Códigos QR e RGPD: o que é recolhido e o que dizer sobre isso

A maioria dos artigos sobre este tema é vaga porque a maioria dos serviços de QR é vaga sobre o que recolhe. Este enumera os campos.

Isto não é aconselhamento jurídico. Descreve o que o software faz. Se um caso concreto precisa de um aviso de consentimento, de uma linha na política ou de um contrato de subcontratação, é pergunta para o advogado ou para o encarregado de proteção de dados de cada um, e a resposta depende do setor e do país tanto como da tecnologia.

Exatamente o que uma leitura regista

Quando alguém lê um código dinâmico, é escrita uma linha antes do redirecionamento. Contém:

• A hora da leitura.
• O código que foi lido.
• O tipo de dispositivo — telemóvel, tablet ou computador.
• O sistema operativo e o navegador, tal como o agente do utilizador os declara.
• O referenciador, se o navegador enviar algum. Uma leitura pela câmara em geral não envia nada.
• Um resumo do endereço IP — SHA-256 sobre um sal secreto mais o endereço. Existe para contar visitantes únicos e não é guardado ao lado do próprio endereço.

É esta a linha toda. Não há nome, não há e-mail, não há identificador publicitário, nem ligação à atividade em qualquer outro site.

O que não é recolhido de propósito

• Localização. Não há geolocalização nenhuma nas análises — nem país, nem cidade, nem coordenadas. Muitos serviços deduzem o país a partir do endereço IP; este não, por isso «de que cidade veio esta leitura» é uma pergunta a que o painel não sabe responder.
• Cookies no redirecionamento. Seguir uma leitura não deixa cookie nenhum. A única exceção é um código protegido por palavra-passe, onde o desbloqueio deixa um cookie funcional que se lembra de que a palavra-passe estava certa — mais nada o usa.
• Identidade. Os contadores não dizem quem leu. Para saber isso, tem de ser a página de destino a perguntar, e aí o formulário e a política são de quem a tem.

A parte honesta sobre o resumo do IP

Um endereço IP é dado pessoal à luz do RGPD. Passá-lo por um resumo com sal secreto é pseudonimização, não anonimização: o valor não se consegue ler de volta como endereço e é deliberadamente inútil para procurar seja quem for, mas continua a ser um identificador estável de um visitante ao longo do tempo — e é isso que torna possível contar visitas únicas.

Preferimos dizê-lo com todas as letras a afirmar que os dados são anónimos. O que significa na prática: uma tabela de análises que não identificaria uma pessoa, nem que fosse entregue a alguém.

O momento em que as obrigações crescem: os píxeis

Um código pode transportar píxeis de retargeting da Meta, do Google Ads ou do LinkedIn. É a única funcionalidade que mete seguimento de terceiros no caminho de uma leitura, e muda o quadro por completo — essas empresas constroem perfis.

Por causa disso, aqui os píxeis estão dependentes de consentimento. Um código com píxeis mostra uma breve página intermédia com uma escolha de consentimento, os píxeis só disparam depois de a pessoa aceitar, e a resposta fica guardada no armazenamento local do navegador. Se o consentimento foi recusado ou nunca foi dado, a pessoa é redirecionada e não dispara nada.

O mecanismo é este. Se a redação do seu aviso chega para a sua jurisdição, é exatamente o tipo de pergunta a fazer a um advogado — e, se não houver necessidade de retargeting, deixar os píxeis vazios é a decisão de privacidade mais simples que existe.

Quem é o responsável pelo tratamento?

O arranjo habitual num serviço destes é que o responsável pelo tratamento dos dados de leitura dos seus códigos é o cliente — é ele que decide que os códigos existem e o que fazer com os números — e o serviço é subcontratante, a agir segundo as instruções recebidas. Os clientes empresariais costumam querer isso registado num contrato de subcontratação.

Estamos a descrever o arranjo comum, não a certificar o de ninguém. Convém confirmá-lo com os próprios consultores, sobretudo em setores regulados.

O que escrever na política de privacidade

Uma linha ou duas costumam chegar. O que ali costuma caber:

• Que ler um código regista a leitura para fins estatísticos, e mais ou menos que campos técnicos — hora, dispositivo, sistema operativo, navegador, referenciador, um IP resumido.
• Que não são recolhidos dados de localização.
• Que a pessoa é depois redirecionada, e que o destino tem a sua própria política.
• Se os píxeis estiverem ligados: quem recebe os dados e o que faz a escolha de consentimento.

Escrever isso na mesma língua do público do código. Vários textos de privacidade em várias línguas dão trabalho; um texto errado na língua de quem lê é pior do que um texto simples.

A armadilha que nada tem a ver com análises

O maior erro de privacidade com códigos QR não é o seguimento. É gravar dados pessoais num código estático.

Um código estático transporta o conteúdo dentro do padrão. Imprima-se um cartão de contacto com o telemóvel de alguém em cinco mil folhetos e esse número fica em circulação para sempre — não se edita, não se revoga, não se retira, e um pedido de apagamento não chega ao papel. O mesmo vale para um código estático com um endereço privado de reserva ou uma referência de cliente.

Se tiverem de existir dados pessoais por trás de um código, que fiquem por trás de um código dinâmico, onde o destino se pode mudar ou desligar, e os dados devem viver numa página controlada por quem os detém.

Apagar coisas

Apagar um código apaga com ele as linhas das suas leituras — essa relação propaga-se na base de dados, por isso não fica para trás histórico de análises órfão. Se for preciso um prazo de conservação mais curto do que «até eu apagar o código», isso é uma decisão a tomar de forma consciente e não a presumir.

Respostas rápidas

• Ler um código QR recolhe dados pessoais? Aqui regista dispositivo, sistema, navegador, referenciador, hora e um resumo com sal do IP. O resumo do IP é um dado pessoal pseudonimizado; o resto é técnico.
• Registam onde a leitura aconteceu? Não. Não há geolocalização nenhuma nas análises.
• Preciso de um aviso de cookies para um código QR? O redirecionamento em si não deixa cookies. Os píxeis de retargeting dependem de consentimento. Se um caso concreto precisa de aviso, é questão jurídica e não técnica.
• Sou o responsável pelo tratamento? Em geral sim, quanto aos dados de leitura dos seus códigos, com o serviço como subcontratante. Convém confirmar com os consultores.
• Posso pôr os contactos de alguém num código QR? Num estático não — depois de impresso é permanente. Usar um código dinâmico e uma página que se possa alterar.
• O que acontece aos dados quando apago um código? Os registos das leituras são apagados com ele.

Mais uma vez: isto descreve o software, não a situação jurídica de ninguém. Para a situação jurídica, pergunte-se a quem tenha qualificação para a dar.