印刷されたコードは何も処理しません。これは静的な四角形のパターンであり、オフラインで読み取られます。ポスターに電話番号を載せること以上に、データ保護法の対象になるものではありません。
その背後にあるリダイレクトは別の問題です。誰かが読み取ったリンクを開いた瞬間、サーバーはIPアドレス、ユーザーエージェント、タイムスタンプ、通常はリファラーも受け取ります。これは個人データの処理であり、GDPRが処理に求めるすべての要件がここにも適用されます。つまり、適法な根拠、実際にアクセスできる通知、保存期間、ほかに誰がデータを見るのかについて説明できる根拠が必要です。
この記事では、スキャンによって実際に生成される情報と、それぞれに必要な対応を解説します。リンクに関する全体像は URLショートナーのGDPR に、Cookieに関する具体的な問題は 短縮リンクのCookie同意 にまとめています。
スキャンで実際に生成されるもの
読み取りはネットワークを使わず、デバイス上で行われます。その時点ではスマートフォンから何も外に出ていません。そのため、コード自体がコンプライアンス上の問題だと考える必要はありません。
リンクを開くと、通常のHTTPリクエストが生成されます。リダイレクトはIPアドレス、ユーザーエージェント文字列、時刻、場合によってはリファラーを確認します。動的コードでは遷移先の前に1つのホップが加わるため、まずサーバーがこれを確認し、その後に遷移先が確認します。
通常の場合、IPアドレスは個人データです。欧州連合司法裁判所は Breyer でそのように判断しており、第4条 は個人データに間接的な識別を含めています。ここから、人々が受け入れにくい2つの帰結が生じます。データが個人データになるために誰なのかを知る必要はありません。また、集計は収集後に行われるため、集計した件数によって個人データでなくなるわけでもありません。
どの適法な根拠を使うか
スキャン数を数える場合、通常は 第6条1項(f) に基づく正当な利益が適切な根拠です。誰も読まない同意バナーを表示するより、多くのキャンペーンはこの根拠を使うべきです。
ただし、その根拠を無条件に使えるわけではありません。キャンペーン開始前に、利益衡量テストを文書化する必要があります。利益は何か（北側入口のポスターが機能しているかを知ること）、なぜ必要なのか、個人への影響は何か、影響を最小限にするため何をしたのかを記録します。IPを切り捨てること、座標ではなく国を保持すること、短い保存期間を設定することが、テストを有利な結果に導く緩和策です。自分のツールでそのうちどれを実際に適用できるかを確認してください。次のセクション以降で、この点に戻ります。
同意が必要になる明確な地点があり、その線引きを正確に知っておく価値があります。件数を数えるためではありません。国レベルで集計するためでもありません。ランディングページに必須ではないCookieを設定する場合は必要です。これはGDPRではなくePrivacyのルールであり、基礎となるデータ処理の根拠にかかわらず適用されます。サイトをまたいで個人を追跡するプロファイルを作成する場合も必要です。遷移先に設置する リターゲティングピクセル が行うのはこれです。
この分野で実務上役に立つのは、この区別です。スキャン数の計測とサイト横断広告は、異なるルールが適用される別の活動です。これらを1つのものとして扱うと、過剰収集と意味のないバナーの両方が生じます。
通知に記載する内容と場所
ポスターにプライバシー通知を載せることはできず、ページが読み込まれる頃には処理がすでに行われています。そのため、通知はランディングページに置き、探し回らなくてもアクセスできるようにします。また、ウェブサイト全般について一般的に説明するのではなく、スキャンについて具体的かつ正直に説明する必要があります。同じページには、QRコードのアクセシビリティ で扱っている独自のアクセシビリティ義務もあります。
実用的な通知は、次のような内容です。このコードをスキャンすると訪問を記録するページが開くこと、時刻、推定された国、デバイス種別を記録すること、どの掲載場所が機能しているかを測定するために行うこと、正当な利益を根拠とすること、生データを定めた短い期間だけ保持すること、そして誰が処理を担当するのかを説明します。
