QR-коди та GDPR: що збирає сканування і що ви винні

Надрукований код нічого не обробляє. Це статичний візерунок із квадратів, він декодується офлайн і так само мало підпадає під закон про захист даних, як номер телефону на постері.

Редирект за ним - інша річ. У мить, коли хтось відкриває декодоване посилання, ваш сервер отримує IP-адресу, user agent, мітку часу і зазвичай реферер. Це обробка персональних даних, і все, що GDPR прикріплює до обробки, діє й тут: правова підстава, повідомлення, до якого люди справді можуть дістатися, строк зберігання та переконлива відповідь на питання, хто ще це бачить.

У цьому дописі розглянуто, що насправді породжує сканування і що вимагає кожен елемент. Ширша картина для посилань - у GDPR для скорочувачів URL, а питання cookie окремо - у згоді на cookie для коротких посилань.

Що насправді породжує сканування

Декодування відбувається на пристрої без жодної мережі. На цьому етапі з телефону нічого не пішло, тому сам код - не те питання комплаєнсу, яким його вважають.

Відкриття посилання породжує звичайний HTTP-запит. Редирект бачить IP-адресу, рядок user agent, час і іноді реферер. Динамічний код додає один перехід перед пунктом призначення, тож саме ваш сервер бачить це першим, а потім сервер призначення.

IP-адреса у звичайному випадку - персональні дані. Суд Європейського Союзу постановив це в справі Breyer, а стаття 4 визначає персональні дані так, щоб охопити непряму ідентифікацію. Звідси два наслідки, яким люди опираються: вам не обов'язково знати, хто це, щоб дані були персональними, і агрегація їх не відмиває, бо відбувається після збору.

Яка правова підстава

Для підрахунку сканувань зазвичай правильна підстава - законні інтереси за статтею 6(1)(f), і саме її має використовувати більшість кампаній, а не банер згоди, який ніхто не читає.

Ця підстава не безкоштовна. Вона вимагає тесту балансування, записаного до кампанії: який інтерес (дізнатися, чи працює постер біля північного входу), чому це необхідно, який вплив на особу і що ви зробили, щоб його мінімізувати. Усікання IP, зберігання країни замість координат і короткий строк зберігання - заходи, завдяки яким тест складається на вашу користь. Перевірте, які з них ваш інструмент справді дозволяє застосувати; наступні розділи до цього повернуться.

Згода стає необхідною в конкретній точці, і варто знати, де саме проходить межа. Не для підрахунку. Не для агрегації на рівні країни. Так для необов'язкових cookie, що ставляться на цільовій сторінці, - це правило ePrivacy, а не GDPR, і воно діє незалежно від вашої підстави для базових даних. Так для побудови профілю, що супроводжує людину між сайтами, а саме це робить піксель ретаргетингу на сторінці призначення.

Ця відмінність - найпрактичніша частина всієї сфери: підрахунок сканувань і міжсайтова реклама - різні види діяльності з різними правилами, а змішування їх породжує і надмірний збір, і безглузді банери.

Що має сказати повідомлення і де

Постер не вмістить повідомлення про приватність, а коли сторінка завантажується, обробка вже відбулася. Тому повідомлення живе на цільовій сторінці, доступне без пошуків, і має чесно говорити саме про сканування, а не загально про вебсайт. Та сама сторінка має власний обов'язок щодо доступності, розглянутий у доступності QR-кодів.

Робоча версія каже: сканування цього коду відкриває сторінку, яка записує візит; ми записуємо час, приблизну країну й тип пристрою; робимо це, щоб виміряти, які розміщення працюють; на підставі законних інтересів; сирі записи зберігаємо короткий визначений строк; а ось хто обробляє їх для нас.

Дві речі, що регулярно йдуть не так. Код на фізичному матеріалі в одній країні, тоді як повідомлення цільової сторінки є лише іншою мовою, не є змістовно прозорим. А повідомлення про «наш вебсайт», коли кампанія - наклейка на краю полиці в магазині, не описує того, що насправді сталося.

Зберігання - де більшість кампаній дрейфує

Тут працює обмеження мети. Звіту про кампанію потрібні сирі записи на тижні; ніхто не потребує сирого журналу кожного сканування з постера 2024 року.

Шаблон, що витримує: короткий строк зберігання сирих записів, потім агрегати безстроково. Підрахунки за днями, країнами й кодами лишаються; рядок із IP - ні. Це задовольняє обмеження зберігання, не втрачаючи цифр, про які хтось колись запитає.

Це також відповідає на незручне питання про запити суб'єктів на доступ і видалення, бо після закінчення вікна не лишається нічого, що можна пов'язати, щоб віддати чи видалити.

