppi E:1 ed E:2; i prodotti di largo consumo che rispettano la nota sul mass market seguono un regime più leggero. Come funzionano queste regole, anche per chi viaggia con il proprio portatile, è spiegato nella pagina Esportare la cifratura: le regole EAR.

Lecito non vuol dire intoccabile

• Il mandato. Se i dati sono cifrati, la polizia deve comunque ottenere di regola un mandato per esaminare un telefono (Riley v. California, 573 U.S. 373 (2014)); con il mandato può cercare di accedervi. Vedi Il Quarto emendamento e il telefono.
• L'ordine di decifrare. In alcune giurisdizioni un giudice può ordinarti di sbloccare o decifrare un dispositivo, in altre no: vedi Il Quinto emendamento e la password.
• La frontiera. Per la direttiva CBP 3340-049B (§ 5.3.1) chi entra negli Stati Uniti deve presentare i dispositivi «in a condition that allows inspection of the device and its contents»: vedi Il codice di sblocco: se rifiuti.
• La legge statale. In Virginia chi «willfully uses encryption to further any criminal activity» commette un reato distinto da quello principale, punito come Class 1 misdemeanor (Va. Code § 18.2-152.15, del 1999).

Casi frequenti

• «Posso usare negli USA un'app di messaggi cifrata end-to-end?» Sì: nessuna legge federale lo vieta, e il CALEA stesso prevede che l'operatore non debba decifrare ciò che il cliente ha cifrato.
• «Posso entrare negli Stati Uniti con il portatile cifrato?» Cifrare è lecito. Restano il controllo della CBP all'ingresso, descritto nella pagina Possono controllarmi il telefono all'ingresso?, e le regole sull'export, che riguardano l'uscita dei prodotti dagli Stati Uniti.
• «La mia azienda americana deve cifrare i dati dei clienti?» Dipende dal settore e dallo Stato: per le istituzioni finanziarie di competenza della FTC sì, con la Safeguards Rule.

Fonti

47 U.S.C. § 1002(b)(3) (LII); United States v. Apple MacPro Computer, 851 F.3d 238 (3d Cir. 2017), nota 1 (opinione ufficiale); U.S. District Court, E.D.N.Y., n. 15-MC-1902, memorandum and order del 29 febbraio 2016 (govinfo); 16 C.F.R. §§ 314.1 e 314.4(c)(3) (eCFR); Department of Commerce, NIST, «Approval of Federal Information Processing Standards Publication 185, Escrowed Encryption Standard (EES)», Federal Register, 9 febbraio 1994 (FR Doc. 94-2919); NIST, storia della crittografia nel programma NIST Cybersecurity History (csrc.nist.gov); Executive Order 13026, 15 novembre 1996, 61 FR 58767; 15 C.F.R. § 740.17 (eCFR); Riley v. California, 573 U.S. 373 (2014); Code of Virginia § 18.2-152.15 (law.lis.virginia.gov); CBP Directive 3340-049B, § 5.3.1; 18 U.S.C. § 1001. Verificato il 24 settembre 2026.