Di base, i dati del modulo ESTA rimangono nel database del DHS (Department of Homeland Security) per 2 anni. Dopo questo periodo vengono archiviati. Questo periodo può essere inferiore caso il passaporto associato all’ESTA scada prima dell’autorizzazione stessa.
Tuttavia, il DHS può conservare questi dati per un altro anno. Successivamente, i dati saranno archiviati per permettere di recuperarli in caso di necessità. L’archiviazione limita maggiormente il personale autorizzato a visionare tali dati.
Come prevede la legislazione statunitense in materia di sicurezza, i dati ESTA sono conservati in archivio per 75 anni, allo stesso modo come si faceva precedentemente con il modulo I-94W. Inoltre, non verranno archiviati tutti quei moduli ESTA dove:
- si richiede l’applicazione di legge;
- gli individui hanno a carico indagini o cause legali;
- nel caso la domanda ESTA sia stata rifiutata.
Tutto ciò è conforme alle leggi che regolano la Customs and Border Protection (CBP), che ha in mano la gestione delle frontiere americane.
La legge sulla privacy a tutelare i dati ESTA
Quando si presenta domanda per ottenere l’autorizzazione di viaggio ESTA, sia i dati inviati, sia quelli a cui possono accedere le autorità degli Stati Uniti, sono soggetti alla seguente informativa sulla privacy.
La legge sulla privacy del 1974 (sezione 5 U.S.C. 552a) protegge le informazioni personali che il governo federale americano conserva sui cittadini americani e sui residenti permanenti legali (LPR) nei “sistemi di record” (SOR).
Un SOR è un insieme di record che include informazioni personali gestite da un’agenzia federale associate al nome di un individuo o a un altro identificatore personale.
La legge sulla privacy definisce in quale modo il governo può utilizzare, divulgare, condividere, fornire accesso a, e conservare le informazioni personali che raccoglie.
Il DHS estende agli stranieri i diritti amministrativi della legge sulla privacy, nel quadro di politiche interne ed internazionali. In questo modo il diritto di accesso e di modifica delle informazioni rientrano nelle garanzie, in particolare nei sistemi ad uso misto (sistemi che contengono informazioni su cittadini o residenti statunitensi, oltre i cittadini stranieri).
Non tutte le informazioni raccolte online sono coperte dalla legge sulla privacy. Alcune delle principali disposizioni della legge richiedono che le agenzie governative:
- pubblichino un avviso nel registro federale per giustificare la creazione di un nuovo registro o l’aggiornamento di uno esistente, nonché il carattere dei record e l’utilizzo che ne viene fatto;
- mantengano le informazioni su cittadini e residenti accurate, pertinenti, aggiornate e complete;
- consentano a cittadini e residenti che ne fanno richiesta di accedere e verificare le proprie informazioni contenute in un SOR. (registro di record).
Il vecchio ordinamento della privacy riguardo i dati ESTA
La precedente informativa relativa al trattamento delle informazioni dei cittadini stranieri (inclusi quelli italiani) durante la richiesta per l’autorizzazione ESTA (nonché i dati a cui il governo americano avrà accesso) significa in primo luogo che il governo americano, e nella fattispecie le agenzie incaricate dal DHS alla gestione e verifica delle informazioni, potranno accedere alle informazioni che le autorità nazionali (in questo caso italiane) forniranno loro.
In secondo luogo, il prospetto della normativa pubblicata dal CBP (l’ente per il controllo delle frontiere e dei confini degli Stati Uniti) non pare assegnare particolare protezione ai cittadini stranieri sui dati personali a cui le agenzie statali americane possono accedere. Verosimilmente questi dati saranno registrati ed elaborati per un dato periodo di tempo da esse e dalle agenzie di intelligence.
