QR codes et RGPD : ce qui est collecté et ce qu'il faut en dire

La plupart des articles sur le sujet restent vagues parce que la plupart des services QR restent vagues sur ce qu'ils collectent. Celui-ci liste les champs.

Ceci n'est pas un conseil juridique. Ceci décrit ce que fait le logiciel. Savoir si votre usage précis exige une bannière de consentement, une ligne d'information ou un contrat de sous-traitance est une question pour votre avocat ou votre DPO, et la réponse dépend autant de votre secteur et de votre pays que de la technique.

Ce qu'un scan enregistre exactement

Quand quelqu'un scanne un code dynamique, une ligne est écrite avant la redirection. Elle contient :

• L'heure du scan.
• Le code scanné.
• Le type d'appareil — mobile, tablette ou ordinateur.
• Le système et le navigateur, tels que déclarés par l'agent utilisateur.
• Le référent, si le navigateur en envoie un. Un scan par l'appareil photo n'en envoie généralement pas.
• Une empreinte de l'adresse IP — SHA-256 sur un sel secret plus l'adresse. Elle sert à compter les visiteurs uniques et n'est pas stockée à côté de l'adresse elle-même.

C'est toute la ligne. Aucun nom, aucun e-mail, aucun identifiant publicitaire, aucun lien avec l'activité sur d'autres sites.

Ce qui n'est délibérément pas collecté

• La localisation. Il n'y a aucune géolocalisation dans les statistiques — ni pays, ni ville, ni coordonnées. Beaucoup de services déduisent un pays de l'IP ; pas celui-ci. « Quelle ville a scanné » est donc une question sans réponse dans le tableau de bord.
• Les cookies à la redirection. Suivre un scan ne pose aucun cookie. Seule exception : un code protégé par mot de passe, où le déverrouillage pose un cookie fonctionnel qui retient que le mot de passe était bon.
• L'identité. Les compteurs ne disent pas qui a scanné. Pour le savoir, il faut que la page de destination le demande — et alors c'est votre formulaire et votre politique.

La partie honnête sur l'empreinte IP

Une adresse IP est une donnée personnelle au sens du RGPD. La hacher avec un sel secret est de la pseudonymisation, pas de l'anonymisation : la valeur ne se relit pas en adresse et est délibérément inutilisable pour retrouver quelqu'un, mais elle reste un identifiant stable d'un visiteur dans le temps — ce qui est précisément ce qui permet de compter les visiteurs uniques.

Nous préférons le dire clairement plutôt que d'annoncer des données anonymes. En pratique : une table qui ne permettrait d'identifier personne, même remise à un tiers.

Le moment où vos obligations augmentent : les pixels

Un code peut porter des pixels de retargeting Meta, Google Ads ou LinkedIn. C'est la seule fonction qui place du suivi tiers sur le chemin d'un scan, et elle change tout le tableau — ces entreprises, elles, construisent des profils.

C'est pourquoi les pixels sont ici soumis au consentement. Un code avec pixels affiche une courte page intermédiaire proposant un choix, les pixels ne se déclenchent qu'après acceptation, et la réponse est mémorisée dans le stockage local du navigateur. Sans consentement, le visiteur est redirigé et rien ne se déclenche.

Voilà le mécanisme. Savoir si la formulation de votre bannière suffit dans votre juridiction est exactement la question à poser à votre avocat — et si vous n'avez pas besoin de retargeting, laisser les champs de pixels vides est la décision de confidentialité la plus simple à votre disposition.

Qui est responsable de traitement ?

L'arrangement habituel pour un service de ce type est que vous êtes responsable de traitement des données de scan de vos codes — vous décidez de leur existence et de l'usage des chiffres — et que le service est sous-traitant agissant sur vos instructions. Les clients Enterprise veulent normalement cela consigné dans un contrat de sous-traitance.

Nous décrivons l'arrangement courant, nous ne certifions pas le vôtre. Faites-le confirmer par vos conseils, en particulier en secteur réglementé.

Ce qu'il faut mettre dans votre politique

Une ou deux phrases suffisent généralement :

• Que scanner un code enregistre le scan à des fins statistiques, et globalement quels champs techniques — heure, appareil, système, navigateur, référent, IP hachée.
• Qu'aucune donnée de localisation n'est collectée.
• Que le visiteur est ensuite redirigé et que la destination a sa propre politique.
• Si vous avez activé des pixels : qui reçoit les données et ce que fait le choix de consentement.

Écrivez-la dans la langue du public visé. Six politiques en six langues, c'est du travail ; une politique fausse dans la langue du lecteur est pire qu'une politique simple.

Le piège qui n'a rien à voir avec les statistiques

La plus grande erreur de confidentialité avec les QR codes n'est pas le suivi. C'est d'encoder des données personnelles dans un code statique.

Un code statique porte son contenu dans son motif. Imprimez une vCard avec le mobile de quelqu'un sur cinq mille flyers et ce numéro est en circulation définitivement — non modifiable, non révocable, et une demande d'effacement n'atteint pas le papier. Idem pour un code statique contenant une URL de réservation privée ou une référence client.

Si des données personnelles doivent se trouver derrière un code, mettez-les derrière un code dynamique, dont la destination peut être changée ou coupée, et gardez les données sur une page que vous contrôlez.

La suppression

Supprimer un code supprime ses lignes de scan avec lui — la relation est en cascade dans la base, donc aucun historique orphelin ne subsiste. Si vous avez besoin d'une durée de conservation plus courte que « jusqu'à ce que je supprime le code », c'est une décision à prendre consciemment.

Réponses rapides

• Un scan collecte-t-il des données personnelles ? Ici : appareil, système, navigateur, référent, heure et une empreinte salée de l'IP. L'empreinte est une donnée personnelle pseudonymisée ; le reste est technique.
• Enregistrez-vous le lieu du scan ? Non. Aucune géolocalisation.
• Ai-je besoin d'une bannière cookies ? La redirection ne pose pas de cookies ; les pixels sont soumis au consentement. Le besoin d'une bannière est une question juridique.
• Suis-je responsable de traitement ? Pour les données de scan de vos codes, en général oui, le service étant sous-traitant.
• Puis-je mettre les coordonnées de quelqu'un dans un QR code ? Pas dans un code statique : imprimé, il est définitif.
• Que devient la donnée si je supprime un code ? Ses enregistrements de scan sont supprimés avec lui.

Encore une fois : ceci décrit le logiciel, pas votre situation juridique. Pour celle-ci, demandez à quelqu'un qui a qualité pour la donner.