Metadati probatori nelle foto: cosa memorizza DIAVAG e cosa va perso nel ridimensionamento

Una foto dello smartphone è di regola molto più grande di quanto debba essere per un PDF di perizia o per un portale clienti. Per il caricamento DIAVAG riduce quindi ogni immagine nel browser prima che raggiunga la piattaforma: a un lato lungo di 2000 pixel, codificata come JPEG con un livello di qualità di 0,82. Le immagini in formato JPEG o PNG che comunque non superano i 600 kilobyte restano intatte; gli scatti HEIC dell'iPhone e i file WebP vengono sempre convertiti, perché lì la conversione di formato è lo scopo vero e proprio.

Questa riduzione ha un effetto collaterale decisivo per la conservazione delle prove: l'immagine viene caricata in una superficie di disegno e da lì ricodificata, e nel processo vanno persi tutti i dati EXIF. Sul server arriva un'immagine senza metadati. L'unico momento che il server conosce allora da sé è quello del caricamento, ed è sbagliato come momento dello scatto non appena il perito carica le foto il giorno seguente.

L'orientamento è l'unico valore di metadati che nella riduzione non va perso ma viene applicato: l'immagine viene ruotata prima del disegno così come la fotocamera ha annotato nei dati EXIF, e dopo risulta dritta. Tutto il resto – modello di fotocamera, obiettivo, esposizione, coordinate GPS incorporate, note del produttore e miniature – dopo la riduzione non fa più parte del file.

Poiché i metadati non sopravvivono al caricamento, DIAVAG legge il momento dello scatto dal file inalterato prima della riduzione. Lo standard Exif, che la Camera & Imaging Products Association cura come CIPA DC-008, da ultimo nella versione Exif Version 3.1 con una traduzione pubblicata il 30 gennaio 2026, definisce a tale scopo un tag chiamato DateTimeOriginal. Contiene il momento dello scatto come stringa nel formato «AAAA:MM:GG HH:MM:SS», con i due punti anche nella parte della data. Un secondo tag, OffsetTimeOriginal, indica il fuso orario dello scatto, per esempio «+02:00».

Vengono letti esattamente questi due tag, nient'altro. Il lettore è volutamente piccolo: legge solo l'inizio del file, 256 kilobyte, nei quali per il JPEG il segmento con i dati EXIF si trova subito dopo l'inizio del file e che coprono anche l'intestazione di un file HEIC. Una libreria che portasse con sé centinaia di tag, note del produttore e altri formati di metadati sarebbe del tutto sproporzionata rispetto ai due campi effettivamente necessari. DateTimeOriginal non si trova nella prima directory del file, ma in una sottodirectory a cui rimanda un puntatore; il lettore segue quel puntatore e cerca lì i due tag.

Il risultato viene inviato come momento in un formato univoco insieme al file ridotto, esattamente una voce per file nello stesso ordine, in modo che il server possa abbinare i due. Se un file non porta un momento utilizzabile, perché è uno screenshot, un PNG, un'immagine già ripulita o rielaborata, viene inviata una voce vuota. Una foto senza data leggibile non è un motivo per far fallire il caricamento.

Due peculiarità del formato Exif richiedono una decisione. La prima riguarda il fuso orario. DateTimeOriginal non lo porta. Se la fotocamera scrive inoltre OffsetTimeOriginal, cosa che fanno molti smartphone e fotocamere attuali, il momento è univoco e viene fissato tramite esso. Se l'indicazione manca, DIAVAG legge l'ora come ora locale del dispositivo che carica. È l'assunzione minima possibile in questo flusso: scatto e caricamento avvengono nello stesso luogo, il perito presso il veicolo o il cliente con il suo telefono. L'alternativa, leggere l'ora come tempo universale, in Germania sbaglierebbe sempre di una o due ore.

La seconda peculiarità è il segnaposto. I blocchi EXIF vuoti contengono spesso l'indicazione «0000:00:00 00:00:00». Un parser di date ingenuo continua a calcolare in silenzio con tali campi e arriverebbe a una data nell'anno 1899. DIAVAG verifica quindi dopo la conversione se sono usciti esattamente i campi che stavano nella stringa; in caso contrario il file è considerato privo di momento dello scatto.

Entrambe le decisioni vanno rese note nella perizia quando conta. Un momento tratto da DateTimeOriginal senza fuso orario è un'indicazione di ora locale sotto l'assunzione che il dispositivo che ha caricato si trovasse nello stesso fuso orario della fotocamera. Nella stragrande maggioranza degli incarichi è lo stesso dispositivo. Dove non è così, per esempio con foto che un cliente invia dall'estero, la riserva va nel testo.

Il momento dello scatto arriva sul server come indicazione non verificata del client. Viene quindi verificato lì per plausibilità, non nel browser, perché i limiti stanno dove l'indicazione viene accettata. Valgono due limiti. In avanti: un momento che si trova più di 24 ore nel futuro viene scartato; gli orologi dei dispositivi sbagliano e in EXIF mancano i fusi orari, perciò la tolleranza è generosa ma finita. All'indietro: tutto ciò che è più vecchio di 10 anni viene ugualmente scartato, perché un tale valore è per esperienza un segnaposto o un orologio rotto, non una foto probatoria per un incarico in corso.