Фізичне розташування даних теж має значення, а для кампаній в ЄС це різниця між простою відповіддю та оцінкою передачі. Про це йдеться в резидентності даних в ЄС для маркетингу, а про те, що буде, коли інструмент аналітики не в ЄС, - у Schrems II і піксельних відстежувачах.

Коли DPIA справді потрібна

Для маркетингового коду рідко. Сканування постера, що дає перегляд сторінки й лічильник, за будь-якого прочитання - обробка з низьким ризиком.

Поріг перетинається, коли сканування прив'язується до ідентифікованої людини, а не до лічильника: код лояльності, пов'язаний з акаунтом, код для працівників, що фіксує, хто де й коли був, код, який поєднується з даними про місцезнаходження, щоб побудувати шаблон пересування. Це системний моніторинг, і починає діяти стаття 35. SOC 2 і HIPAA для відстеження посилань розглядає суміжне питання відстеження в регульованих контекстах.

Інший ризик, який варто назвати, не ваш. QR-код приховує свій пункт призначення, і саме це змушує працювати квішинг. Код на вашій упаковці, який незнайомець закрив наклейкою, стає вашою репутаційною проблемою, хоча обробка ніколи не була вашою, а пом'якшення - домен, який люди впізнають, плюс періодичні перевірки, що коди на місцях і далі ведуть туди, куди треба.

Спитати постачальника, що зберігає сканування і де, - найдешевше з цих рішень, яке легко зробити правильно. Створіть посилання на безкоштовному плані, зісканайте його й прочитайте запис, який воно породжує, до того як кампанія піде в друк.

Ви - контролер, постачальник редиректу - процесор

Компанія, що друкує код, вирішує, навіщо рахують сканування, тож вона - контролер. Сервіс, що виконує редирект, обробляє дані від її імені, а отже стаття 28 вимагає письмової угоди про обробку даних і списку субпроцесорів до початку кампанії, а не після скарги. Деякі сторінки приватності постачальників обіцяють відповідність загальними словами. Від постачальника вам потрібне конкретне: що зберігається за кожне сканування, як довго, де і хто ще має до цього доступ. GDPR для скорочувачів URL розбирає застереження, які варто прочитати.

Що Elido записує за кожне сканування сьогодні

Оскільки відповідь має бути перевірюваною, ось що робить код станом на 2026-11-12. Кожне сканування динамічного коду Elido записується як звичайний клік. Рядок містить IP-адресу, усічену на edge (IPv4 до /24, IPv6 до /48), повний user agent, реферер, країну, регіон, місто, приблизні широту й довготу, пристрій і браузер. Сканування не відокремлюються від кліків по посиланню, тож коду потрібне власне посилання, якщо ви хочете бачити його цифри окремо.

Я волів би, щоб ви прочитали це, а не дізналися на аудиті. З цього випливають два обмеження. Місто, координати та повний user agent усе ще зберігаються з кожним скануванням, тож усічена IP не робить рядок анонімним. І немає способу прив'язати робочий простір до регіону: основна база даних та аналітичне сховище в ЄС, але вузли редиректу в США та Сінгапурі також обробляють запити відвідувачів. Зберігання даних про кліки викладає повний перелік і політику, яку можна прийняти. Не спирайтеся на заходи, яких ми не випустили. Пишіть тест балансування навколо того, що зберігається.

Чеклист перед друком

Перш ніж код піде до друкарні:

1. Назвіть мету одним реченням і правову підставу, що її підтримує.
2. Розмістіть на цільовій сторінці повідомлення саме про сканування.
3. Переконайтеся, що постачальник зберігає за сканування не більше, ніж потребує ваша мета.
4. Встановіть і запишіть строк зберігання сирих записів.
5. Вирішіть, хто обробляє запит на доступ чи видалення і як він знаходить рядок.

Прочитайте серію корнерстоунів

Це належить до кластера комплаєнсу. Почніть із GDPR для скорочувачів URL для аналізу на рівні редиректу, потім згода на cookie для коротких посилань, щоб побачити, де згода справді застосовується. Сторінка довіри описує нашу власну позицію щодо обробки.

Пов'язане в блозі

• GDPR для сервісів скорочення посилань: що насправді хоче бачити ваш DPO
• Що таке QR-код і як насправді працює сканування
• Чи безпечні QR-коди? Квішинг (quishing) і як залишатися захищеним
• Резидентність даних в ЄС для маркетингу: чеклист для DPO
• Доступність QR-кодів: WCAG, контраст і альтернативи
• Зберігання даних про кліки: скільки тримати аналітику посилань