QR Kodlar ve GDPR: Bir Tarama Ne Toplar, Ne Borçlusunuz

Basılı kod hiçbir şey işlemez. Statik bir kare desenidir, çevrimdışı çözülür ve bir afişteki telefon numarasından daha fazla veri koruma hukukuna tabi değildir.

Arkasındaki yönlendirme ise farklı bir konudur. Biri çözülmüş bağlantıyı açtığı anda sunucunuz bir IP adresi, bir kullanıcı aracısı, bir zaman damgası ve genellikle bir yönlendiren alır. Bu, kişisel verilerin işlenmesidir ve GDPR'ın işlemeye bağladığı her şey burada da geçerlidir: bir hukuki dayanak, insanların gerçekten ulaşabileceği bir bildirim, bir saklama süresi ve başka kimlerin gördüğüne dair savunulabilir bir yanıt.

Bu yazı, bir taramanın gerçekte neler ürettiğini ve her kalemin neyi gerektirdiğini ele alıyor. Bağlantılar için daha geniş tablo URL kısaltıcılar için GDPR yazısında, çerez sorusu ise özellikle kısa bağlantılar için çerez onayı yazısında.

Bir Tarama Gerçekte Ne Üretir

Çözme, ağ olmadan cihazda gerçekleşir. O noktada telefondan hiçbir şey çıkmamıştır; bu yüzden kodun kendisi, insanların varsaydığı uyumluluk sorusu değildir.

Bağlantıyı açmak sıradan bir HTTP isteği üretir. Yönlendirme IP adresini, kullanıcı aracısı dizesini, zamanı ve bazen bir yönlendireni görür. Dinamik bir kod hedeften önce bir sıçrama ekler; yani bunu önce sizin sunucunuz, sonra hedefinki görür.

Bir IP adresi olağan durumda kişisel veridir. Adalet Divanı bunu Breyer kararında böyle hükme bağladı ve 4. madde kişisel veriyi dolaylı kimlik belirlemeyi içerecek şekilde tanımlar. İnsanların direndiği iki sonuç çıkar: verinin kişisel olması için birinin kim olduğunu bilmeniz gerekmez ve toplulaştırma onu aklamaz, çünkü toplulaştırma toplamadan sonra gerçekleşir.

Hangi Hukuki Dayanak

Taramaları saymak için 6(1)(f) maddesi uyarınca meşru menfaat normalde doğru dayanaktır ve çoğu kampanyanın kimsenin okumadığı bir onay bannerı yerine kullanması gereken dayanak da budur.

Bu dayanak bedava değildir. Kampanyadan önce yazılı bir denge testi gerektirir: menfaat nedir (kuzey girişindeki afişin işe yarayıp yaramadığını bilmek), neden gereklidir, bireyin üzerindeki etki nedir ve bunu en aza indirmek için ne yaptınız. IP'leri kısaltmak, koordinat yerine ülkeyi tutmak ve kısa bir saklama penceresi belirlemek, testin lehinize sonuçlanmasını sağlayan azaltıcı önlemlerdir. Bunlardan hangisini kendi aracınızın gerçekten uygulamanıza izin verdiğini kontrol edin; sonraki bölümler buna geri dönüyor.

Onay belirli bir noktada gerekli hâle gelir ve çizginin tam olarak nerede durduğunu bilmeye değer. Saymak için değil. Ülke düzeyinde toplulaştırma için değil. Açılış sayfasına yerleştirilen zorunlu olmayan çerezler için evet; bu GDPR değil e-Gizlilik kuralıdır ve altta yatan veri için dayanağınızdan bağımsız olarak geçerlidir. Kişiyi siteler arasında izleyen bir profil oluşturmak için evet; hedefteki bir yeniden hedefleme pikseli tam olarak bunu yapar.

Bu ayrım, bu alanın pratik açıdan en yararlı kısmıdır: tarama sayımı ve siteler arası reklamcılık farklı kurallara sahip farklı faaliyetlerdir ve ikisini tek şey saymak hem aşırı toplamayı hem de anlamsız bannerları doğurur.

