Dispositivi aziendali e segreti commerciali

Il portatile aziendale davanti alla CBP

La direttiva della CBP (U.S. Customs and Border Protection) sulle perquisizioni dei dispositivi elettronici, in vigore dal 1° gennaio 2026, si applica a «any device that may contain information in an electronic or digital form» (§ 3.2): computer, tablet, telefoni, chiavette, SIM, orologi intelligenti e così via, senza distinzioni legate alla proprietà. L'obbligo di presentare dispositivi e informazioni «in a condition that allows inspection» è del viaggiatore (§ 5.3.1): se il portatile è cifrato o protetto e l'agente non riesce a completare il controllo, può trattenerlo (§ 5.3.3). Le conseguenze di un mancato sblocco, che cambiano secondo la posizione di chi viaggia, sono in Il codice di sblocco.

La direttiva non riguarda invece le spedizioni di dispositivi in quantità commerciali, come un carico di centinaia di portatili dalla fabbrica al distributore, né i registri elettronici tenuti dai veicoli commerciali per le norme federali sulla sicurezza dei trasporti (§ 2.5).

Perché la CBP può essere interessata ai dispositivi di chi viaggia per lavoro lo dice la direttiva stessa: le perquisizioni consentono di scoprire contrabbando digitale come l'«illicit transfer of restricted or classified information, or other export-controlled information» e possono rivelare informazioni su reati finanziari e commerciali, tra cui quelli su diritto d'autore, marchi, contrabbando, «transnational theft of proprietary information» e violazioni delle norme sull'esportazione (§ 1.2). Sulle regole americane per l'esportazione delle tecnologie di cifratura vedi Esportare la cifratura.

Che cosa dice la direttiva sulle informazioni commerciali

«Officers encountering business or commercial information in electronic devices shall treat such information as business confidential information and shall protect that information from unauthorized disclosure. Depending on the nature of the information presented, the Trade Secrets Act, the Privacy Act, and other laws, as well as CBP policies, may govern or restrict the handling of the information. Any questions regarding the handling of business or commercial information may be directed to the CBP Associate/Assistant Chief Counsel office or the CBP Privacy Officer, as appropriate.» (§ 5.2.3)

Tre cose da notare. La regola vale per qualsiasi informazione «business or commercial», non solo per i segreti industriali in senso stretto. Protegge dalla divulgazione «unauthorized», non dall'esame. E rinvia alle leggi applicabili senza dire quale valga per quale informazione; per i dubbi indica l'ufficio legale della CBP o il suo Privacy Officer. Le informazioni riconosciute per legge come privilegiate o sensibili si condividono solo con agenzie o enti in grado di proteggerle, nel rispetto della direttiva, del Privacy Act e del system of records notice (l'avviso sul sistema di registri) applicabile (§ 5.2.4).

Il testo del § 5.2.3 è identico a quello della direttiva del 2018.

Il Trade Secrets Act

Il Trade Secrets Act è una norma penale, la sezione 1905 del titolo 18 del U.S. Code. Punisce il funzionario o dipendente degli Stati Uniti che pubblica, divulga o rende noto, in qualsiasi modo non autorizzato dalla legge, informazioni apprese nel corso del suo impiego o in occasione di un esame o di un'indagine, se riguardano tra l'altro «trade secrets, processes, operations, style of work, or apparatus» oppure l'identità, i dati statistici riservati, l'ammontare o la fonte di redditi, profitti, perdite o spese di una persona o di una società. La pena è la multa o la reclusione fino a un anno, oltre alla rimozione dall'impiego (18 U.S.C. § 1905).

La direttiva dell'ICE, che vale per gli agenti dell'HSI (Homeland Security Investigations), richiama lo stesso punto e parla espressamente di «criminal penalties for unauthorized disclosure» (ICE Directive 7-6.1, § 8.6). Questa pagina non dice se e come un'impresa possa far valere queste norme in un caso concreto.

Le copie dei dati aziendali possono uscire dalla CBP quando l'agenzia chiede assistenza tecnica, per esempio per decifrare o tradurre: finita l'assistenza, tutto deve tornare alla CBP e chi ha aiutato dovrebbe sanificare le copie, salvo che un'agenzia federale abbia un potere autonomo di conservarle (§§ 5.5.2, 5.5.5 e 5.5.6). Termini di conservazione e condivisione sono in Le copie dei dati.

Comunicazioni con gli avvocati

Se sul dispositivo ci sono comunicazioni con avvocati per cui si fa valere l'attorney-client privilege (il segreto professionale tra avvocato e cliente), la procedura è quella descritta in Il materiale riservato: richiesta di identificare file e nomi, consultazione dell'ufficio legale della CBP, separazione del materiale (§ 5.2.1). La direttiva non distingue tra avvocati interni ed esterni all'impresa.