定期的に起きる問題が2つあります。ある国の物理的な素材にコードが表示されているのに、ランディングページの通知が別の言語でしか存在しない場合、実質的に透明性があるとはいえません。また、店舗の棚の縁に貼ったステッカーでキャンペーンを行っているのに、「当社のウェブサイト」について説明する通知を表示しても、実際に起きたことを説明できていません。
多くのキャンペーンが保存期間でずれる理由
ここでは目的限定が役割を果たします。キャンペーンレポートに必要な生データは数週間分です。2024年のポスターから行われたすべてのスキャンの生ログを必要とする人はいません。
維持しやすいパターンは、生データを短い保存期間だけ保持し、その後は集計値を無期限に保存することです。日別、国別、コード別の件数は残し、IPを含む行は残しません。これなら、誰かが求めることになる数字を失わずに保存期間の制限を満たせます。
これは、データ主体によるアクセス請求や消去請求という扱いにくい問題にも答えを出します。保存期間が過ぎた後は、引き渡したり消去したりできる、リンク可能な情報が残っていないためです。
データが物理的にどこにあるかも重要です。EU向けのキャンペーンでは、それが簡単な説明で済むか、移転評価が必要になるかの違いになります。マーケティング向けEUデータレジデンシー でこの点を、Schrems IIとトラッキングピクセル で分析ツールがEU内にない場合に起きることを解説しています。
DPIAが実際に必要になる場合
マーケティング用のコードだけで必要になることはまれです。ポスターのスキャンがページビューとカウンターを生成するだけなら、どのように評価しても低リスクの処理です。
スキャンが単なる件数ではなく、識別可能な個人に結び付くと基準を超えます。アカウントと紐付いたロイヤルティコード、誰がいつどこにいたかを記録する従業員管理用コード、位置情報と組み合わせて移動パターンを作成するコードなどです。これらは体系的な監視に当たり、第35条が適用され始めます。リンク追跡におけるSOC 2とHIPAA では、規制対象の環境における追跡という関連する問題を扱っています。
もう1つ挙げるべきリスクは、こちらが作り出したものではありません。QRコードは遷移先を隠すため、クイッシング が成立します。第三者がステッカーでパッケージ上のコードを覆うと、処理がこちらのものでなかったとしても評判上の問題になります。対策は、人々が認識できるドメインを使い、現場にあるコードが今も想定した遷移先に解決されるか定期的に確認することです。
スキャン1回で何が保存され、それがどこにあるのかをベンダーに尋ねることは、こうした判断の中で最も低コストで正しく行えます。無料プラン でリンクを作成し、スキャンして、生成されるレコードを読んでから、キャンペーンを印刷に出してください。
あなたが管理者であり、リダイレクトのベンダーは処理者である
コードを印刷する会社がスキャンを数える理由を決めるため、その会社が管理者です。リダイレクトを実行するサービスはその委託を受けてデータを処理するので、第28条 により、苦情が来てからではなくキャンペーンの開始前に、書面のデータ処理契約と副処理者の一覧が必要になります。ベンダーのプライバシーページの中には、一般的な表現でコンプライアンスを約束しているものがあります。ベンダーに求めるべきなのは具体的な情報です。スキャンごとに何が保存されるか、どのくらいの期間か、どこか、そして他に誰が触れるかです。URLショートナーのGDPR では、読むべき条項を順に説明しています。
Elidoがスキャンごとに現在記録するもの
確認できる答えであるべきなので、2026-11-12時点でコードが行っていることを示します。Elidoのダイナミックコードのスキャンは、それぞれ通常のクリックとして記録されます。行には、エッジで切り詰めたIPアドレス（IPv4は/24、IPv6は/48）、完全なユーザーエージェント、リファラー、国、地域、市区町村、おおよその緯度と経度、デバイス、ブラウザが含まれます。スキャンはリンクからのクリックと区別されないため、コードの数字を分けて見たい場合は、コードに専用のリンクが必要です。
