Oscurare i volti nelle foto: online, da telefono o sul proprio PC, senza caricare la foto (e rimuovere i dati EXIF)

Pubblicato il 18 luglio 2026 · Aggiornato il 7 ottobre 2026 · il team di Occlira

Per oscurare i volti nelle foto in modo affidabile serve un riquadro pieno e opaco, non una sfocatura e non un mosaico: sfocatura e pixelizzazione non cancellano il dettaglio che identifica una persona, lo nascondono, e la ricerca mostra che possono lasciare informazioni sufficienti alla reidentificazione. “Sfocare” è la parola con cui si cerca; il risultato sicuro è il riquadro. Resta poi la metà invisibile del problema: i metadati EXIF e GPS scritti nel file, da eliminare in un passaggio a parte. Entrambe le cose si fanno sul proprio computer, senza caricare la foto.

Oscurare i volti nelle foto: online, con un’app o sul PC?

Chi cerca come oscurare un volto trova soprattutto siti che chiedono di caricare l’immagine, qualche app per il telefono e pochi programmi da installare. Per una foto sensibile contano le domande che i confronti di solito saltano: la foto lascia il dispositivo? L’oscuramento si può invertire? Gli EXIF vengono rimossi? La tabella riporta quello che ogni fornitore scrive sulla propria pagina (italiana, dove esiste), consultata l’11 settembre 2026.

“Non indicato” significa che la pagina collegata del fornitore non dice nulla al riguardo: non è un’affermazione sul fatto che lo strumento rimuova o conservi i metadati. “Sì” nella colonna della reversibilità significa che lo strumento dichiara solo sfocatura o pixel: effetti che la ricerca citata più sotto mostra invertibili in determinate condizioni.

Dei metadati quasi nessuno parla. Fra i nove strumenti dedicati alla sfocatura dei volti che abbiamo aperto l’11 settembre 2026 – sette sul web e due app – solo blur-face.com li nomina: “Rimuoviamo automaticamente i metadati sensibili (EXIF) per garantire che la tua posizione rimanga privata.” È anche l’unico, fra questi, a offrire accanto a sfocatura e pixel una “copertura completamente opaca”. (Fonti: blur-face.com; iLoveIMG; Canva.)

Sulle promesse di elaborazione locale bisogna fidarsi della parola del fornitore: imagy dichiara che “Tutta l’elaborazione avviene interamente nel tuo browser tramite WebAssembly e JavaScript”, Watermarkly che “Elaboriamo i file sul tuo dispositivo”. Dove invece il caricamento è dichiarato – “Carica il tuo file e trasformalo” su iLoveIMG – l’originale non ripulito ha già lasciato il computer prima che l’elaborazione cominci. (Fonti: imagy; Watermarkly.)

Sul proprio computer le strade sono poche e precise. In GIMP il percorso è Filtri → Sfocature → Effetto pixel…, filtro che la documentazione italiana presenta proprio come l’effetto televisivo per oscurare il viso di un imputato; resta però una pixelizzazione, e per un oscuramento definitivo si seleziona l’area e la si riempie di nero. (Fonte: documentazione GIMP.)

Sul telefono nessuno strumento di serie rileva i volti, ma su iPhone può coprirli a mano: in un’app supportata come Foto tocchi Modifica e, nella barra degli strumenti di modifica, Aggiungi forma; Apple documenta lì la regolazione del colore di riempimento e dell’opacità della forma. Poi esporti la copia e la verifichi. La posizione invece Apple la fa togliere al momento di condividere: apra le opzioni di condivisione e disattivi Posizione. (Fonti: Apple, strumenti di annotazione su iPhone; Apple, pagina pubblicata a ottobre 2025.) Le guide italiane generaliste, come Aranzulla e Fastweb Plus, elencano strumenti senza discutere la reversibilità della sfocatura. (Fonti: Aranzulla; Fastweb Plus.)