Il lato europeo: che cosa chiede il GDPR al datore di lavoro

Se il portatile di un dipendente contiene dati personali di clienti, colleghi o fornitori, l'impresa che determina finalità e mezzi del trattamento è, nel linguaggio del Regolamento (UE) 2016/679 (GDPR), il titolare del trattamento (art. 4, punto 7), e risponde del rispetto dei principi del regolamento (art. 5, par. 2). Alcune regole riguardano direttamente chi viaggia con dati di lavoro:

• minimizzazione: i dati devono essere «adeguati, pertinenti e limitati a quanto necessario» rispetto alle finalità (art. 5, par. 1, lett. c); per impostazione predefinita vanno trattati solo i dati necessari per ogni finalità specifica, anche quanto a quantità, periodo di conservazione e accessibilità (art. 25, par. 2);
• sicurezza: il titolare mette in atto misure tecniche e organizzative adeguate al rischio, che comprendono, se del caso, «la pseudonimizzazione e la cifratura dei dati personali» (art. 32, par. 1, lett. a), tenendo conto in particolare dei rischi di divulgazione non autorizzata e di accesso ai dati (art. 32, par. 2);
• politiche: se è proporzionato, le misure comprendono «politiche adeguate in materia di protezione dei dati» (art. 24, par. 2).

Resta una domanda: se la CBP esamina o copia il portatile di un dipendente, c'è una «violazione dei dati personali»? Il GDPR la definisce come «la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati» (art. 4, punto 12). In caso di violazione il titolare la notifica all'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore, salvo che sia improbabile un rischio per i diritti e le libertà delle persone (art. 33), e la comunica agli interessati se il rischio è elevato; la comunicazione non è richiesta se le misure adottate rendevano i dati incomprensibili a chi non è autorizzato, «quali la cifratura» (art. 34, par. 3, lett. a). Il regolamento non nomina i controlli di frontiera dei paesi terzi, e questa pagina non stabilisce se un controllo della CBP rientri nella definizione. Dove è designato, il responsabile della protezione dei dati ha il compito di informare e consigliare il titolare e i dipendenti sugli obblighi del regolamento (art. 39, par. 1, lett. a).

Precauzioni lecite per l'impresa

Le precauzioni che questo sito descrive riducono ciò che viaggia e preparano la risposta; non ostacolano il controllo.

1. Una politica scritta per chi viaggia. Chi porta quali dispositivi, con quali dati, chi chiamare se un dispositivo viene trattenuto: gli elementi ricorrenti sono in Aziende: una politica per chi viaggia negli USA.
2. Solo i dati che servono al viaggio. È la logica della minimizzazione del GDPR: un dispositivo da viaggio con i soli dati necessari espone meno informazioni in un controllo o in caso di perdita.
3. Cifratura, sapendo che cosa fa e che cosa non fa. Protegge i dati se il dispositivo va perso o viene rubato; alla frontiera non esonera dal controllo, perché il viaggiatore deve presentare il dispositivo in condizione di essere esaminato (§ 5.3.1) e un dispositivo non accessibile può essere trattenuto (§ 5.3.3).
4. Backup prima di partire. Un portatile trattenuto per giorni pesa meno se i dati sono anche altrove: vedi Prima di partire.
5. La ricevuta, se il dispositivo resta alla CBP. Il dipendente deve ricevere il Form 6051D: tempi e restituzione sono in Il telefono trattenuto.

Casi frequenti

• «Il dipendente può rifiutare di sbloccare il portatile perché è dell'azienda?» La direttiva non prevede un'eccezione per i dispositivi aziendali: l'obbligo di presentarli in condizione di essere esaminati è del viaggiatore (§ 5.3.1). Le conseguenze di un rifiuto sono in Il codice di sblocco.
• «La CBP può passare i nostri dati a un concorrente?» La direttiva impone di proteggere le informazioni commerciali dalla divulgazione non autorizzata (§ 5.2.3), e il Trade Secrets Act punisce il dipendente federale che le divulga senza autorizzazione di legge. La condivisione con autorità di polizia, nei limiti della direttiva, resta possibile (§ 5.8.1).
• «Dobbiamo avvisare il Garante se la CBP copia il portatile?» Questa pagina non lo stabilisce: definizione di violazione e obblighi di notifica all'autorità di controllo sono negli articoli 4, 33 e 34 del GDPR.

Fonti

U.S. Customs and Border Protection, CBP Directive No. 3340-049B, «Border Search of Electronic Devices», in vigore dal 1° gennaio 2026, §§ 1.2, 2.5, 3.2, 5.2.1, 5.2.3, 5.2.4, 5.3.1, 5.3.3, 5.5 e 5.8.1 (cbp.gov); CBP Directive No. 3340-049A, 4 gennaio 2018, § 5.2.3, per il confronto; U.S. Immigration and Customs Enforcement, ICE Directive 7-6.1 (10044.1), 18 agosto 2009, § 8.6 (ice.gov); 18 U.S.C. §§ 1001 e 1905; 8 U.S.C. § 1182(a)(6)(C)(i), testo vigente; Regolamento (UE) 2016/679, artt. 4, 5, 24, 25, 32, 33, 34 e 39, testo italiano ufficiale (Ufficio delle pubblicazioni dell'Unione europea). Verificato il 24 settembre 2026.