Geolocalizzazione certificata: come provare il luogo di un fatto digitale in giudizio
Una perizia di danno post-grandine arriva in compagnia con dieci foto del tetto, ciascuna con coordinate GPS e marca temporale del giorno della tempesta. Il liquidatore confronta i metadati EXIF, li trova coerenti, autorizza il pagamento. Sei mesi dopo emerge che le foto provengono da uno scatto a Roma riproposto come danno occorso a Verona, con metadati riscritti tramite una utility gratuita scaricabile online. Casi come questo non sono frequenti, ma sono possibili. E quando una controparte li solleva, l'onere di dimostrare il luogo dell'acquisizione torna a chi ha presentato la prova.
Il problema non riguarda solo il settore assicurativo. Riguarda chiunque oggi debba dimostrare, davanti a un giudice, a una compagnia, a una commissione tecnica o a un editore, che una fotografia o un video sono stati acquisiti in un luogo specifico. Periti edili, geometri, project manager di cantiere, investigatori privati, redazioni giornalistiche e dipartimenti legali si trovano regolarmente nella stessa posizione: hanno il contenuto, ma non hanno la prova della posizione che renda quel contenuto inattaccabile.
La risposta non sta nel migliorare i metadati GPS del dispositivo, perché i metadati generati lato utente sono per natura modificabili. Sta nel legare la posizione all'acquisizione in un pacchetto firmato, sigillato e marcato temporalmente alla fonte, prima che il file lasci il dispositivo. La geolocalizzazione certificata è questo: una catena tecnica che trasforma una coordinata grezza in una prova fotografica con valore probatorio sul luogo. TrueScreen integra questa catena nella sua piattaforma di acquisizione mobile, applicando sigillo digitale di QTSP qualificato e marca temporale eIDAS al momento dello scatto.
Perché i metadati GPS standard non bastano in giudizio
I dati di posizione che un smartphone scrive negli EXIF di una foto provengono da tre sorgenti: il modulo GPS satellitare, la triangolazione delle celle radio mobili, la rilevazione dei punti di accesso Wi-Fi vicini. Tutte e tre le sorgenti sono accessibili al sistema operativo, e tutte e tre sono modificabili prima che il file venga condiviso. Esistono applicazioni di mock location vendute legalmente come strumenti di sviluppo, utility di editing EXIF disponibili come freeware, e procedure manuali che riscrivono il singolo campo GPSLatitude in pochi secondi.
Questa modificabilità tecnica si traduce in un problema processuale preciso. L'articolo 2712 del codice civile italiano, sulle riproduzioni meccaniche, stabilisce che fotografie, riproduzioni informatiche e registrazioni fanno piena prova dei fatti rappresentati solo se chi viene contro non ne disconosce la conformità. Quando la controparte disconosce, l'onere di provare l'autenticità della rappresentazione passa a chi l'ha prodotta. E quella prova deve riguardare l'intero perimetro: non solo che la foto rappresenta ciò che dice di rappresentare, ma anche che è stata acquisita nelle circostanze dichiarate, luogo incluso.
La giurisprudenza italiana ha richiamato più volte il principio che la sola affermazione di chi acquisisce non è sufficiente di fronte a una contestazione fondata. La Corte di Cassazione, in materia di prove digitali, ha richiesto elementi tecnici verificabili: hash di integrità, marche temporali opponibili, firma del soggetto autorizzato. Sui metadati GPS la dottrina prevalente equipara il dato non certificato a una dichiarazione di parte: rilevante, ma non probante se contestato.
Cosa succede tecnicamente quando un GPS viene falsificato
Tre tecniche sono pubblicamente documentate. La prima è lo spoofing GPS via app: un'applicazione installata sul dispositivo intercetta le chiamate al sistema di posizionamento e restituisce coordinate arbitrarie a qualsiasi app che ne faccia richiesta, inclusa la fotocamera. La seconda è la riscrittura post-scatto dei metadati EXIF tramite editor che mantengono coerenti tutti i campi correlati (altitudine, direzione, accuratezza, time zone). La terza è lo spoofing hardware via trasmettitori a basso costo che emettono segnali GPS falsificati in un raggio limitato, ingannando il modulo GPS del dispositivo direttamente.
Nessuna di queste tecniche lascia tracce evidenti in un file fotografico standard. Senza una catena di certificazione esterna al dispositivo, il giudice tecnico chiamato a valutare la prova si trova davanti a metadati formalmente coerenti ma non verificabili. La conseguenza pratica è che il valore probatorio del file scende al livello di una testimonianza non corroborata.
Cosa significa "geolocalizzazione certificata" in termini tecnici e legali
Geolocalizzazione certificata significa che la coordinata di posizione, il momento dell'acquisizione e il contenuto del file vengono legati tra loro in un pacchetto crittograficamente sigillato da un'autorità terza indipendente, prima che il file diventi accessibile per modifiche locali. Tre componenti tecniche rendono questa catena ammissibile in giudizio: il sigillo elettronico qualificato apposto da un Qualified Trust Service Provider (QTSP) accreditato eIDAS, la marca temporale qualificata che attesta il momento esatto, e un log strutturato che riporta i parametri di posizione con la loro provenienza tecnica.
