Záznamy skenování QR: data získá služba, riziko nesete vy

Tato asymetrie je skutečnost, o které téměř nikdo, kdo nasazuje QR kód, nebyl informován. Proto nejde o zajímavost, ale o otázku souladu s pravidly. Když poskytovatel inzeruje „analytiku skenování“, obraťte pohled naruby: analytika je možná jen proto, že každé skenování prochází jeho infrastrukturou. Sledování není k přesměrování dodatečně připojeno — přesměrování existuje proto, aby bylo sledování možné.

Co se stane, když někdo naskenuje statický kód?

Z pohledu třetích stran nic. To je výchozí stav a díky němu je rozdíl dobře vidět.

Statický QR kód obsahuje cílovou adresu jako doslovné bajty ve vzoru. Fotoaparát ji dekóduje lokálně v telefonu a předá URL prohlížeči. Prohlížeč se pak připojí k vašemu serveru. Neexistuje žádný mezikrok ani třetí strana a nikdo kromě vás nemůže vědět, že ke skenování došlo.

Nejde o funkci ochrany soukromí, kterou někdo navrhl. Je to důsledek toho, že formát dělá přesně to, co tvrdí — viz statický vs. dynamický.

Co dorazí k proxy bez dalšího úsilí?

Dynamický kód obsahuje něco jako https://qr-short.example/a1B2c3. Telefon se nejprve připojí k tomuto hostiteli; teprve poté, co poskytovatel odpoví, se prohlížeč dozví skutečnou cílovou adresu. Toto připojení je běžný webový požadavek, takže poskytovatel obdrží vše, co běžný webový požadavek přenáší — ještě před zobrazením banneru souhlasu, před zásadami ochrany soukromí a předtím, než skenující ví, na čí server se připojil.

Co přidá krok přesměrování?

Protože poskytovatel řídí odpověď, neomezuje se na pasivní zaznamenávání. Mezikrok přesměrování je místo, kde může *jednat*:

• Nastavit cookie na vlastní doméně ještě před přesměrováním. Každý kód od tohoto poskytovatele — na jakémkoli plakátu a od jakékoli firmy — lze nyní spojit se stejným zařízením.
• Přidat sledovací parametry k cílové URL, takže jejich identifikátory proniknou do vaší analytiky.
• Zobrazit mezistránku namísto okamžitého přesměrování. Ta spustí JavaScript a umožní otiskování canvasu a písem, zjištění rozměrů obrazovky, časového pásma a údajů o hardwaru.
• Řetězit další mezikroky, včetně reklamních nebo atribučních partnerů, z nichž každý zopakuje celý sběr dat.

Poslední možnost je nejméně viditelná a má největší důsledky. Sledování řetězce přesměrování z krátkého QR odkazu někdy odhalí několik hostitelů mezi skenováním a cílem — jak ověřit, kam QR kód skutečně vede ukazuje, jak jeden takový řetězec projít.

Kolik stran je ve skutečnosti v řetězci?

Často více než jedna. Poskytovatel je první mezikrok, ale odpověď, kterou vrátí, může odkazovat na dalšího hostitele před vaším serverem a tento hostitel může odkazovat na třetího.

Nejde o hypotézu. Jednotka Unit 42 společnosti Palo Alto sledovala provoz přes služby zkracování QR odkazů, který vzrostl o 55 % z první poloviny roku 2023 do první poloviny roku 2024 a o dalších 44 % do první poloviny roku 2025 — celou přesměrovávací vrstvu, která před webem s QR kódy neexistovala a nyní leží mezi fyzickými objekty a weby, které propagují. Každý mezikrok je samostatná strana, která obdrží úplný požadavek HTTP.

Svou vlastní expozici můžete změřit. Na krátký odkaz vytištěný ve vašem kódu spusťte curl -sIL "https://short.example/abc" | grep -i "^location:"; každý řádek Location představuje jednu organizaci, která vidí každé skenování. Pokud je počet vyšší než jedna, jsou vaše data o skenování sdílena se stranami, se kterými jste nikdy neuzavřeli smlouvu a které nedokážete jmenovat. Jak ověřit, kam QR kód skutečně vede vysvětluje, jak výstup číst.