Il sistema ADIS
In particolare, il sistema ADIS (Arrival and Departure Information System) crea un record personale associato a ciascun viaggiatore. Questa informazione proviene dai dati forniti dagli organi statali italiani. In questo caso segnerà la persona come ’individuo non statunitense” e aggiungerà alcune informazioni:
- storia dei viaggi (non limitata a viaggi verso/da gli USA);
- dati anagrafici generali;
- numero della patente;
- numero di targa del veicolo;
- dati del viaggio;
- classe di ammissione negli USA;
- indicatori biometrici (impronte digitali ed eventualmente dell’iride);
- altre informazioni come il casellario giudiziario.
Questi dati sono utili a valutare l’eleggibilità del richiedente a viaggiare nell’ambito del VWP e quindi a stilare un fattore di rischio, sulla base di specifici algoritmi ed incrocio di dati.
I dati vengono condivisi tra le agenzie statali statunitensi
- USCIS: US Citizenship and Immigration Services
- ICE: US Immigration and Customs Enforcement
- OBIM: Office of Biometric Identity Management
- TSA: Transportation Security Administration
- DHS: Department of homeland security
- OCSO: Office of the Chief Security Officer
Vengono anche coinvolti l’Ufficio agli affari consolari (CA), l’FBI (Federal Bureau of Investigation) e la CIA.
Tempo di conservazione dei dati ESTA
I dati forniti tramite la compilazione del modulo ESTA sono conservati per 75 anni secondo l’attuale direttiva del DHS. Comunque sia, vige il limite di 15 anni per i dati forniti dal viaggiatore al momento di varcare la frontiera. Successivamente vengono aggiornati in tempo reale nei record in possesso degli Stati Uniti. Ad esempio, a seguito di una modifica fatta a livello nazionale.
Dunque, quando il viaggiatore varca la frontiera concede un implicito consenso a tali regole sul trattamento dei dati per il tempo e nelle modalità menzionate.
Una volta che l’individuo abbia fornito le informazioni, sia in modo diretto che indiretto, avrà limitati strumenti legali per tutelare le informazioni in possesso dalle agenzie governative americane. Potrà solo assicurarsi che i dati in possesso dalle autorità siano accurati. Invece, questo non succede con i cittadini o residenti negli USA.
Da parte sua, le agenzie americane giustificano la ridotta facoltà ad accedere ai dati in particolare da parte di cittadini non statunitensi (inclusi cittadini italiani) sia perché la sezione della legge sulla privacy del 1974 menzionata non lo prevede, sia perché un accesso diretto alle informazioni in possesso dalle autorità da parte dei cittadini, potrebbe ostacolare lo svolgimento di indagini nei loro confronti e potrebbe permettere a loro di prendere contromisure con lo scopo di aggirarle.
Per contattare direttamente l’agenzia federale americana deputata al trattamento dei dati personali, è possibile scrivere a:
CBP FOIA Headquarters Office
U.S. Customs and Border Protection
FOIA Division
1300 Pennsylvania Avenue, NW, Room 3.3D
Washington, DC 20002
Fax +1 (202) 325-1476
Esempio 1: Ernesto
Ernesto è un tecnico esperto di sicurezza web. In prossimità del suo viaggio a Los Angeles ha voluto fare una breve ricerca alla scoperta di come le autorità USA trattano le informazioni associate ad una autorizzazione di viaggio.
Infatti, Ernesto ha confermato quello che lui stesso sospettava: non ci sono informazioni aperte sul trattamento dei dati del programma di viaggio senza visto. Infatti, dato che il programma ESTA è strettamente connesso alla sicurezza nazionale degli Stati Uniti, i dati non sono disponibili al pubblico.
Sembra essere ovvio che ogni volta un’ESTA venga rinnovata, la vecchia venga archiviata e la nuova resti aggiornata nel database. Poiché un documento di viaggio è valido per due anni, dopo la scadenza l’ESTA viene archiviata.
In ogni caso, bisogna considerare che il database centrale del governo USA sarà sempre capace di incrociare informazioni sensibili attraverso i propri archivi e le informazioni correnti sui terminali.