È sicuro caricare un documento d’identità online?

Categoria

Identità e anonimato

Pubblicato

Agosto 28, 2026

Tempo di lettura

11 min di lettura

Caricare un documento d’identità online può essere ragionevole quando un’organizzazione legittima ne ha davvero bisogno, usa una procedura di verifica sicura e spiega come proteggerà, conserverà ed eliminerà il documento. Non è automaticamente sicuro solo perché un sito usa HTTPS, ha un aspetto professionale o richiede un’identificazione. La scansione di un documento può esporre nome completo, data di nascita, indirizzo, numero del documento, foto e firma: dati utili per tentativi di impersonificazione o frodi sugli account. Prima di caricarlo, verifica chi lo richiede, perché ne ha bisogno, se è sufficiente un’alternativa meno sensibile e per quanto tempo lo conserverà. Quando devi condividere un documento, segui le precauzioni per inviare la foto del documento in sicurezza e usa una modalità controllata invece di trattare il file come un normale allegato.

Il caricamento di un documento presenta un rischio minore quando sono vere tutte le seguenti condizioni:

• Il richiedente è verificato. Hai raggiunto l’organizzazione dal sito ufficiale, dall’app, da un numero noto o da un portale affidabile, non tramite un link, SMS o’email non richiesta.
• La richiesta ha uno scopo chiaro. Per esempio, la verifica dell’identità per un servizio finanziario regolamentato, la verifica dell’età quando prevista dalla legge o una domanda di affitto gestita da un amministratore immobiliare conosciuto.
• La richiesta è proporzionata. L’organizzazione sa spiegare perché le serve proprio quel documento, anziché un’opzione meno sensibile.
• Il canale di upload è protetto. L’indirizzo inizia con https://, il dominio è corretto e stai caricando il documento in un portale autenticato invece di rispondere a un’email.
• Le informazioni sulla privacy sono specifiche. Indicano chi tratta il documento, perché, per quanto tempo lo conserva, con chi può condividerlo e come richiederne la cancellazione quando applicabile.
• Puoi limitare la copia. Puoi oscurare i dati irrilevanti o aggiungere un watermark legato allo scopo senza nascondere le informazioni che il destinatario deve legittimamente vedere.

HTTPS è importante perché cifra la connessione tra browser e sito. Non dimostra però che l’azienda sia legittima, che i suoi controlli di accesso interni siano efficaci o che il documento verrà eliminato rapidamente. Considera HTTPS una protezione minima durante il trasferimento, non un segnale di affidabilità completo.

La decisione più sicura viene in genere presa prima che il file lasci il tuo dispositivo. Usa questo controllo pratico ogni volta che un sito ti chiede un passaporto, una patente, una carta d’identità o un altro documento personale.

Da queste domande deriva una regola utile: se non puoi verificare il richiedente o capire perché gli serve il tuo documento, fermati invece di caricarlo. Un’organizzazione legittima dovrebbe poter chiarire la richiesta tramite un canale di assistenza affidabile.

Il rischio principale non è semplicemente che qualcuno veda la tua foto. Un’immagine di alta qualità di un documento combina dati personali che possono rendere più credibili il social engineering, i tentativi di recupero account, la creazione di profili falsi o le truffe mirate. I rischi dell’upload di documenti sono approfonditi in un articolo dedicato. Per capire meglio cosa si può fare con la foto del documento, considera che l’impatto concreto dipende dal documento, dal destinatario, dal Paese e da quali altre informazioni siano già state esposte. Ci sono inoltre misure urgenti da adottare se hai già inviato il documento a un truffatore.

Tra i segnali di allarme rientrano una richiesta inattesa, la pressione ad agire subito, una mancata corrispondenza tra mittente e dominio del sito, errori di ortografia o anomalie nei pagamenti, oppure la richiesta di inviare l’immagine tramite normale email, chat o social media. Un truffatore può fingersi marketplace, datore di lavoro, locatore, corriere, banca o ente pubblico. Contatta l’organizzazione usando recapiti trovati autonomamente; non rispondere al messaggio che ha chiesto il documento.

Minimizzare i dati significa condividere la minore quantità possibile di informazioni personali necessarie a uno scopo definito. È uno dei modi più pratici per ridurre il rischio nel caricamento di documenti.

• Chiedi quali campi sono necessari. Se un servizio deve verificare la maggiore età, potrebbe non avere bisogno di una copia completa e riutilizzabile di ogni dato del documento.
• Oscura dati solo con autorizzazione e attenzione. Copri i campi irrilevanti per lo scopo dichiarato, come numero del documento o indirizzo. Non modificare il documento quando un’organizzazione richiede legittimamente una copia integra per una verifica valida.
• Aggiungi un watermark visibile legato allo scopo. Ad esempio: “Fornito a [organizzazione] per [scopo] il [data]”. Posizionalo senza coprire i dati richiesti. Non impedisce l’uso improprio, ma può rendere la copia meno riutilizzabile fuori contesto.
• Invia dal portale ufficiale. Evita allegati email e upload in chat, salvo che l’organizzazione indichi esplicitamente quel metodo e tu lo abbia verificato in modo indipendente.
• Usa una rete privata e un dispositivo protetto. Mantieni aggiornati sistema operativo e browser, usa un blocco schermo ed evita computer pubblici. Il Wi-Fi pubblico non è ideale per upload sensibili; se devi usarlo, una VPN affidabile può ridurre parte dell’esposizione a livello di rete, ma non rende affidabile un sito fraudolento.
• Conserva una registrazione privata. Annota organizzazione, scopo, data, tipo di documento e conferma dell’invio. Ti aiuterà se in seguito dovrai chiederne la cancellazione o indagare su attività sospette.

