Guida pratica al viaggio · Guida pratica

Aziende: gli elementi di una politica per chi viaggia negli USA

Chi parte per gli Stati Uniti per lavoro porta con sé dati dell'azienda, dei clienti, dei colleghi. La direttiva della CBP dice come vengono trattate alla frontiera le informazioni commerciali; il GDPR dice che cosa deve garantire chi tratta dati personali. Questa pagina descrive gli elementi che una politica per i viaggi può regolare, ciascuno con la norma a cui si collega: non è un modello né un parere sul caso della tua azienda.

Verificato il 24 settembre 2026Lettura: 7 min

In breve

Per la CBP un dispositivo aziendale si controlla come gli altri; le informazioni commerciali che contiene vanno trattate come riservate (direttiva 3340-049B, sezione 5.2.3), ma non sono escluse dal controllo.
Il GDPR non parla di frontiere, ma chiede misure di sicurezza adeguate al rischio, tra cui, se del caso, la cifratura e la capacità di ripristinare i dati (art. 32), e dati limitati a quanto necessario (art. 5).
Una politica per i viaggi può quindi regolare quali dispositivi e quali dati si portano, i backup, il modo di indicare il materiale riservato, chi chiamare e che cosa dire.
Nessuna politica può chiedere a un dipendente di mentire, nascondere dispositivi o cancellare dati per sottrarli al controllo.

Che cosa dice la direttiva sulle informazioni aziendali

La direttiva della CBP (U.S. Customs and Border Protection, l'agenzia federale che controlla persone e merci alla frontiera) n. 3340-049B, in vigore dal 1° gennaio 2026, non prevede un'esenzione per i dispositivi aziendali. Contiene però alcune regole che interessano direttamente un'azienda:

Informazioni commerciali. Gli agenti che trovano informazioni commerciali su un dispositivo devono trattarle come business confidential information (informazioni commerciali riservate) e proteggerle da divulgazioni non autorizzate; secondo la natura delle informazioni, il loro trattamento può essere regolato dal Trade Secrets Act, dal Privacy Act e da altre leggi (sezione 5.2.3).
Comunicazioni con gli avvocati. Per il materiale coperto dall'attorney-client privilege (il segreto professionale tra avvocato e cliente) c'è una procedura specifica: l'agente chiede di identificarlo, sente l'ufficio legale della CBP e il materiale viene separato dal resto (sezione 5.2.1).
Codici e cifratura. Il viaggiatore deve presentare il dispositivo in condizione di essere ispezionato; se un codice o la cifratura impediscono di completare il controllo, il dispositivo può essere trattenuto (sezioni 5.3.1 e 5.3.3).
Tempi. Salvo circostanze particolari il trattenimento non dovrebbe superare cinque giorni di calendario, ma può essere prorogato (sezione 5.4.1.1). Per le informazioni in lingua straniera gli agenti possono chiedere assistenza per la traduzione, anche affidando il dispositivo o una copia dei dati fuori dalla CBP (sezione 5.5.2).
Condivisione. Le copie conservate secondo la direttiva possono essere condivise con autorità di polizia federali, statali, locali, tribali, territoriali e straniere, nel rispetto della legge (sezione 5.8.1).
Esportazioni. Tra gli scopi dichiarati delle ricerche ci sono la scoperta del trasferimento illecito di informazioni soggette ai controlli sulle esportazioni e di reati commerciali, compreso il furto transnazionale di informazioni riservate dell'impresa (sezione 1.2). Vedi Esportare la cifratura: le regole EAR.

Che cosa chiede il GDPR

Il regolamento (UE) 2016/679 non contiene regole sui controlli di frontiera. Chiede però al titolare e al responsabile del trattamento di mettere in atto «misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio», tenendo conto dello stato dell'arte, dei costi, della natura, del contesto e delle finalità del trattamento e dei rischi per le persone (art. 32, par. 1). Tra le misure l'articolo elenca, «se del caso», la cifratura dei dati personali, la capacità di assicurare riservatezza, integrità e disponibilità dei sistemi, la capacità di «ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico» e una procedura per verificare regolarmente l'efficacia delle misure. Il titolare deve inoltre fare in modo che chi agisce sotto la sua autorità tratti i dati solo se istruito in tal senso (art. 32, par. 4).

A monte ci sono i principi: i dati devono essere «limitati a quanto necessario» rispetto alle finalità (minimizzazione) e protetti da trattamenti non autorizzati e dalla perdita (integrità e riservatezza), e il titolare deve essere in grado di dimostrare di rispettarli (art. 5, par. 1, lett. c e f, e par. 2). Quali misure adottare, e in che misura, lo valuta il titolare. Il profilo del datore di lavoro è approfondito in Dispositivi aziendali e segreti commerciali.

Gli elementi di una politica

Quelli che seguono non sono obblighi di legge: sono gli elementi che una politica per chi viaggia negli Stati Uniti può regolare, ciascuno accanto alla regola a cui si collega. La scelta spetta all'azienda.