Bildirim Ne Söylemeli ve Nerede

Afiş gizlilik bildirimini taşıyamaz ve sayfa yüklendiğinde işleme çoktan gerçekleşmiştir. Bu yüzden bildirim açılış sayfasında yaşar, aranmadan erişilebilir olur ve web sitesi hakkında genel olarak değil, özellikle bir tarama hakkında dürüst olmalıdır. Aynı sayfa, QR kod erişilebilirliği yazısında ele alınan kendi erişilebilirlik yükümlülüğünü de taşır.

İşe yarar sürüm şunu söyler: bu kodu taramak ziyareti kaydeden bir sayfa açar, zamanı, yaklaşık ülkeyi ve cihaz türünü kaydederiz, bunu hangi yerleşimlerin işe yaradığını ölçmek için yaparız, meşru menfaat dayanağıyla, ham kayıtları kısa ve tanımlı bir süre saklarız ve bunu bizim için kimlerin işlediği burada.

Düzenli olarak ters giden iki şey. Bir ülkede fiziksel malzemede görünen bir kodun, açılış sayfası bildiriminin yalnızca başka bir dilde bulunması anlamlı biçimde şeffaf değildir. Ve kampanya bir mağazada raf kenarı etiketiyken "web sitemizi" anlatan bir bildirim, gerçekte olanı anlatmaz.

Saklama, Çoğu Kampanyanın Kaydığı Yerdir

Burada amaçla sınırlılık iş görür. Bir kampanya raporu için ham kayıtlar haftalarca gerekir; 2024'ten kalma bir afişteki her taramanın ham günlüğüne kimsenin ihtiyacı yoktur.

Dayanıklı örüntü: ham kayıtlarda kısa bir saklama penceresi, ardından toplulaştırmaların süresiz tutulması. Güne, ülkeye, koda göre sayılar kalır; IP içeren satır kalmaz. Bu, kimsenin soracağı sayıları kaybetmeden saklama sınırlaması ilkesini karşılar.

Ayrıca erişim ve silme taleplerinin zor sorusunu da yanıtlar; çünkü pencereden sonra teslim edilecek veya silinecek bağlanabilir hiçbir şey kalmaz.

Verinin fiziksel olarak nerede durduğu da önemlidir ve AB kampanyaları için bu, basit bir yanıtla bir aktarım değerlendirmesi arasındaki farktır. Pazarlama için AB veri yerleşimi bunu, Schrems II ve izleme pikselleri ise analitik aracı AB'de olmadığında ne olacağını ele alır.

DPIA Gerçekten Ne Zaman Gerekir

Bir pazarlama kodu için nadiren. Bir sayfa görüntülemesi ve bir sayaç üreten afiş taraması, hangi okumayla bakılırsa bakılsın düşük riskli bir işlemedir.

Eşik, tarama bir sayıya değil kimliği belirlenebilir bir kişiye bağlandığında aşılır: bir hesaba bağlı sadakat kodu, kimin nerede ve ne zaman olduğunu kaydeden iş gücü kodu, bir hareket örüntüsü oluşturmak için konum verisiyle birleşen kod. Bunlar sistematik izlemedir ve 35. madde geçerli olmaya başlar. Bağlantı takibi için SOC 2 ve HIPAA, düzenlenmiş bağlamlarda izlemeye dair komşu soruyu ele alır.

Adlandırmaya değer diğer risk sizin değil. Bir QR kod hedefini gizler ve quishing'i işleten tam olarak budur. Ambalajınızdaki bir kodu bir yabancının etiketle kapatması, işleme asla sizin olmamış olsa da itibar sorununuz hâline gelir; azaltıcı önlem ise insanların tanıdığı bir alan adı ve sahadaki kodların hâlâ olması gereken yere çözümlendiğine dair düzenli kontrollerdir.

Tedarikçiye bir taramanın ne sakladığını ve nerede durduğunu sormak, bu kararların doğru yapılması en ucuz olanıdır. Ücretsiz planda bir bağlantı oluşturun, tarayın ve kampanya baskıya gitmeden önce ürettiği kaydı okuyun.

