QR codes e GDPR: o que uma leitura coleta e o que você deve

O código impresso não processa nada. Ele é um padrão estático de quadrados, é decodificado offline e não está mais sujeito à legislação de proteção de dados do que um número de telefone em um cartaz.

O redirecionamento por trás dele é outra história. No momento em que alguém abre o link decodificado, o seu servidor recebe um endereço IP, um agente do usuário, um registro de data e hora e, normalmente, um referenciador. Isso é processamento de dados pessoais, e tudo o que o GDPR associa ao processamento se aplica aqui: uma base legal, um aviso que as pessoas realmente consigam acessar, um período de retenção e uma resposta defensável sobre quem mais vê esses dados.

Este artigo explica o que uma leitura realmente gera e o que cada item exige. A visão mais ampla para links está em GDPR para encurtadores de URL, e a questão específica dos cookies está em consentimento de cookies para links curtos.

O que uma leitura realmente produz

A decodificação acontece no dispositivo sem envolver a rede. Nada saiu do telefone nesse momento, e é por isso que o código em si não é a questão de conformidade que as pessoas imaginam.

Abrir o link produz uma solicitação HTTP comum. O redirecionamento vê o endereço IP, a string do agente do usuário, o horário e, às vezes, um referenciador. Um código dinâmico adiciona um salto antes do destino, então é o seu servidor que vê isso primeiro, e depois o servidor do destino.

Um endereço IP é um dado pessoal no caso comum. O Tribunal de Justiça decidiu isso em Breyer, e o Artigo 4 define dados pessoais de modo a incluir a identificação indireta. Daí surgem duas consequências que as pessoas relutam em aceitar: você não precisa saber quem alguém é para que o dado seja pessoal, e contagens agregadas não o tornam anônimo, porque a agregação acontece depois da coleta.

Qual é a base legal

Para contar leituras, interesses legítimos nos termos do Artigo 6(1)(f) normalmente são a base correta, e é essa a base que a maioria das campanhas deveria usar, em vez de um banner de consentimento que ninguém lê.

Essa base não é gratuita. Ela exige um teste de ponderação registrado antes da campanha: qual é o interesse (saber se o cartaz na entrada norte funciona), por que ele é necessário, qual é o impacto sobre a pessoa e o que você fez para minimizá-lo. Truncar endereços IP, guardar o país em vez de coordenadas e definir uma janela curta de retenção são as medidas que fazem o teste ficar a seu favor. Verifique quais delas a sua própria ferramenta realmente permite aplicar; as próximas seções voltam a esse ponto.

O consentimento se torna necessário em um ponto específico, e vale a pena saber exatamente onde fica essa linha. Não para contar. Não para agregação por país. Sim para cookies não essenciais instalados na página de destino, que é uma regra de ePrivacy, e não do GDPR, e se aplica independentemente da sua base para os dados subjacentes. Sim para criar um perfil que acompanha a pessoa entre sites, que é o que um pixel de retargeting no destino faz.

Essa distinção é a parte mais útil de todo esse tema na prática: contar leituras e fazer publicidade entre sites são atividades diferentes, com regras diferentes, e tratá-las como uma coisa só é o que produz tanto coleta excessiva quanto banners inúteis.

O que o aviso precisa dizer e onde

O cartaz não pode carregar o aviso de privacidade e, quando a página é carregada, o processamento já aconteceu. Portanto, o aviso fica na página de destino, acessível sem que ninguém precise procurá-lo, e precisa ser honesto sobre uma leitura especificamente, em vez de falar genericamente sobre o site. Essa mesma página tem uma obrigação própria de acessibilidade, abordada em acessibilidade de QR codes.

A versão que funciona diz: ler este código abre uma página que registra a visita; registramos o horário, o país aproximado e o tipo de dispositivo; fazemos isso para medir quais pontos de divulgação funcionam; usamos a base de interesses legítimos; mantemos os registros brutos por um período curto e definido; e estas são as pessoas que processam os dados para nós.

Duas coisas dão errado com frequência. Um código que aparece em material físico em um país enquanto o aviso da página de destino existe apenas em outro idioma não é realmente transparente. E um aviso que descreve "nosso site" enquanto a campanha é um adesivo na prateleira de uma loja não descreve o que de fato aconteceu.

É na retenção que a maioria das campanhas sai do rumo

A limitação de finalidade resolve a questão aqui. Um relatório de campanha precisa de registros brutos por semanas; ninguém precisa do log bruto de cada leitura de um cartaz de 2024.

O padrão que se sustenta é: uma janela curta de retenção para os registros brutos e, depois, agregados mantidos indefinidamente. As contagens por dia, por país e por código permanecem. A linha que contém um endereço IP não. Isso atende à limitação de armazenamento sem perder os números que alguém poderá solicitar.

