QR kódy a GDPR: co se sbírá a co o tom napsat

Většina textů na tohle téma je mlhavá, protože většina QR služeb je mlhavá v tom, co sbírá. Tenhle vypisuje pole.

Tohle není právní rada. Popisuje, co dělá software. Jestli zrovna vaše použití potřebuje souhlasovou lištu, jednu větu v zásadách nebo zpracovatelskou smlouvu, je otázka na vašeho právníka nebo pověřence pro ochranu osobních údajů, a odpověď závisí na oboru a zemi přinejmenším stejně jako na technologii.

Co přesně načtení zaznamená

Když někdo načte dynamický kód, zapíše se před přesměrováním jeden řádek. Obsahuje:

• Čas načtení.
• Kód, který byl načtený.
• Typ zařízení — mobil, tablet nebo počítač.
• Operační systém a prohlížeč, jak je hlásí user agent.
• Referer, pokud ho prohlížeč poslal. Načtení fotoaparátem obvykle neposílá nic.
• Otisk IP adresy — SHA-256 z tajné soli a adresy. Existuje kvůli počítání unikátních návštěvníků a neukládá se vedle samotné adresy.

To je celý řádek. Žádné jméno, žádný e-mail, žádný reklamní identifikátor a žádné spojení s aktivitou na jiném webu.

Co se záměrně nesbírá

• Poloha. Ve statistikách není geolokace vůbec — ani země, ani město, ani souřadnice. Spousta služeb odvozuje zemi z IP adresy; tahle ne, takže „z jakého města to někdo načetl“ je otázka, na kterou nástěnka odpovědět neumí.
• Cookies u přesměrování. Průchod po načtení nenastaví žádnou cookie. Jedinou výjimkou je kód chráněný heslem, kde odemčení nastaví funkční cookie, která si pamatuje, že heslo bylo správné — nic jiného ji nepoužívá.
• Totožnost. Počítadla vám neřeknou, kdo kód načetl. Jestli to chcete vědět, musí se zeptat cílová stránka, a pak je to váš formulář a vaše zásady.

Poctivá část o otisku IP adresy

IP adresa je podle GDPR osobní údaj. Její zahašování s tajnou solí je pseudonymizace, ne anonymizace: hodnotu nelze přečíst zpátky jako adresu a je záměrně nepoužitelná k vyhledání kohokoli, ale zůstává stabilním identifikátorem jednoho návštěvníka v čase — a právě to vůbec umožňuje počítat unikátní návštěvy.

Říkáme to raději rovnou, než abychom tvrdili, že jsou data anonymní. Co to znamená v praxi: tabulka statistik, která by neidentifikovala člověka, ani kdyby ji někdo dostal do ruky.

Chvíle, kdy vaše povinnosti rostou: pixely

Kód může nést retargetingové pixely Meta, Google Ads nebo LinkedIn. Je to jediná funkce, která do cesty načtení vkládá sledování třetí stranou, a mění obrázek úplně — tyhle firmy profily staví.

Proto jsou tu pixely podmíněné souhlasem. Kód s pixely ukáže krátkou mezistránku s volbou souhlasu, pixely se spustí až po přijetí a odpověď se zapamatuje v místním úložišti prohlížeče. Když byl souhlas odmítnut nebo nikdy nepadl, návštěvník se přesměruje a nespustí se nic.

Takový je mechanismus. Jestli znění vaší lišty stačí pro vaši jurisdikci, je přesně ten typ otázky, který patří právníkovi — a pokud retargeting nepotřebujete, nechat pixely prázdné je to nejjednodušší rozhodnutí o soukromí, jaké máte k dispozici.

Kdo je správce?

Obvyklé uspořádání u služby tohoto druhu je, že správcem údajů o načtení svých kódů jste vy — vy rozhodujete, že kódy existují, a co s čísly — a služba je zpracovatel jednající podle vašich pokynů. Firemní zákazníci to obvykle chtějí mít zapsané ve zpracovatelské smlouvě.

Popisujeme běžné uspořádání, nepotvrzujeme to vaše. Ověřte si ho u vlastních poradců, obzvlášť pokud působíte v regulovaném oboru.

Co napsat do zásad ochrany údajů

Obvykle to pokryje věta nebo dvě. Co tam většinou patří:

• Že načtení kódu zaznamená načtení pro statistické účely, a zhruba která technická pole — čas, zařízení, operační systém, prohlížeč, referer, zahašovanou IP.
• Že se nesbírají údaje o poloze.
• Že je návštěvník potom přesměrován a cíl má vlastní zásady.
• Když jste zapnuli pixely: kdo data dostává a co dělá volba souhlasu.

Pište to v jazyce publika toho kódu. Několik textů o soukromí v několika jazycích je otrava; špatný text v jazyce čtenáře je horší než prostý.

Past, která se statistikami nesouvisí vůbec

Největší chyba v ochraně soukromí u QR kódů není sledování. Je jí zakódování osobních údajů do statického kódu.

Statický kód nese obsah uvnitř vzoru. Vytiskněte vizitku s něčím mobilním číslem na pět tisíc letáků a to číslo je v oběhu natrvalo — nedá se upravit, odvolat ani stáhnout, a žádost o výmaz na papír nedosáhne. Totéž platí pro statický kód se soukromou rezervační adresou nebo se zákaznickým číslem.

Jestli musí být osobní údaje za kódem, schovejte je za dynamický, kde se cíl dá změnit nebo vypnout, a samotné údaje držte na stránce, kterou ovládáte.

Mazání

Smazání kódu smaže spolu s ním i jeho řádky načtení — ten vztah v databázi kaskáduje, takže nezbyde osiřelá historie statistik. Jestli potřebujete kratší dobu uchování než „dokud kód nesmažu“, je to rozhodnutí, které se dělá vědomě, ne předpokládá.

Rychlé odpovědi

• Sbírá načtení QR kódu osobní údaje? Tady zaznamená zařízení, systém, prohlížeč, referer, čas a solený otisk IP. Otisk IP je pseudonymizovaný osobní údaj; zbytek je technický.
• Zaznamenáváte, kde k načtení došlo? Ne. Ve statistikách není geolokace vůbec.
• Potřebuju k QR kódu cookie lištu? Samotné přesměrování žádné cookies nenastavuje. Retargetingové pixely jsou podmíněné souhlasem. Jestli váš případ lištu potřebuje, je otázka právní, ne technická.
• Jsem správce? U údajů o načtení vašich kódů obvykle ano, se službou jako zpracovatelem. Nechte si to potvrdit od svých poradců.
• Můžu dát něčí kontaktní údaje do QR kódu? Do statického ne — po vytištění je trvalý. Použijte dynamický kód a stránku, kterou můžete změnit.
• Co se stane s daty, když kód smažu? Jeho záznamy o načtení se smažou s ním.

Ještě jednou: tohle popisuje software, ne vaši právní situaci. Pro tu se obraťte na někoho, kdo je k jejímu posouzení kvalifikovaný.