I due rischi in ogni foto: quello visibile e quello invisibile

Una foto porta con sé due problemi indipendenti, e risolverne uno non aiuta con l’altro. Visibili sono volti, targhe, badge, schermi e documenti inquadrati. Invisibili sono i metadati che la fotocamera scrive nel file: dove e quando è stato fatto lo scatto, e con quale dispositivo. Gli strumenti della tabella si occupano quasi tutti solo del primo.

Perché sfocare il viso o pixelarlo non è un oscuramento sicuro

Il punto controintuitivo è questo: un offuscamento debole può lasciare informazioni sufficienti alla reidentificazione. Sfocatura e pixelizzazione lasciano il dettaglio identificativo dentro l’immagine, in forma prevedibile e ricostruibile. Il ricercatore di sicurezza Dan Petro, di Bishop Fox, ha costruito Unredacter, che recupera il testo originale dagli oscuramenti pixelati, perché alla pixelizzazione manca la “diffusione” che la renderebbe irrecuperabile. La sua regola, in un post del 15 febbraio 2022: “…use black bars covering the whole text. Never use anything else. No pixelization, no blurring, no fuzzing, no swirling”, cioè barre nere su tutto il testo e nient’altro (traduzione nostra). (Fonte: Bishop Fox.)

Le prove che sfocatura e pixelizzazione si possono invertire

Non è l’opinione di un singolo ricercatore, ma un risultato documentato, sul testo come sui volti:

• Il testo pixelato si rilegge. Depix è un proof-of-concept pubblico per una tecnica che recupera il testo in chiaro da screenshot pixelati; il repository è stato archiviato nell’aprile 2026 e il progetto si è spostato su Codeberg. (Fonte: Depix.) La sfida pubblica Unredacter di Bishop Fox fu vinta nel 2022, ma su una stringa che non era pixelata: il post sul vincitore, dell’8 settembre 2022, annota che “the effect applied to the obfuscated text was clearly not pixelation, but a blur”, cioè una sfocatura. Quel caso vale dunque per la sfocatura; per la pixelizzazione restano Unredacter e Depix. (Fonte: Bishop Fox.)
• I volti sfocati e pixelati si riconoscono. In uno studio del 2016 (arXiv 1609.00408) una rete neurale ha identificato, nel set di dati AT&T dello studio, volti pixelati a 16×16 con un’accuratezza del 96,25 % e volti sfocati con il metodo di YouTube con il 57,75 % (percentuali dalle tabelle dell’articolo). Offuscare un’immagine perché una persona non la riconosca, concludono gli autori, “potrebbe non essere più sufficiente per la privacy” (traduzione nostra). (Fonte: McPherson, Shokri & Shmatikov.)
• Gran parte dei metodi di anonimizzazione è almeno in parte reversibile. Lo studio “Fantômas” (PoPETS 2024) ha rilevato che 11 metodi su 15 di anonimizzazione dei volti testati sono almeno in parte reversibili. (Fonte: Fantômas, PoPETS 2024.) Un lavoro del giugno 2025 ricostruisce con un modello di diffusione i volti sfocati con la gaussiana, riporta un’accuratezza di re-identificazione del 95,9 % e conclude che “la sfocatura gaussiana non dovrebbe essere usata per anonimizzare i volti” (traduzione nostra). (Fonte: arXiv 2506.12344.)

Come oscurare davvero un volto: riquadro pieno più eliminazione dei metadati della foto

Copra volti e identificatori in modo che i pixel sottostanti spariscano dalla copia che condivide: anonimizzare una foto non è applicare un filtro, è non lasciare nulla da ricostruire. Controlli anche gli elementi di contesto (sfondo, indumenti, oggetti) che possono identificare la persona anche a volto coperto. Poi cancelli i metadati e ricontrolli il file esportato, il passaggio che quasi tutti saltano.