Se un momento cade fuori dalla finestra o manca, il campo resta vuoto. La piattaforma non mette al suo posto il momento del caricamento. Quello viene memorizzato separatamente, come momento in cui il file è arrivato, ed è tracciabile come tale in ogni momento. Nel PDF sotto una foto senza momento dello scatto non compare deliberatamente alcuna data. Una data mancante è un'indicazione onesta; una data di caricamento presentata come data dello scatto sarebbe falsa.

La stessa regola vale su entrambe le vie di caricamento. Le foto che il perito carica nel rilievo e le foto che un cliente invia da sé tramite il link preliminare senza accesso passano per la stessa finestra con gli stessi limiti; entrambe le vie devono decidere in modo identico, altrimenti la stessa foto avrebbe una data diversa a seconda del mittente. Per incarico sono possibili in totale 40 foto, di cui al massimo 12 tramite il link cliente. Un'immagine annotata nell'editor foto e salvata come nuovo file non porta alcun momento dello scatto; l'annotazione è una modifica, e la data della modifica non è la data dello scatto.

Il secondo metadato probatorio è la posizione, e qui la precisione nella descrizione conta più della coordinata stessa. DIAVAG non memorizza il dato GPS della foto. Andrebbe comunque perso dopo la riduzione, e non viene letto nemmeno prima. Viene memorizzata la posizione del dispositivo che carica le foto al momento del caricamento, richiesta tramite la funzione di localizzazione del browser, senza alta precisione e con un'attesa di al massimo cinque secondi. Se l'utente non concede il consenso o il dispositivo non risponde in tempo, non viene memorizzata alcuna posizione.

Sul server la coordinata viene verificata rispetto al suo intervallo di valori e altrimenti scartata. Nel PDF compare nella didascalia insieme al momento dello scatto, con cinque decimali. Ciò che la coordinata prova è così chiaramente delimitato: il dispositivo da cui provenivano le foto si trovava in quella posizione al momento del caricamento. Se il perito carica direttamente presso il veicolo, quello è il luogo dell'ispezione. Se carica la sera in ufficio, è l'ufficio, e la perizia non dovrebbe allora essere letta come se vi fosse indicata la posizione del veicolo.

Questa distinzione non è una carenza, ma il motivo per cui l'indicazione è affidabile. Una coordinata dalla foto sarebbe un'affermazione della fotocamera non più verificabile dopo la riduzione. Una coordinata del caricamento è un'osservazione della piattaforma in un momento registrato. Chi vuole provare il luogo dell'ispezione carica sul posto.

Nel PDF della perizia ogni foto reca una didascalia con i metadati probatori disponibili: il momento dello scatto nella notazione della rispettiva lingua e, se memorizzata, la coordinata. Se uno dei due manca, manca anche nella didascalia; la piattaforma non completa. Le foto stesse si trovano in uno spazio di archiviazione privato, non sotto indirizzi pubblici; l'accesso avviene tramite link firmati con validità limitata, per la visualizzazione un'ora. Nella griglia di rilievo vengono mostrate anteprime ridotte di 640 pixel; chi vuole annotare una foto nell'editor riceve a tale scopo appositamente il file originale nella risoluzione memorizzata, perché le marcature dei danni su un'anteprima sarebbero troppo grossolane per una perizia affidabile.

Ogni foto porta inoltre la sua provenienza: se l'ha caricata il perito nel rilievo o il cliente tramite il link preliminare. Entrambe sono fonti ammissibili, ma non sono la stessa cosa, e una perizia che utilizza foto del cliente dovrebbe dirlo. L'etichettatura, l'ordine e l'assegnazione all'incarico sono dati di lavoro del perito; i due metadati probatori sono ciò che la piattaforma ha preso dal file e dal dispositivo, e non viene affermato altro.

Il confine è facile da tracciare. DIAVAG memorizza una copia ridotta e ricodificata di ogni foto con due metadati probatori. Non memorizza il file originale, non il suo blocco completo di metadati, non la sua somma di controllo e non il dato GPS della fotocamera. Chi in un procedimento successivo deve presentare lo scatto inalterato non può ottenerlo dalla piattaforma. Si trova, semmai, sul dispositivo di scatto o in un backup proprio dello studio.

Ne deriva una regola di lavoro che non costa nulla: conservare gli originali. Una cartella per incarico sul telefono o nel backup dello studio, inalterata, con tutti i metadati, è la base probatoria; la piattaforma è il luogo in cui le foto arrivano nella perizia e nel portale. Chi confonde le due cose ha, in caso di controversia, un PDF ad alta risoluzione e nessun file originale. Il principio è lo stesso di ogni misura: nessun valore senza fonte, e la fonte di una foto è il file che la fotocamera ha scritto.

DIAVAG è una piattaforma software per periti. Non impiega periti propri e non redige perizie; mette a disposizione rilievo, bozza e consegna con il marchio del perito. Per le foto prende il momento dello scatto dal file e la posizione del dispositivo con consenso, verifica la plausibilità di entrambi e restituisce solo ciò che ha superato tale verifica. Se una foto mostri ciò che la perizia afferma lo decide il perito che l'ha scattata ed etichettata.