Isso também responde à questão incômoda dos pedidos de acesso e exclusão, porque, depois da janela, não resta nada vinculável para entregar ou excluir.

Também importa onde os dados ficam fisicamente e, para campanhas na UE, essa é a diferença entre uma resposta simples e uma avaliação de transferência. Residência de dados da UE para marketing aborda esse tema, e Schrems II e pixels de rastreamento explica o que acontece quando a ferramenta de análise não está na UE.

Quando uma DPIA é realmente necessária

Raramente no caso de um código de marketing. Uma leitura de cartaz que produz uma visualização de página e incrementa um contador é um processamento de baixo risco, sob qualquer interpretação.

O limite é ultrapassado quando a leitura é vinculada a uma pessoa identificável, e não apenas a uma contagem: um código de fidelidade ligado a uma conta, um código de força de trabalho que registra quem esteve onde e quando, ou um código que se combina com dados de localização para criar um padrão de deslocamento. Isso é monitoramento sistemático, e o Artigo 35 começa a se aplicar. SOC 2 e HIPAA para rastreamento de links aborda a questão adjacente do rastreamento em contextos regulados.

O outro risco que vale mencionar não é seu. Um QR code esconde o destino, que é exatamente o que faz o quishing funcionar. Um código na sua embalagem que um desconhecido cobre com um adesivo se torna um problema de reputação para você, mesmo que o processamento nunca tenha sido seu, e a medida de proteção é usar um domínio que as pessoas reconheçam e fazer verificações periódicas para confirmar que os códigos em circulação ainda resolvem para onde deveriam.

Perguntar ao fornecedor o que uma leitura armazena e onde isso fica é a decisão mais barata de acertar. Crie um link no plano gratuito, leia o QR code e examine o registro que ele gera antes de a campanha ir para a gráfica.

Você é o controlador, o fornecedor do redirecionamento é o operador

A empresa que imprime o código decide por que as leituras são contadas, portanto é a controladora. O serviço que executa o redirecionamento trata os dados em nome dela, o que significa que o Artigo 28 exige um contrato de tratamento de dados por escrito e uma lista de suboperadores antes de a campanha começar, e não depois de uma reclamação. Algumas páginas de privacidade de fornecedores prometem conformidade em termos genéricos. O que você precisa de um fornecedor é específico: o que é armazenado por leitura, por quanto tempo, onde e quem mais tem acesso. O artigo GDPR para encurtadores de URL percorre as cláusulas que vale a pena ler.

O que o Elido registra hoje em cada leitura

Como a resposta deve poder ser verificada, aqui está o que o código faz em 2026-11-12. Cada leitura de um QR code dinâmico do Elido é registrada como um clique comum. A linha contém o endereço IP truncado no edge (IPv4 para /24, IPv6 para /48), o user agent completo, o referenciador, país, região, cidade, latitude e longitude aproximadas, dispositivo e navegador. As leituras não são separadas dos cliques em um link, então um código precisa do seu próprio link se você quiser os números dele separados.

Prefiro que você leia isto a descobrir numa auditoria. Dois limites decorrem disso. Cidade, coordenadas e o user agent completo continuam armazenados em cada leitura, então um IP truncado não torna a linha anônima. E não é possível fixar um workspace em uma região: o banco de dados primário e o armazenamento de análises ficam na UE, mas nós de redirecionamento nos EUA e em Singapura também processam as requisições dos visitantes. O artigo retenção de dados de cliques apresenta o inventário completo e uma política que você pode adotar. Não conte com mitigações que ainda não entregamos. Escreva o teste de ponderação com base no que é armazenado.

Uma lista de verificação antes da impressão

Antes de um código ir para a gráfica:

1. Nomeie a finalidade em uma frase e a base legal que a sustenta.
2. Coloque na página de destino um aviso específico sobre as leituras.
3. Confirme que o fornecedor não armazena por leitura mais do que a sua finalidade exige.
4. Defina e registre por escrito uma janela de retenção para os registros brutos.
5. Decida quem trata um pedido de acesso ou de exclusão e como essa pessoa encontra uma linha.

Leia a série principal

Este artigo faz parte do cluster de compliance. Comece com GDPR para encurtadores de URL para a análise no nível do redirecionamento, depois leia consentimento de cookies para links curtos para saber onde o consentimento realmente se aplica. A página de confiança explica como processamos nossos próprios dados.

Relacionado no blog

• GDPR para encurtadores de URL: o que o redirecionamento registra
• O que é um QR code e como uma leitura realmente funciona?
• QR codes são seguros? Quishing e como se manter protegido
• Residência de dados da UE para equipes de marketing
• Acessibilidade de QR code: WCAG, contraste e alternativas
• Retenção de dados de cliques: quanto tempo guardar análises