Cosa rivelano i dati EXIF di una foto

Telefoni e fotocamere possono incorporare in ogni immagine un blocco di dati chiamato EXIF: data e ora dello scatto, marca, modello e impostazioni della fotocamera, la posizione GPS se i servizi di localizzazione erano attivi e a volte il numero di serie dell’apparecchio. Secondo Proton, questi metadati invisibili “possono essere usati per tracciare la tua posizione, ricostruire le tue abitudini quotidiane o fare doxing su di te o sui tuoi cari” (traduzione nostra). (Fonte: Proton, 6 agosto 2025.) Sullo schermo non compare nulla e non dia per scontato che un ritaglio li elimini: rimuoverli deve essere un gesto deliberato.

Casi reali in cui i metadati hanno rivelato una posizione

I metadati di una foto hanno contribuito a localizzare o identificare queste persone:

Come scrisse Scientific American sul caso McAfee, le fotocamere degli smartphone scrivono nel file dell’immagine la posizione, la data, l’ora e le impostazioni dell’apparecchio. (Fonte: Scientific American.)

Pubblicare il volto di una persona: GDPR e diritto all’immagine in Italia

Il GDPR parte da un punto spesso frainteso: una fotografia non è automaticamente un dato biometrico. Lo dice il Considerando 51: “Il trattamento di fotografie non dovrebbe costituire sistematicamente un trattamento di categorie particolari di dati personali, poiché esse rientrano nella definizione di dati biometrici soltanto quando siano trattate attraverso un dispositivo tecnico specifico che consente l’identificazione univoca o l’autenticazione di una persona fisica”. L’art. 4, punto 14 definisce i dati biometrici come quelli ottenuti da un trattamento tecnico specifico e cita fra gli esempi l’immagine facciale: un volto riconoscibile è sempre un dato personale, ma rientra nei dati biometrici dell’art. 4, punto 14, e quindi nelle categorie particolari dell’art. 9, solo quando viene sottoposto a un trattamento di riconoscimento facciale. Una fotografia può comunque rivelare altri dati che l’art. 9 elenca, per esempio sulla salute o sulle convinzioni religiose. (Fonte: testo italiano del Regolamento UE 2016/679, PDF del Garante per la protezione dei dati personali.)

Al GDPR si aggiunge il diritto all’immagine. L’art. 10 del Codice civile consente all’autorità giudiziaria, su richiesta dell’interessato, di far cessare l’abuso quando l’immagine di una persona è stata pubblicata “fuori dei casi in cui l’esposizione o la pubblicazione è dalla legge consentita, ovvero con pregiudizio al decoro o alla reputazione”. La legge sul diritto d’autore è più diretta: “Il ritratto di una persona non può essere esposto, riprodotto o messo in commercio senza il consenso di questa, salve le disposizioni dell’articolo seguente” (art. 96 l. 633/1941). L’art. 97 elenca i casi in cui il consenso non serve – fra gli altri notorietà o carica pubblica, esigenze di giustizia o di polizia, scopi scientifici, didattici o culturali, fatti svoltisi in pubblico – con il limite del pregiudizio all’onore, alla reputazione o al decoro. (Fonti: art. 10 c.c.; art. 96 e art. 97 l. 633/1941.)

In entrambi i regimi tutto ruota attorno alla riconoscibilità della persona ritratta, ed è il motivo per cui conta che l’oscuramento tenga. Una presa di posizione del Garante sulla sfocatura o sulla pixelizzazione come metodo di anonimizzazione non l’abbiamo trovata l’11 settembre 2026. Questa è un’informazione generale, non una consulenza legale.

Caricare una foto su un server per proteggerla: il paradosso degli strumenti online

Negli strumenti che chiedono di caricare il file, le pagine dei fornitori rassicurano con parole che però descrivono un caricamento già avvenuto: iLoveIMG cancella i file “entro due ore dall’elaborazione”, snapedit “dopo 60 minuti”. È conservazione breve, non mancato trasferimento – e per la foto di una fonte, di un paziente o di un minore il file che voleva proteggere è il file che ha già spedito. (Fonti: iLoveIMG; snapedit.) Lavorare sul proprio computer rende la domanda inutile; che cosa resta sul dispositivo lo descriviamo nelle Pratiche relative ai dati e alla privacy (in inglese).

