Metadati: cosa sono, cosa rivelano di un file e perché da soli non bastano come prova

Cosa sono i metadati: una definizione semplice

I metadati sono “dati sui dati”, come li definisce la guida Understanding Metadata della NISO: informazioni che descrivono un contenuto e servono a trovarlo, usarlo e gestirlo. Il significato di metadati si coglie con la busta di una lettera, dove mittente, indirizzo e timbro postale descrivono la lettera senza esserlo; allo stesso modo un metadato è la data di scatto di una foto o l’autore di un documento. TrueScreen verifica i metadati e le loro fonti prima di applicare il sigillo, insieme all’ambiente, al dispositivo e al contenuto acquisito.

A cosa servono i metadati? Soprattutto a ritrovare e a ordinare, come fa la galleria del telefono quando raggruppa le foto per data e luogo. I metadati sono nati per descrivere e ritrovare i file, non per certificarne la storia, e da questa origine dipendono utilità e limiti.

Tipi di metadati: descrittivi, strutturali, amministrativi

La guida NISO distingue i metadati descrittivi, che servono a trovare una risorsa (titolo, autore, parole chiave), da quelli strutturali, che ne descrivono le parti, come l’ordine delle pagine. Gli amministrativi, che servono a gestirla nel tempo, comprendono i dati tecnici (formato, dispositivo), quelli di conservazione, come l’impronta hash con cui se ne controlla l’integrità, e quelli sui diritti d’uso.

Dati e metadati: la differenza

A differenza dei dati, che sono il contenuto del file, i metadati sono l’etichetta che lo accompagna: in una fotografia i pixel sono il dato, mentre data di scatto, modello della fotocamera e coordinate GPS sono metadati. Per questo cambiare i metadati modifica soltanto ciò che il file racconta di sé, senza lasciare tracce visibili nel contenuto.

Dove si trovano: dentro il file e nel sistema operativo

Una parte dei metadati è scritta dentro il file. Nelle foto l’EXIF, arrivato alla versione 3.1 del 30 gennaio 2026, registra i dati della fotocamera, l’XMP, norma ISO 16684-1 dal 2012, è usato dai programmi di fotoritocco e l’IPTC Photo Metadata conserva didascalie, autore e diritti. Nei PDF e nei file Office stanno tra le proprietà del documento, nelle email nell’intestazione.

Un’altra parte sta nel file system: le date di creazione, ultima modifica e ultimo accesso le registra il sistema operativo e riguardano quella copia su quel disco. Sono metadata anche questi, per usare il termine inglese, ma non viaggiano con il file.

Cosa rivelano i metadati, tipo di file per tipo

I metadati rivelano soprattutto quando, con quale strumento e da chi un file dichiara di essere stato prodotto, e quanto dicono dipende dal formato. Nei contenuti che acquisisce, TrueScreen non ricava ora e posizione da questi campi, ma li prende dal dispositivo durante la cattura.

Gli esempi di metadati più comuni, file per file:

Le foto hanno un approfondimento dedicato ai metadati EXIF e alla prova della data di uno scatto in giudizio. I metadati rivelano anche ciò che non si vorrebbe far sapere, come le coordinate GPS di una foto scattata in casa. Un file dice molto di sé, ma ciò che dice resta una sua dichiarazione, da verificare prima di trarne conclusioni.

Perché i metadati da soli non bastano come prova

I metadati da soli non bastano come prova perché sono dichiarazioni che il file fa su se stesso: chi lo possiede può modificarle senza alterare il contenuto, molte piattaforme le eliminano o le riscrivono e le date del sistema operativo cambiano a ogni copia. TrueScreen applica sigillo e marca temporale nel momento dell’acquisizione perché da un file di origine ignota si ricava al massimo un’opinione, mentre ciò che è certificato all’acquisizione offre un’integrità verificabile dal momento della cattura.

Si modificano in pochi clic

I metadati si possono modificare senza toccare il contenuto del file. ExifTool, il programma gratuito di Phil Harvey, legge e scrive i metadati EXIF, IPTC, XMP e quelli dei PDF, per i quali lo standard ISO 32000-1 prevede la data di creazione (CreationDate) e quella di modifica (ModDate) come voci facoltative.

Le date del file system non fanno eccezione: nella pagina File Times Microsoft documenta la funzione SetFileTime, che cambia data di creazione, ultimo accesso e ultima scrittura senza modificare il contenuto. Una guida dedicata spiega come cambiare data, luogo e dispositivo di una foto.