Siz Veri Sorumlususunuz, Yönlendirme Tedarikçisi Veri İşleyen

Kodu basan şirket, taramaların neden sayıldığına karar verir; dolayısıyla veri sorumlusudur. Yönlendirmeyi çalıştıran hizmet, verileri onun adına işler; bu da 28. madde uyarınca kampanya başlamadan önce, bir şikayetten sonra değil, yazılı bir veri işleme sözleşmesi ve alt işleyen listesi gerektirdiği anlamına gelir. Bazı tedarikçi gizlilik sayfaları uyumu genel ifadelerle vaat eder. Bir tedarikçiden ihtiyacınız olan şey ise somuttur: tarama başına ne saklandığı, ne kadar süre, nerede ve kimlerin dokunduğu. URL kısaltıcılar için GDPR okumaya değer maddeleri adım adım gösterir.

Elido Bugün Tarama Başına Ne Kaydeder

Yanıt doğrulanabilir olmalı; işte kodun 2026-11-12 itibarıyla yaptığı. Bir Elido dinamik kodunun her taraması sıradan bir tıklama olarak günlüğe kaydedilir. Satır, uçta kısaltılmış IP adresini (IPv4 /24'e, IPv6 /48'e), tam kullanıcı aracısını, yönlendireni, ülkeyi, bölgeyi, şehri, yaklaşık enlem ve boylamı, cihazı ve tarayıcıyı içerir. Taramalar bir bağlantının tıklamalarından ayrılmaz; bu yüzden sayılarını ayrı görmek istiyorsanız koda kendi bağlantısını verin.

Bunu bir denetimde keşfetmeniz yerine okumanızı tercih ederim. Bundan iki sınır çıkar. Şehir, koordinatlar ve tam kullanıcı aracısı her taramayla birlikte hâlâ saklanır; bu yüzden kısaltılmış bir IP satırı anonim yapmaz. Ve bir çalışma alanını bir bölgeye sabitlemenin yolu yoktur: birincil veritabanı ve analitik deposu AB'de, ama ABD ve Singapur'daki yönlendirme düğümleri de ziyaretçi isteklerini işler. Tıklama verisi saklama tam envanteri ve benimseyebileceğiniz bir politikayı ortaya koyar. Göndermediğimiz azaltıcı önlemlere yaslanmayın. Denge testini saklananın etrafında yazın.

Baskı Öncesi Bir Kontrol Listesi

Bir kod matbaaya gitmeden önce:

1. Amacı bir cümleyle ve onu destekleyen hukuki dayanağı adlandırın.
2. Açılış sayfasına taramaya özgü bir bildirim koyun.
3. Tedarikçinin tarama başına amacınızın gerektirdiğinden fazlasını saklamadığını doğrulayın.
4. Ham kayıtlar için bir saklama penceresi belirleyin ve yazın.
5. Bir erişim veya silme talebini kimin ele alacağına ve satırı nasıl bulacağına karar verin.

Pillar Yazı Serisini Okuyun

Bu yazı uyumluluk kümesinde yer alıyor. Yönlendirme düzeyindeki analiz için URL kısaltıcılar için GDPR ile başlayın, ardından onayın gerçekten nerede geçerli olduğu için kısa bağlantılar için çerez onayı yazısına geçin. Güven sayfası kendi işleme duruşumuzu anlatır.

Blogda İlgili Yazılar

• URL kısaltıcılar için GDPR: yönlendirme neyi kaydeder
• QR Kod Nedir ve Tarama Gerçekte Nasıl Çalışır?
• QR kodlar güvenli mi? Quishing ve nasıl korunulur
• Pazarlama araçlarında AB veri yerleşimi: DPO kontrol listesi
• QR Kod Erişilebilirliği: WCAG, Kontrast ve Alternatifler
• Tıklama Verisi Saklama Süresi: Analitik Ne Kadar Tutulur?