監査で発覚するより、先にこれを読んでいただきたいと考えています。ここから二つの限界が生じます。市区町村、座標、完全なユーザーエージェントは各スキャンに引き続き保存されるため、IPを切り詰めても行が匿名になるわけではありません。また、ワークスペースをリージョンに固定する方法もありません。プライマリデータベースと分析ストアはEUにありますが、米国とシンガポールのリダイレクトノードも訪問者のリクエストを処理します。クリックデータの保存期間 では、全項目の一覧と、採用できるポリシーを示しています。まだ提供していない緩和策に頼らないでください。利益衡量テストは、実際に保存されているものを前提に書いてください。
印刷前のチェックリスト
コードを印刷所に送る前に、次を行います。
- 目的を1文で示し、それを支える適法な根拠を明記する。
- ランディングページにスキャン専用の通知を掲載する。
- ベンダーがスキャンごとに保存するのは、目的に必要な範囲を超えないことを確認する。
- 生データの保存期間を設定し、書面に残す。
- アクセス請求や消去請求を誰が扱い、どのように行を見つけるかを決める。
コーナーストーンシリーズを読む
この記事は コンプライアンスクラスター に属します。まず URLショートナーのGDPR でリダイレクト単位の分析を読み、次に 短縮リンクのCookie同意 で同意が実際に適用される場所を確認してください。トラストページ では、Elido自身の処理方針を説明しています。
ブログ内の関連記事
よくある質問
QRコードはGDPRの対象ですか？
印刷されたコードは対象ではありません。四角形のパターン自体は何も処理しないためです。一方、コードが指すリダイレクトは対象です。スキャンされたリンクを解決すると、サーバーはIPアドレス、ユーザーエージェント、タイムスタンプを受け取り、規則が個人データの処理に課すすべての要件が適用されます。
GDPRではIPアドレスは個人データですか？
通常の場合は、はい。欧州連合司法裁判所はBreyer判決で、個人の身元を特定するための適法な手段が存在するウェブサイト運営者にとって、動的IPアドレスは個人データであると判断しました。第4条の定義も間接的な識別を含んでいます。データが個人データになるために、その人の名前まで分かる必要はありません。
QRコードのスキャン数を数えるために同意が必要ですか？
数えるだけであれば、通常は必要ありません。Cookieやサイト横断のプロファイリングを使わない集計型のスキャン分析は、一般に第6条1項(f)に基づく正当な利益を根拠にでき、利益衡量テストで文書化します。ランディングページに必須ではないCookieを設定したり、サイトをまたいで個人を追跡するプロファイルを作成したりする場合は、同意が必要になります。
QRキャンペーンのプライバシー通知には何を記載する必要がありますか？
コードをスキャンすると訪問を記録するページに移動すること、何を記録するのか、目的は何か、どの適法な根拠に基づくのか、どのくらい保存するのか、ほかに誰が確認するのかを記載します。ポスターには通知を載せられず、スキャン時点ですでに処理が行われているため、ランディングページから通知にアクセスできなければなりません。
スキャンデータはどのくらい保存できますか？
記載した目的に必要な期間だけです。キャンペーンレポートで正当化できる生データの保存は数週間であり、数年ではありません。実際には、生ログを短い保存期間だけ保持し、集計値は無期限に保存するのが適切です。これにより、元の識別子なしで件数を残せます。現在の Elido では、クリックの行はプランの保存期間（Freeは90日、Proは1年、Businessは2年）で失効し、どのプランでもこれより短くできます。
製品に付けたQRコードにはDPIAが必要ですか？
それだけで必要になることはまれです。ページビューとカウンターを生成するスキャンは、低リスクです。スキャンが識別可能な個人に結び付けられる場合、体系的な監視に使われる場合、または位置情報の追跡と組み合わされる場合はDPIAが関係してきます。これはマーケティング用ポスターよりも、ロイヤルティや従業員管理のユースケースに見られるパターンです。
Elidoを試す
URLを貼り付けて短縮リンクを取得
登録不要。リンクは30日間有効。永久に保存するには登録してください。
登録不要。無料登録すると月 50 件のリンクを作成できます。