Social e app di messaggistica li tolgono o li riscrivono

Le piattaforme che ricevono una foto ne alterano spesso i metadati: in un test dell’IPTC del 2016, 10 siti di condivisione su 15 toglievano almeno una parte dei metadati, e la verifica del 2019 su 16 piattaforme ha confermato la tendenza, con Pexels, Pixabay, Unsplash e Twitter che eliminavano i metadati e Facebook che cancellava il blocco XMP.

Sulle app di messaggistica, uno studio dell’Università di Bologna pubblicato nel 2020 ha rilevato che Instagram, Telegram e WhatsApp conservavano solo una parte dei metadati. Cosa resta dipende dall’app e da come il file viene inviato, ma una foto arrivata in chat porta spesso metadati incompleti o scritti dalla piattaforma.

Copie e trasferimenti cambiano le date registrate dal sistema operativo

Copiare un file basta a cambiarne la data di creazione. Secondo la guida forense del NIST SP 800-86, dopo una copia la data di creazione diventa quella della copia mentre l’ultima modifica resta invariata, e le date possono comunque essere state alterate. Un contratto scaricato ieri da un’email risulta così creato ieri, anche se è stato scritto mesi prima.

Da un file di origine ignota si ricava un indizio, non un risultato difendibile

Un metadato letto su un file di cui non si conosce la storia è un indizio: dice ciò che il file dichiara di sé, non ciò che è accaduto. Un metadato è una dichiarazione del file su se stesso, e chi ha il file può riscriverla. Metadati coerenti non dimostrano l’autenticità, perché possono essere stati sistemati con cura, e metadati assenti non dimostrano una manomissione, perché una foto passata da una chat li perde senza colpa di nessuno.

Perché un metadato pesi deve essere confermato da altro: testimonianze, documenti, un’acquisizione condotta secondo regole riconosciute come le linee guida ISO/IEC 27037 del 2012, su cui si regge la catena di custodia di un file. TrueScreen parte da qui e registra il contesto nel momento dell’acquisizione, invece di ricostruirlo a posteriori.

Metadati e prova in giudizio: cosa dice la legge e cosa succede nei casi reali

In Italia una foto o un’altra riproduzione informatica prodotta in causa fa piena prova finché la controparte non ne disconosce la conformità ai fatti; dopo il disconoscimento i metadati diventano uno degli elementi che il giudice valuta. In giudizio la valutazione spetta al giudice, e un metadato è un elemento da confermare con altre prove.

Il quadro normativo

Il punto di partenza è l’art. 2712 del codice civile: le riproduzioni fotografiche e informatiche “formano piena prova” dei fatti e delle cose rappresentate se colui contro il quale sono prodotte “non ne disconosce la conformità”. Per la Cassazione il disconoscimento deve essere “chiaro, circostanziato ed esplicito” (ordinanza 13684 del 22 maggio 2025) e non rende la foto inutilizzabile, perché la conformità può essere accertata con altri mezzi di prova, presunzioni comprese (ordinanza 617 del 12 gennaio 2026), come spiega l’approfondimento sull’art. 2712 c.c. applicato alla prova digitale.

Per il documento informatico vale l’art. 20, comma 1-bis, del Codice dell’amministrazione digitale: fuori dai casi di firma digitale e delle altre firme e processi indicati dalla norma, che gli danno l’efficacia prevista dall’art. 2702 c.c., il suo valore probatorio è liberamente valutabile in giudizio in base a sicurezza, integrità e immodificabilità.

Il regolamento europeo eIDAS collega effetti precisi a due strumenti diversi dai metadati: la marca temporale qualificata gode della presunzione di esattezza della data e dell’ora e di integrità dei dati (art. 41), il sigillo elettronico qualificato della presunzione di integrità dei dati e di corretta provenienza (art. 35). Gli articoli citati riguardano la marca temporale e il sigillo, non le date scritte dentro un file.

La foto del danno con la data contestata

La diffidenza delle compagnie ha basi concrete: in un’indagine Verisk del marzo 2026 riportata da Claims Journal, il 36% dei consumatori statunitensi valuterebbe di alterare digitalmente una foto o un documento per sostenere un risarcimento, e il 98% dei professionisti dei sinistri ritiene che l’intelligenza artificiale stia facendo crescere le frodi.

Nel caso dell’allagamento la compagnia disconosce le foto in modo circostanziato, perché l’EXIF si modifica con un programma gratuito e gli scatti sono arrivati via chat. A quel punto altri elementi, come la fattura dell’idraulico, la segnalazione all’amministratore o le testimonianze dei vicini, possono essere valutati dal giudice per verificare la conformità delle foto ai fatti. Con TrueScreen la data di una foto non dipende dall’EXIF: è quella registrata e sigillata durante l’acquisizione.

