QR-codes en AVG: wat een scan verzamelt en wat je moet doen

De gedrukte code verwerkt niets. Het is een statisch patroon van vierkantjes, het wordt offline gedecodeerd en het valt niet meer onder de gegevensbeschermingswetgeving dan een telefoonnummer op een poster.

De redirect erachter is een ander verhaal. Zodra iemand de gedecodeerde link opent, ontvangt je server een IP-adres, een user agent, een tijdstempel en meestal een verwijzer. Dat is verwerking van persoonsgegevens, en alles wat de AVG aan verwerking verbindt, geldt hier: een grondslag, een verklaring die mensen echt kunnen bereiken, een bewaartermijn en een verdedigbaar antwoord op de vraag wie het verder ziet.

Dit artikel behandelt wat een scan werkelijk oplevert en wat elk onderdeel vereist. Het bredere plaatje voor links staat in AVG voor URL-verkorters, en de cookievraag specifiek in cookietoestemming voor korte links.

Wat een scan werkelijk oplevert

Het decoderen gebeurt op het apparaat, zonder netwerk. Op dat moment heeft niets de telefoon verlaten, en daarom is de code zelf niet de compliancevraag die mensen denken dat het is.

Het openen van de link levert een gewoon HTTP-verzoek op. De redirect ziet het IP-adres, de user agent-string, het tijdstip en soms een verwijzer. Een dynamische code voegt vóór de bestemming één hop toe, dus jouw server ziet dit als eerste, daarna die van de bestemming.

Een IP-adres is in het gewone geval een persoonsgegeven. Het Hof van Justitie oordeelde dat zo in Breyer, en artikel 4 definieert persoonsgegevens zo dat indirecte identificatie erbij hoort. Daaruit volgen twee consequenties waar mensen zich tegen verzetten: je hoeft niet te weten wie iemand is om van een persoonsgegeven te spreken, en geaggregeerde aantallen witwassen het niet, want de aggregatie gebeurt na de verzameling.

Welke grondslag

Voor het tellen van scans is gerechtvaardigd belang onder artikel 6, lid 1, onder f normaal gesproken de juiste grondslag, en het is de grondslag die de meeste campagnes zouden moeten gebruiken in plaats van een cookiebanner die niemand leest.

Die grondslag is niet gratis. Hij vereist een belangenafweging die je vóór de campagne op papier zet: wat het belang is (weten of de poster bij de noordingang werkt), waarom het noodzakelijk is, wat de impact op het individu is en wat je deed om die te minimaliseren. IP-adressen inkorten, het land bewaren in plaats van coördinaten en een korte bewaartermijn instellen zijn de maatregelen waardoor de afweging in jouw voordeel uitvalt. Controleer welke daarvan je eigen tool je echt laat toepassen; de volgende secties komen daarop terug.

Toestemming wordt op een specifiek punt nodig, en het is goed om precies te weten waar die grens ligt. Niet voor tellen. Niet voor aggregatie op landniveau. Wel voor niet-essentiële cookies op de landingspagina, wat de ePrivacyregel is en niet die van de AVG en geldt ongeacht je grondslag voor de onderliggende gegevens. Wel voor het opbouwen van een profiel dat de persoon over sites volgt, wat een retargeting-pixel op de bestemming doet.

Dat onderscheid is het praktisch bruikbare deel van dit hele gebied: scans tellen en advertenties over sites heen zijn verschillende activiteiten met verschillende regels, en ze als één ding behandelen leidt zowel tot overmatig verzamelen als tot zinloze banners.

Wat de verklaring moet zeggen, en waar

De poster kan de privacyverklaring niet dragen, en tegen de tijd dat de pagina laadt, heeft de verwerking al plaatsgevonden. De verklaring staat dus op de landingspagina, bereikbaar zonder zoeken, en moet eerlijk zijn over een scan specifiek in plaats van algemeen over de website. Diezelfde pagina heeft een eigen toegankelijkheidsverplichting, behandeld in QR-code-toegankelijkheid.

De werkbare versie zegt: het scannen van deze code opent een pagina die het bezoek registreert, we leggen het tijdstip, het geschatte land en het apparaattype vast, we doen dat om te meten welke plaatsingen werken, op grond van gerechtvaardigd belang, we bewaren ruwe registraties een korte, vastgelegde periode en dit is wie het voor ons verwerkt.

Twee dingen gaan regelmatig mis. Een code die op fysiek materiaal in het ene land verschijnt terwijl de verklaring van de landingspagina alleen in een andere taal bestaat, is niet zinvol transparant. En een verklaring die "onze website" beschrijft terwijl de campagne een sticker op een schapkant in een winkel is, beschrijft niet wat er echt is gebeurd.

Bewaartermijn is waar de meeste campagnes afdwalen

Doelbinding doet hier het werk. Een campagnerapport heeft ruwe registraties nodig voor weken; niemand heeft het ruwe log van elke scan van een poster uit 2024 nodig.

Het patroon dat standhoudt: een korte bewaartermijn voor ruwe registraties en daarna aggregaten die onbeperkt worden bewaard. Aantallen per dag, per land, per code blijven bestaan. De rij met een IP-adres niet. Dat voldoet aan opslagbeperking zonder de cijfers te verliezen waar ooit iemand naar zal vragen.