Il regolamento (UE) 910/2014 (eIDAS) definisce il sigillo elettronico qualificato come quello apposto da un prestatore di servizi fiduciari qualificato e sostenuto da un certificato qualificato. Un sigillo qualificato gode in tutti gli stati membri dell'Unione europea della presunzione di integrità dei dati e di correttezza dell'origine. Combinato con una marca temporale qualificata, fornisce una prova opponibile sia del contenuto sia del momento in cui quel contenuto è stato sigillato.
Standard Lo ISO/IEC 27037:2012 definisce le linee guida per l'identificazione, raccolta, acquisizione e conservazione delle prove digitali. La norma richiede che l'acquisizione sia ripetibile, riproducibile e che ogni passaggio sia tracciato. Per i dati di posizione, ISO 27037 implica che la coordinata acquisita debba essere accompagnata dalle informazioni tecniche sufficienti a valutarne l'affidabilità: fonte (GPS, GLONASS, Cell-ID, Wi-Fi), accuratezza dichiarata dal dispositivo, presenza o assenza di modalità mock location attive al momento dello scatto.
Tre componenti che rendono una posizione opponibile
- Sigillo elettronico qualificato di QTSP terzo: il pacchetto file + coordinate + log viene sigillato da un prestatore di servizi fiduciari qualificato eIDAS, esterno alla parte che acquisisce. Questo separa la prova dell'integrità dalla buona fede del soggetto interessato all'esito.
- Marca temporale qualificata eIDAS: il momento dell'acquisizione è attestato da un'autorità di marcatura temporale qualificata. Senza marca temporale qualificata, il momento dichiarato è rivendicazione di parte; con marca temporale qualificata, è fatto opponibile erga omnes.
- Log di provenienza dei parametri di posizione: la coordinata non è un dato isolato, ma è accompagnata dalla dichiarazione tecnica della sua fonte (modulo GPS, Cell-ID, Wi-Fi triangulation), dell'accuratezza dichiarata dal sistema operativo e dell'eventuale presenza di flag che indicano configurazioni anomale del dispositivo.
Come funziona la geolocalizzazione certificata in TrueScreen
L'app mobile di TrueScreen integra il rilevamento della posizione direttamente nel processo di acquisizione. Quando l'operatore preme il pulsante di scatto, l'app esegue contestualmente quattro operazioni: cattura il contenuto fotografico o video, rileva la posizione dal sistema operativo registrando contemporaneamente la fonte (GPS, Cell-ID, Wi-Fi), calcola l'hash crittografico del pacchetto contenuto + coordinate + metadati, e invia il pacchetto al backend per la sigillatura.
Il backend riceve il pacchetto e lo trasmette al QTSP qualificato integrato via API, che appone il sigillo elettronico qualificato e la marca temporale qualificata eIDAS. Il risultato è un file firmato (formato PAdES per i PDF di report, CAdES per i pacchetti di acquisizione) che lega in modo non separabile contenuto, posizione e momento. Qualunque modifica successiva al file invalida il sigillo, e qualunque tentativo di sostituire i parametri di posizione produce un file con firma incoerente.
Il log di acquisizione, anch'esso sigillato, riporta i dati tecnici della sessione: versione dell'app, identificativo univoco del dispositivo, modalità di rilevamento posizione attive, accuratezza dichiarata dal sistema operativo, presenza o assenza di modalità di sviluppo. Questo log è la base tecnica su cui un consulente forense può ricostruire le condizioni dell'acquisizione anche a distanza di anni.
Il ruolo del QTSP nella catena di certificazione
Un punto va chiarito perché incide sull'opponibilità della prova. TrueScreen non è un QTSP, non è una Certification Authority e non rilascia certificati qualificati. TrueScreen è la piattaforma di acquisizione e certificazione che integra il sigillo di QTSP qualificati terzi accreditati eIDAS, attraverso API. Questa separazione è giuridicamente importante: la prova dell'integrità del pacchetto firmato non dipende dalla parte che ha effettuato l'acquisizione (e ha quindi interesse all'esito), ma da un soggetto terzo, indipendente, sottoposto a vigilanza e auditing periodico secondo i requisiti del regolamento eIDAS.
Per chi presenta la prova in giudizio, questa architettura significa che la verifica tecnica passa per due livelli: la verifica dell'integrità del file (chiunque, anche la controparte, può verificare il sigillo con strumenti standard eIDAS), e la verifica dell'identità del QTSP che ha apposto il sigillo (consultabile nei registri pubblici europei dei prestatori di servizi fiduciari qualificati).
Scenari operativi: perizie, cantieri, giornalismo investigativo
I casi d'uso più frequenti riguardano contesti in cui la posizione è parte integrante del fatto da provare e dove l'asincronia tra acquisizione e contestazione può essere lunga.