Oscurare i volti e rimuovere i metadati EXIF di una foto: passo dopo passo

1. Apra la foto in uno strumento che lavora in locale. Il rilevamento dei volti deve girare sul suo computer, così l’immagine sensibile non finisce su un servizio web prima ancora di essere protetta.
2. Copra ogni volto con un riquadro pieno. Non una sfocatura e non un mosaico, e copra anche ciò che il rilevatore non segnala: targhe, badge, schermi, documenti sulla scrivania e riflessi.
3. Verifichi che l’oscuramento sia definitivo. Nella copia che condivide, sotto la maschera i pixel non devono più esserci: se lo strumento applica una sfocatura reversibile, lo imposti su una maschera piena.
4. Elimini i metadati EXIF e la posizione GPS. Coprire il volto non tocca i metadati invisibili: in un passaggio a sé cancelli le coordinate GPS, i dati della fotocamera e la data dello scatto.
5. Controlli la copia esportata. Riapra il file ripulito: nessun volto deve essere recuperabile e in un visualizzatore EXIF devono risultare assenti la posizione GPS, i dati identificativi della fotocamera e la data e l’ora dello scatto.
6. Tenga l’originale per sé. Condivida soltanto la copia esportata e conservi sul suo computer l’originale intatto.

Checklist prima della condivisione

• Ogni volto coperto con un riquadro pieno, non con una sfocatura o un mosaico reversibili.
• Coperti anche targhe, badge, schermi, documenti e riflessi.
• Coordinate GPS e dati di posizione eliminati.
• Dati della fotocamera (marca, modello, numero di serie) e data dello scatto eliminati.
• Copia esportata ricontrollata in un visualizzatore EXIF: assenti posizione GPS, dati identificativi della fotocamera, data e ora dello scatto.
• Originale tenuto per sé; si condivide solo la copia ripulita.

Sul proprio PC, senza caricare la foto

Occlira affronta i due rischi in un unico passaggio sul suo computer. Il rilevamento dei volti avviene sul dispositivo; lei sceglie fra tre stili di maschera, sfocatura, mosaico o un riquadro pieno, e può disegnare a mano un riquadro su ciò che il rilevatore ha mancato: una targa, un badge, uno schermo. Poiché sfocatura e mosaico si possono invertire, per ciò che pubblica scelga il riquadro pieno. La casella “Rimuovi metadati (EXIF/GPS)” è attiva per impostazione predefinita: all’esportazione spariscono coordinate GPS, marca, modello e numero di serie della fotocamera e la data e l’ora dello scatto. Il file originale resta intatto e viene esportata una copia ripulita; i formati sono JPG, PNG, WEBP, TIFF, BMP e HEIC (foto dell’iPhone, copia salvata in PNG), fino a 40 foto per lotto. La rete serve solo per attivare la licenza (tramite Polar), scaricare il modello e cercare aggiornamenti.

Lo strumento per le foto fa parte di un’applicazione desktop che lavora anche su Word, PDF ed Excel e sostituisce i nomi con un bip nell’audio. Una nota onesta: la modalità di anonimizzazione reversibile per il testo è una pseudonimizzazione, quindi quel risultato resta un dato personale; un riquadro pieno su una foto e un blocco EXIF eliminato sono invece irreversibili per scelta progettuale. Occlira aiuta a farlo bene, non garantisce la conformità, ed è lei a rivedere ogni risultato. Prova gratuita di 14 giorni, Windows e macOS Apple Silicon, licenza una tantum da 149 €.

Domande frequenti

Oscuri una foto nel modo giusto

Copra i volti con un riquadro pieno invece di sfocarli ed elimini i metadati, sul suo computer. Gratis per 14 giorni su Windows e macOS Apple Silicon.

Altro: oscuramento locale vs cloud · per i giornalisti · come vengono gestiti i suoi dati