Het beantwoordt ook de lastige vraag van inzage- en wissingsverzoeken, want na de termijn is er niets herleidbaars meer om te overhandigen of te verwijderen.

Waar de data fysiek staat, doet er ook toe, en voor EU-campagnes is dat het verschil tussen een eenvoudig antwoord en een doorgiftebeoordeling. EU-dataresidentie voor marketing behandelt dat, en Schrems II en trackingpixels behandelt wat er gebeurt als de analysetool niet in de EU staat.

Wanneer een DPIA echt nodig is

Zelden voor een marketingcode. Een posterscan die een paginaweergave en een teller oplevert, is naar elke lezing verwerking met laag risico.

De drempel wordt overschreden wanneer scannen aan een identificeerbaar persoon is gekoppeld in plaats van aan een aantal: een loyaliteitscode gekoppeld aan een account, een personeelscode die vastlegt wie waar en wanneer was, een code die met locatiegegevens een bewegingspatroon opbouwt. Dat is systematische monitoring, en artikel 35 gaat gelden. SOC 2 en HIPAA voor linktracking behandelt de aangrenzende vraag over tracking in gereguleerde contexten.

Het andere risico dat het noemen waard is, is niet het jouwe. Een QR-code verbergt zijn bestemming, en dat is precies waarom quishing werkt. Een code op je verpakking die een vreemde met een sticker afdekt, wordt jouw reputatieprobleem, ook al was de verwerking nooit van jou, en de oplossing is een domein dat mensen herkennen plus periodieke controles of de codes in het veld nog steeds naar de juiste plek leiden.

Aan de leverancier vragen wat een scan opslaat en waar het staat, is van deze beslissingen de goedkoopste om goed te krijgen. Maak een link aan op het gratis plan, scan hem en lees de registratie die hij oplevert voordat de campagne naar de drukker gaat.

Jij bent de verwerkingsverantwoordelijke, de redirectleverancier is de verwerker

Het bedrijf dat de code drukt, bepaalt waarom scans worden geteld en is dus de verwerkingsverantwoordelijke. De dienst die de redirect draait, verwerkt de gegevens namens hem, wat betekent dat artikel 28 een schriftelijke verwerkersovereenkomst en een lijst van subverwerkers vereist voordat de campagne begint, niet na een klacht. Sommige privacypagina's van leveranciers beloven naleving in algemene termen. Wat je van een leverancier nodig hebt, is specifiek: wat per scan wordt opgeslagen, hoe lang, waar en wie er verder bij komt. AVG voor URL-verkorters loopt de clausules door die het lezen waard zijn.

Wat Elido vandaag per scan registreert

Omdat het antwoord controleerbaar moet zijn, volgt hier wat de code doet per 2026-11-12. Elke scan van een dynamische Elido-code wordt als gewone klik gelogd. De rij bevat het IP-adres, aan de edge afgekapt (IPv4 tot /24, IPv6 tot /48), de volledige user agent, verwijzer, land, regio, stad, geschatte breedte- en lengtegraad, apparaat en browser. Scans worden niet gescheiden van klikken op een link, dus een code heeft een eigen link nodig als je zijn cijfers apart wilt.

Ik zie liever dat je dit leest dan dat je het in een audit ontdekt. Hieruit volgen twee beperkingen. Stad, coördinaten en de volledige user agent worden nog steeds bij elke scan opgeslagen, dus een afgekapt IP maakt de rij niet anoniem. En er is geen manier om een werkruimte aan een regio vast te zetten: de primaire database en de analyticsopslag staan in de EU, maar redirect-nodes in de VS en Singapore verwerken ook bezoekersverzoeken. Bewaartermijn van clickdata zet de volledige inventaris uiteen, plus een beleid dat je kunt overnemen. Vertrouw niet op maatregelen die we niet hebben opgeleverd. Schrijf de belangenafweging rond wat er wordt opgeslagen.

Een checklist voor het drukken

Voordat een code naar een drukker gaat:

1. Noem het doel in één zin en de grondslag die het ondersteunt.
2. Zet een scanspecifieke verklaring op de landingspagina.
3. Bevestig dat de leverancier per scan niet meer opslaat dan je doel nodig heeft.
4. Stel een bewaartermijn voor ruwe registraties in en leg die vast.
5. Bepaal wie een inzage- of wissingsverzoek afhandelt en hoe die een rij vindt.

Lees de cornerstone-reeks

Dit hoort bij het compliancecluster. Begin met AVG voor URL-verkorters voor de analyse op redirectniveau, daarna cookietoestemming voor korte links voor waar toestemming echt geldt. De trustpagina beschrijft onze eigen verwerkingshouding.

Gerelateerd op de blog

• AVG voor URL-verkorters: wat de redirect registreert
• Wat is een QR-code en hoe werkt scannen echt?
• Zijn QR-codes veilig? Quishing en hoe je je beschermt
• EU-dataresidentie voor marketingteams
• QR-code-toegankelijkheid: WCAG, contrast en alternatieven
• Bewaartermijn van clickdata: hoe lang bewaar je linkanalytics