Kody QR a RODO: co jest zbierane i co o tym napisać

Większość tekstów na ten temat jest mglista, bo większość usług QR jest mglista co do tego, co zbiera. Ten wylicza pola.

To nie jest porada prawna. Opisuje, co robi oprogramowanie. Czy akurat twoje zastosowanie wymaga banera zgody, jednej linijki w nocie czy umowy powierzenia, to pytanie do twojego prawnika albo inspektora ochrony danych, a odpowiedź zależy od branży i kraju co najmniej tak samo jak od technologii.

Co dokładnie zapisuje skan

Kiedy ktoś skanuje kod dynamiczny, przed przekierowaniem zapisywany jest jeden wiersz. Zawiera:

• Czas skanu.
• Kod, który został zeskanowany.
• Rodzaj urządzenia — telefon, tablet albo komputer.
• System operacyjny i przeglądarkę, tak jak podaje je user agent.
• Referer, jeśli przeglądarka go wysłała. Skan aparatem zwykle nie wysyła nic.
• Skrót adresu IP — SHA-256 z tajnej soli i adresu. Istnieje po to, żeby liczyć unikalnych odwiedzających, i nie jest przechowywany obok samego adresu.

To cały wiersz. Nie ma imienia, nie ma e-maila, nie ma identyfikatora reklamowego ani powiązania z aktywnością na innych stronach.

Czego świadomie nie zbieramy

• Lokalizacji. W statystykach nie ma geolokalizacji w ogóle — ani kraju, ani miasta, ani współrzędnych. Wiele usług wyprowadza kraj z adresu IP; ta nie, więc „z jakiego miasta to zeskanowano” to pytanie, na które panel nie umie odpowiedzieć.
• Ciasteczek na przekierowaniu. Przejście po skanie nie ustawia żadnego ciasteczka. Jedyny wyjątek to kod chroniony hasłem, gdzie odblokowanie ustawia ciasteczko funkcjonalne pamiętające, że hasło było poprawne — nic innego z niego nie korzysta.
• Tożsamości. Liczniki nie powiedzą ci, kto zeskanował. Jeśli chcesz to wiedzieć, musi o to zapytać strona docelowa, a wtedy to twój formularz i twoja nota o prywatności.

Uczciwa część o skrócie adresu IP

Adres IP jest daną osobową w rozumieniu RODO. Zahaszowanie go z tajną solą to pseudonimizacja, a nie anonimizacja: wartości nie da się odczytać z powrotem jako adresu i jest ona celowo bezużyteczna do wyszukiwania kogokolwiek, ale pozostaje stabilnym identyfikatorem jednego odwiedzającego w czasie — i właśnie to w ogóle umożliwia liczenie unikalnych wejść.

Wolimy powiedzieć to wprost, niż twierdzić, że dane są anonimowe. Co to znaczy w praktyce: tabela statystyk, która nie zidentyfikowałaby człowieka, nawet gdyby ktoś dostał ją do ręki.

Moment, w którym twoje obowiązki rosną: piksele

Kod może nieść piksele retargetingowe Meta, Google Ads albo LinkedIn. To jedyna funkcja wstawiająca śledzenie obcych firm na drogę skanu i zmienia ona obraz całkowicie — te firmy profile budują.

Dlatego piksele są tu za zgodą. Kod z pikselami pokazuje krótką stronę pośrednią z wyborem zgody, piksele odpalają dopiero po akceptacji, a odpowiedź zapamiętuje się w pamięci lokalnej przeglądarki. Jeśli zgody odmówiono albo nigdy jej nie było, odwiedzający zostaje przekierowany i nie odpala się nic.

Taki jest mechanizm. Czy brzmienie twojego banera wystarcza w twojej jurysdykcji, to dokładnie to pytanie, które zadaje się prawnikowi — a jeśli retargetingu nie potrzebujesz, zostawienie pikseli pustych jest najprostszą decyzją o prywatności, jaka jest dla ciebie dostępna.

Kto jest administratorem?

Zwykły układ przy takiej usłudze jest taki, że administratorem danych ze skanów swoich kodów jesteś ty — to ty decydujesz, że kody istnieją, i co zrobić z liczbami — a usługa jest podmiotem przetwarzającym działającym na twoje polecenie. Klienci korporacyjni zwykle chcą to zapisać w umowie powierzenia przetwarzania.

Opisujemy układ typowy, nie poświadczamy twojego. Potwierdź go u własnych doradców, szczególnie jeśli działasz w branży regulowanej.

Co napisać w nocie o prywatności

Zwykle wystarczy linijka albo dwie. To, co zwykle tam należy:

• Że zeskanowanie kodu zapisuje skan do celów statystycznych, i z grubsza które pola techniczne — czas, urządzenie, system operacyjny, przeglądarkę, referer, zahaszowane IP.
• Że nie są zbierane dane o lokalizacji.
• Że odwiedzający jest potem przekierowywany, a cel ma własną notę.
• Jeśli włączyłeś piksele: kto dostaje dane i co robi wybór zgody.

Napisz to w języku odbiorcy kodu. Kilka not o prywatności w kilku językach to mordęga; nota błędna w języku czytelnika jest gorsza niż prosta.

Pułapka, która ze statystykami nie ma nic wspólnego

Największym błędem prywatnościowym przy kodach QR nie jest śledzenie. Jest nim zakodowanie danych osobowych w kodzie statycznym.

Kod statyczny niesie treść wewnątrz wzoru. Wydrukuj wizytówkę z czyimś numerem komórki na pięciu tysiącach ulotek, a ten numer jest w obiegu na stałe — nie da się go zmienić, cofnąć ani wycofać, a żądanie usunięcia danych nie dosięgnie papieru. To samo dotyczy statycznego kodu z prywatnym adresem rezerwacji albo numerem klienta.

Jeśli dane osobowe muszą być za kodem, schowaj je za dynamicznym, gdzie cel da się zmienić albo wyłączyć, a same dane trzymaj na stronie, którą kontrolujesz.

Usuwanie

Usunięcie kodu usuwa razem z nim jego wiersze skanów — ta relacja kaskaduje w bazie, więc nie zostaje osierocona historia statystyk. Jeśli potrzebujesz okresu przechowywania krótszego niż „dopóki nie usunę kodu”, to decyzja do podjęcia świadomie, a nie do założenia z góry.

Szybkie odpowiedzi

• Czy zeskanowanie kodu QR zbiera dane osobowe? Tutaj zapisuje urządzenie, system, przeglądarkę, referer, czas i solony skrót IP. Skrót IP to pseudonimizowana dana osobowa; reszta jest techniczna.
• Czy zapisujecie, gdzie nastąpił skan? Nie. W statystykach nie ma geolokalizacji w ogóle.
• Czy potrzebuję banera ciasteczkowego do kodu QR? Samo przekierowanie nie ustawia ciasteczek. Piksele retargetingowe są za zgodą. Czy twój przypadek wymaga banera, to pytanie prawne, a nie techniczne.
• Czy jestem administratorem? Zwykle tak, dla danych ze skanów swoich kodów, przy usłudze jako podmiocie przetwarzającym. Niech potwierdzą to twoi doradcy.
• Czy mogę umieścić czyjeś dane kontaktowe w kodzie QR? Nie w statycznym — po druku jest on wieczny. Użyj kodu dynamicznego i strony, którą możesz zmienić.
• Co dzieje się z danymi, kiedy usunę kod? Jego zapisy skanów znikają razem z nim.

Jeszcze raz: to opisuje oprogramowanie, a nie twoją sytuację prawną. Po ocenę prawną idź do kogoś, kto ma do tego kwalifikacje.