Il PDF con la “data di creazione” portata come prova della firma

La “data di creazione” di un PDF dice quando un programma ha generato quel file, non quando le parti hanno firmato l’accordo. Basta esportare di nuovo il documento perché cambi, e il campo si riscrive senza toccare una virgola del contratto, come mostra la guida per modificare i metadati di un PDF o di un video. Per datare un accordo si può ricorrere a una marca temporale o ad altre forme di dati certi previste dalla legge, mentre la data nelle proprietà del file resta al più un indizio coerente con il resto.

Funzionalità

Come certificare un file con valore legale

Con TrueScreen un file riceve sigillo digitale e marca temporale qualificata: data certa e ogni modifica successiva rilevabile.

Scopri di più →

Come si rende verificabile un file dal momento in cui nasce?

TrueScreen rende un contenuto verificabile acquisendolo alla fonte: registra ora, posizione, dispositivo e rete nel momento della cattura, verifica i dati prima del sigillo e chiude il pacchetto con un sigillo digitale ufficiale e una marca temporale qualificata, riconosciuti internazionalmente. Il limite dei metadati non si supera leggendoli meglio, ma registrando la storia del file nel momento in cui nasce.

Acquisizione alla fonte: verifiche prima del sigillo, poi sigillo e marca temporale

Con l’App TrueScreen una foto viene scattata in tempo reale, in un ambiente controllato, e prima del sigillo la metodologia forense verifica l’ambiente e il dispositivo, i metadati e le loro fonti, il contenuto acquisito e l’integrità tecnica del pacchetto. Ora, posizione e dati del dispositivo arrivano dal dispositivo stesso e non vengono inseriti a mano: l’app sincronizza l’orologio con un server orario, rifiuta una posizione segnalata come simulata, blocca l’acquisizione con il cavo collegato e su iOS rileva il jailbreak.

Durante l’acquisizione la modifica del contenuto è impedita e dopo la certificazione diventa rilevabile grazie al sigillo e alla marca temporale: il risultato è una prova certificata, il cui peso resta affidato al giudice. I controlli rendono più difficile mettere in scena un contenuto, ma non giudicano ciò che la foto mostra. Se un perito fotografa il danno con l’app, la data è quella registrata e sigillata durante l’acquisizione, non quella dell’EXIF.

File già esistenti: data certa da oggi, metadati letti come indizio

Un file che esiste già si può certificare, ma gli effetti partono dal momento della certificazione. Con il Portal da computer, con la procedura per certificare un file, o con l’app da telefono, TrueScreen applica sigillo e marca temporale al file, o alla sola impronta hash quando il file non deve uscire dal perimetro di chi lo possiede, e ne fissa la data certa: da quel momento ogni alterazione diventa rilevabile. La certificazione prova esistenza e integrità da quel momento, non l’origine né l’autenticità dalla creazione, perché non è un’acquisizione forense: una foto già nella galleria del telefono riceve la data certa dalla marca temporale, non dall’EXIF.

Per le immagini e i video pubblicati su una pagina web c’è poi Media Inspector, una funzione del Forensic Browser per macOS e Windows che mostra i media della pagina con i dati tecnici, l’impronta SHA-256 e i metadati EXIF, XMP e IPTC. Legge ciò che il file dichiara, e l’assenza di un dato vi compare come informazione mancante, mai come prova di manomissione: un indizio da approfondire, non un verdetto.

1. 1

   Non affidarsi alle proprietà del file

   Data di creazione, autore e coordinate sono un punto di partenza: prima di usarli in una trattativa o in giudizio conviene chiedersi da dove arriva il file e quali altre prove confermano ciò che dichiara.

2. 2

   Conservare l’originale senza passarlo da app che lo ricomprimono

   L’originale va conservato così com’è, sul dispositivo che lo ha prodotto o in una copia fedele, senza farlo passare da chat e social che tolgono parte dei metadati.

3. 3

   Certificare alla fonte ciò che si acquisisce da ora

   Le foto che serviranno come prova conviene acquisirle subito in modo certificato, con data, posizione e dispositivo sigillati nel momento della cattura.

4. 4

   Per i file già esistenti, fissare la data certa e documentarne la provenienza

   Un file già esistente si certifica con sigillo e marca temporale, annotando da chi è arrivato, quando e per quale canale, perché la provenienza resta da dimostrare con altri elementi.

In conclusione