L’oscuramento riduce la divulgazione superflua, ma non protegge le informazioni rimanenti. Un watermark aggiunge contesto, ma non blocca screenshot, download o uso improprio deliberato. Non considerare mai queste misure un sostituto della verifica del destinatario e dell’uso di un canale di trasmissione adeguato.

Strumenti diversi risolvono parti diverse del problema. Un portale ufficiale di verifica può essere appropriato quando un’organizzazione deve trattare direttamente il tuo documento. Il cloud storage cifrato può essere adatto alla conservazione privata a lungo termine e ai link controllati. L’email è comoda, ma di solito offre poco controllo dopo l’invio di un allegato: il file può essere inoltrato, scaricato, conservato o copiato in un altro sistema.

Per un documento sensibile da inviare a una persona o a un professionista conosciuto, la domanda importante è spesso cosa accade dopo la consegna. Oblivio è progettata per questa situazione: usa la cifratura end-to-end per la condivisione, mantiene la cronologia operativa principalmente sul dispositivo e supporta controlli come la condivisione associata al destinatario, la scadenza dell’accesso e la revoca. Questo modello è utile quando una copia del documento non dovrebbe restare disponibile senza limiti di tempo o quando inviarla come normale allegato causerebbe una perdita di controllo non necessaria.

Nessuna app può garantire che un destinatario non copierà mai un documento dopo averlo visualizzato. Oblivio affronta questo rischio residuo con controlli multilivello, inclusi tracing e identificativi invisibili collegati al destinatario, pensati per rendere meno anonima una diffusione non autorizzata. Si tratta di misure di deterrenza e responsabilizzazione, non della promessa che ogni screenshot, fotografia o copia possa essere impedita.

Per capire come condividere file senza collegare l’accesso a un indirizzo email personale, leggi come gli username anonimi proteggono la condivisione di file. La privacy non dovrebbe richiedere un’attenzione tecnica costante: scegliere un metodo con limiti di accesso sensati può rendere più sicura la gestione abituale dei documenti sensibili.

Immagina di aver visitato un appartamento e di ricevere un’email che chiede la scansione del passaporto “per riservare l’immobile”. Il nome del mittente assomiglia a quello dell’agenzia, ma il messaggio ti chiede di rispondere con un allegato entro un’ora. Invece di caricare subito il documento, trova autonomamente il numero ufficiale dell’agenzia e chiedi se la richiesta è autentica, quali dati del documento servono e se dispone di un portale sicuro per i candidati.

Se l’agenzia conferma la richiesta e ne spiega il legittimo scopo di verifica, usa il portale verificato oppure concorda una modalità di trasferimento controllata. Aggiungi un watermark specifico per lo scopo se non interferisce con la procedura, condividi solo il documento richiesto e conserva la conferma. Se l’agenzia non riesce a verificare la richiesta o insiste su un allegato email senza spiegazioni, non inviare il documento. Questo scenario è illustrativo, non descrive un incidente reale né garantisce le pratiche adottate nel settore delle locazioni.

• Inviare fronte e retro del documento “per sicurezza”. Fornisci soltanto ciò che il destinatario verificato richiede effettivamente.
• Fidarsi solo dell’icona del lucchetto. HTTPS protegge la connessione, non l’identità dell’organizzazione né le sue pratiche di conservazione.
• Rispondere alla richiesta invece di verificarla autonomamente. Anche uno scambio email convincente può essere fraudolento.
• Caricare un documento in una chat di marketplace o social network. Usa esclusivamente la procedura verificata della piattaforma, quando è chiaramente necessaria e affidabile.
• Usare ovunque una copia riutilizzabile senza watermark. Quando appropriato, crea una versione specifica per lo scopo invece di diffondere una scansione utilizzabile in molti contesti.
• Dare per scontata la cancellazione automatica. Leggi l’informativa, conserva la prova dell’invio e chiedi come richiedere la cancellazione se il servizio non necessita più del documento.

Agisci rapidamente, ma concentrati su misure realistiche di contenimento. Contatta l’organizzazione autentica se è stata impersonata, conserva messaggi e conferma di caricamento e chiedi al servizio ricevente di cancellare il documento se disponi di un canale di contatto valido. Cambia le password degli account collegati all’incidente se hai riutilizzato le credenziali, attiva l’autenticazione a più fattori e monitora avvisi di account sconosciuti, messaggi di reimpostazione password, richieste sospette o movimenti finanziari insoliti. Negli Stati Uniti, IdentityTheft.gov della Federal Trade Commission offre procedure di recupero e indicazioni per la segnalazione; chi risiede altrove dovrebbe usare i canali nazionali di tutela dei consumatori o segnalazione delle frodi d’identità.

• Caricare un documento d’identità online non è intrinsecamente pericoloso, ma richiede un destinatario verificato, uno scopo legittimo e una procedura chiara di gestione dei dati.
• HTTPS è necessario ma non sufficiente: valuta organizzazione, richiesta, politica di conservazione e canale di upload.
• Condividi meno dati quando possibile. Oscuramento e watermark legati allo scopo possono ridurre l’esposizione, ma non eliminano il rischio.
• Per lo scambio di documenti tra persone o professionisti, usa un metodo che limiti l’accesso e ti dia maggiore controllo dopo l’invio.
• Se una richiesta appare urgente, poco chiara o inattesa, verificala autonomamente prima di condividere qualsiasi dato.

Quando la difficoltà non è soltanto consegnare un documento, ma limitarne il tempo di disponibilità, Oblivio può rendere la condivisione più controllata con consegna cifrata, scadenza e opzioni di revoca. Per un’introduzione più ampia ai trasferimenti attenti alla privacy, consulta la nostra guida su come condividere file con un ID utente privato.