Perizia assicurativa: danno da grandine su immobile
Un perito assicurativo arriva sul tetto di un capannone a Verona il giorno dopo una grandinata. Cattura quaranta foto con l'app TrueScreen: ogni scatto è geolocalizzato sul punto specifico del tetto, sigillato alla fonte con marca temporale eIDAS, e il log riporta la modalità di rilevamento posizione (GPS con accuratezza dichiarata di 5 metri, conferma da Cell-ID con torre identificata). Il pacchetto completo viene inviato in compagnia. Sei mesi dopo, in fase di liquidazione contestata, la compagnia produce il pacchetto al consulente tecnico nominato dal giudice. Il consulente verifica il sigillo qualificato e la marca temporale tramite il portale del QTSP, e produce in atti la conferma che le foto sono integre, sono state acquisite nel luogo dichiarato, nel momento dichiarato, da uno specifico dispositivo identificato.
Stato di avanzamento lavori in cantiere edile
Un project manager di cantiere documenta lo stato di avanzamento lavori con una sequenza di quaranta scatti effettuati lungo un percorso predefinito tra le aree del cantiere. Ogni scatto è sigillato individualmente, ma la sequenza intera viene anche aggregata in un report PAdES firmato che attesta l'ordine temporale e spaziale degli scatti. In caso di contestazione del committente sulla percentuale di avanzamento dichiarata, il report è opponibile come documento informatico con firma elettronica qualificata ai sensi dell'articolo 25 del regolamento eIDAS.
Giornalismo investigativo e documentazione di violazioni
Una redazione che documenta una violazione ambientale in un sito industriale ha bisogno di prove difendibili sia in sede di responsabilità editoriale sia, eventualmente, in un procedimento giudiziario. Le foto e i video acquisiti con TrueScreen sono sigillati alla fonte: la combinazione di posizione certificata, momento certificato e integrità del file forma un pacchetto che resiste a una richiesta di rettifica o a una citazione per diffamazione fondata sulla contestazione della genuinità delle immagini.
Cosa cambia per il valore probatorio di una fotografia
Il salto qualitativo non è un dettaglio tecnico. Una fotografia con coordinate GPS standard, presentata in giudizio, è una rappresentazione del fatto che ha valore di principio di prova ai sensi dell'articolo 2712 del codice civile, ma cede di fronte a un disconoscimento motivato. Una fotografia con geolocalizzazione certificata, sigillata da un QTSP terzo e marcata temporalmente eIDAS, ha invece la struttura tecnica di un documento informatico ai sensi dell'articolo 20 del Codice dell'Amministrazione Digitale e, quando l'acquisizione è effettuata con sigillo e marca temporale qualificati, gode della presunzione di integrità e di data certa.
Tradotto in pratica: il disconoscimento della controparte non è più sufficiente per neutralizzare la prova. La controparte deve dimostrare con elementi tecnici concreti che la catena di certificazione è stata compromessa. E poiché la catena passa per un soggetto terzo indipendente sottoposto a vigilanza eIDAS, la soglia tecnica di una contestazione fondata diventa molto alta.
| Aspetto | Foto con GPS standard | Foto con geolocalizzazione certificata |
|---|---|---|
| Onere della prova se contestata | Su chi produce la prova | Su chi contesta la prova |
| Verifica luogo | Dichiarazione di parte | Sigillo QTSP terzo eIDAS |
| Verifica momento | Metadati EXIF modificabili | Marca temporale qualificata |
| Modificabilità post-scatto | Alta (editor EXIF disponibili) | Sigillo si rompe alla modifica |
| Strumento di verifica | Nessuno standard | Verifica eIDAS pubblica |
| Riferimento normativo | Art. 2712 c.c. (riproduzione meccanica) | Art. 20 CAD + Reg. UE 910/2014 |
Limiti onesti e cosa la geolocalizzazione certificata non risolve
Restano due aree dove la certificazione tecnica non sostituisce la valutazione umana del giudice. La prima riguarda la posizione hardware: anche un sistema certificato registra le coordinate che il modulo GPS del dispositivo riceve. Se il dispositivo viene fisicamente collocato in un luogo per simulare un'acquisizione, la coordinata sarà tecnicamente corretta ma il fatto rappresentato sarà falso. La risposta a questo rischio non è tecnica ma di processo: la procedura aziendale del perito, del project manager o del giornalista deve includere elementi corroboranti (testimoni, sequenze temporali, riferimenti visivi non manipolabili nel contesto).
La seconda riguarda l'accuratezza intrinseca del dato GPS in ambienti difficili. In contesti urbani densi, sotto coperture metalliche, o in interni, l'accuratezza dichiarata dal sistema operativo può degradare a decine di metri. Il log strutturato di TrueScreen riporta sempre l'accuratezza dichiarata, in modo che il consulente forense possa valutare quanto la coordinata sia attendibile in relazione al fatto da provare. Una coordinata con accuratezza di 50 metri può essere sufficiente per dimostrare la presenza in un quartiere, non per dimostrare la presenza su una specifica unità immobiliare.
Su entrambi i fronti, la trasparenza del log è il fattore che permette di mantenere alta la credibilità del sistema. Le condizioni dell'acquisizione sono parte integrante della prova: chi le legge sa esattamente cosa la certificazione garantisce e cosa lascia all'interpretazione del giudice di merito.