Quali dispositivi. Se il dipendente viaggia con i dispositivi abituali o con un travel device (dispositivo da viaggio) preparato per la trasferta. Ogni dispositivo portato alla frontiera può essere esaminato, anche con una ricerca base senza sospetto (direttiva, sezioni 3.2 e 5.1.3).
Quali dati. Quali dati servono davvero per quel viaggio, nella logica della minimizzazione (GDPR, art. 5, par. 1, lett. c). La scelta si fa prima di partire: ciò che il dipendente ha con sé va presentato al controllo in condizione di essere ispezionato (direttiva, sezione 5.3.1).
Backup e continuità. Come si assicura che il lavoro prosegua se un dispositivo resta alla CBP per giorni, in coerenza con la capacità di ripristino richiamata dall'art. 32, par. 1, lett. c) (direttiva, sezione 5.4.1.1).
Cifratura e accesso. La cifratura è una delle misure citate dall'art. 32, par. 1, lett. a), ma alla frontiera non esonera dal controllo: l'agente può chiedere l'aiuto del viaggiatore e il codice, e trattenere il dispositivo se non riesce a ispezionarlo (direttiva, sezioni 5.3.1 e 5.3.3). La politica può stabilire in anticipo come si gestisce una richiesta di accesso a un dispositivo aziendale, tenendo conto che la richiesta è rivolta al viaggiatore. Vedi Il codice di sblocco: se rifiuti.
Materiale riservato. Come individuare prima della partenza il materiale coperto dal segreto professionale e le informazioni commerciali riservate, in modo che il dipendente possa indicarli con precisione. La direttiva prevede che l'agente chieda di precisare, se possibile per iscritto, file, tipi di file, cartelle, categorie, nomi di avvocati o clienti, indirizzi email e numeri di telefono (sezione 5.2.1.1). Vedi Avvocati, medici, giornalisti: il materiale riservato.
Chi chiamare. Un referente aziendale raggiungibile durante il viaggio e le istruzioni per il dopo: conservare e trasmettere il modulo 6051D (la ricevuta di custodia che la CBP rilascia quando trattiene un dispositivo, sezione 5.4.1.2), seguire i tempi, usare i canali ufficiali. Vedi Se ti trattengono il telefono: la checklist.
Che cosa dire. Un'istruzione semplice: rispondere sempre il vero, indicare i dispositivi che si portano, dichiarare quando c'è materiale riservato. Vedi Alla frontiera: che cosa dire e che cosa non fare.
Dopo il viaggio. Chi in azienda riceve la segnalazione del dipendente e valuta che cosa comporta per i dati dell'azienda e dei clienti.

Attenzione

Una politica aziendale non può chiedere a un dipendente di mentire a un agente, di nascondere un dispositivo o di cancellare dati per sottrarli al controllo. Il 18 U.S.C. § 1001 punisce chi, in una questione di competenza del governo federale, consapevolmente e volontariamente nasconde un fatto rilevante o rende una dichiarazione falsa su un punto rilevante, con la multa, la reclusione fino a cinque anni o entrambe. Il dipendente straniero che cerca di ottenere l'ingresso con una dichiarazione volutamente falsa su un fatto rilevante è inammissibile (8 U.S.C. § 1182(a)(6)(C)(i)); se rifiuta di presentare il dispositivo in condizione di essere ispezionato, la CBP può tenerne conto nel decidere sull'ingresso. Il dispositivo stesso può essere trattenuto (direttiva, sezione 5.4.1).

Casi frequenti

«Il segreto commerciale basta a evitare il controllo?» No. La direttiva non prevede esenzioni: impone agli agenti di trattare quelle informazioni come riservate e di proteggerle (sezione 5.2.3).
«E se il dipendente è cittadino americano?» Secondo la CBP, al cittadino americano non viene negato l'ingresso perché il suo dispositivo non è stato ispezionato, ma il dispositivo può essere trattenuto.
«I documenti in italiano cambiano qualcosa?» Per le informazioni in lingua straniera la CBP può chiedere assistenza per la traduzione, anche fuori dall'agenzia; valgono gli stessi limiti di tempo del trattenimento (sezioni 5.5.2 e 5.4.1.1).

Fonti

CBP Directive No. 3340-049B, «Border Search of Electronic Devices», in vigore dal 1° gennaio 2026 (sezioni 1.2, 3.2, 5.1.3, 5.2.1, 5.2.1.1, 5.2.3, 5.3.1, 5.3.3, 5.4.1, 5.4.1.1, 5.4.1.2, 5.5.2, 5.8.1); CBP, pagina «Border Search of Electronic Devices at Ports of Entry» su cbp.gov (ultima modifica 4 agosto 2026); regolamento (UE) 2016/679, artt. 5 e 32 (testo italiano, CELEX 32016R0679); 18 U.S.C. § 1001; 8 U.S.C. § 1182(a)(6)(C)(i). Verificato il 24 settembre 2026.

Dove chiedere aiuto

Questo sito spiega le regole americane. Non segue casi e non risponde a nessuno.

Non ha un modulo di contatto, un telefono o un indirizzo email. Per un problema concreto con un controllo di frontiera, un'autorizzazione di viaggio o un procedimento negli Stati Uniti, i canali sono quelli ufficiali:

Il CBP Information Center (help.cbp.gov) — le domande e i reclami sui controlli dell'agenzia di frontiera statunitense.
DHS TRIP (dhs.gov) — il programma del Dipartimento della sicurezza interna per chi ritiene di avere avuto problemi ripetuti ai controlli di viaggio.
Il sito ufficiale dell'ESTA (esta.cbp.dhs.gov) — l'unico canale ufficiale per chiedere l'autorizzazione di viaggio.
L'Ambasciata d'Italia a Washington e i consolati italiani negli Stati Uniti — per i cittadini italiani in difficoltà; in emergenza, l'Unità di Crisi della Farnesina.
Un avvocato abilitato negli Stati Uniti — l'iscrizione si verifica nell'albo dell'ordine degli avvocati (state bar) dello Stato in cui esercita.

La pagina Dove chiedere aiuto spiega a chi rivolgersi in ciascuna situazione, come si verifica un avvocato e come si ottiene il patrocinio a spese dello Stato.