Jak se jednotlivé záznamy promění v profil?

Samostatně není žádné z těchto polí pozoruhodné. Když se však shromáždí u poskytovatele, který provozuje kódy pro tisíce firem, vytvoří dohromady něco úplně jiného.

Poskytovatel, jehož kódy se objevují na stolech v restauracích, v regálech obchodů, na visačkách akcí a u parkovacích automatů, může u jednoho opakovaně rozpoznaného zařízení sledovat: kam chodí a jak často, protože každý kód je spojen s fyzickým místem; pořadí a čas návštěv, které odhalují rutiny a dojíždění; přibližné oblasti bydliště a práce podle shluků v předvídatelných hodinách; a firmy, se kterými komunikuje, včetně společností, jež spolu nijak nesouvisejí.

Žádná jednotlivá firma nenasadila síť pro sledování polohy. Poskytovatel ji sestavil z tištěných materiálů všech ostatních — a každá firma zaplatila za vytištění vlastního úseku senzorové sítě.

Kdo nese právní odpovědnost — vy, nebo poskytovatel?

Člověk, který naskenuje kód z jídelního lístku, souhlasí s tím, že se podívá na jídelní lístek. Vědomě však nesouhlasí s kontaktováním analytické společnosti třetí strany a nemá jak zjistit, že k tomu došlo: vytištěný čtverec neuvádí, na jakého hostitele odkazuje.

To je problém firmy, která kód nasadila, nikoli pouze skenujícího. Soudní dvůr v rozsudku *Breyer* (C-582/14) rozhodl, že dynamická IP adresa zaznamenaná provozovatelem webu může představovat osobní údaj, protože stačí možnost někoho odlišit — jméno není potřeba. Podle GDPR jste obecně stranou, která musí mít právní titul, informační povinnost a obvykle i smlouvu o zpracování osobních údajů, pokud jste vytiskli kód směrující zákazníky přes zpracovatele.

Jde o obecné informace, nikoli právní poradenství, a podrobnosti se liší podle jurisdikce a skutečného jednání poskytovatele. Všimněte si však podstaty: poskytovatel získá data a firma, která kód vytiskla, nese riziko. Tato asymetrie patří mezi nejméně diskutované náklady „bezplatných“ služeb.

Kam data nakonec doputují?

1. Akvizice. Záznamy skenování jsou aktivum. Když je poskytovatel koupen, záznamy se převedou podle pravidel, která přijme nabyvatel.
2. Úpadek. Pokud poskytovatel zkrachuje, jeho data se stanou součástí majetkové podstaty — a ve stejném okamžiku přestanou fungovat i vaše vytištěné kódy. Viz proč QR kódy přestávají fungovat.
3. Únik. Záznamy místa a času spojené s otisky zařízení jsou pro útočníky lákavé a po zveřejnění je prakticky nelze učinit neškodnými.

Nic z toho nevyžaduje, aby se dnes někdo choval špatně. Je to prostě osud datové sady v průběhu času.

Jak změřit kampaň bez prostředníka?

Chtít vědět, zda kampaň fungovala, je zcela rozumné. K tomu nepotřebujete třetí stranu.

Vytiskněte statický QR kód s URL na vlastní doméně a vlastním parametrem kampaně: https://yourcompany.com/menu?src=table-tent. Váš server zaznamená návštěvu. Vaše analytika ji započítá. V cestě není nikdo další, skenující kontaktuje pouze firmu, kterou chtěl kontaktovat, a kód bude fungovat bez ohledu na stav fakturace kohokoli.

Pro každé umístění použijte jinou cestu nebo parametr a získáte atribuci podle jednotlivých plakátů — stejnou podrobnost, jakou vám prodával řídicí panel, aniž byste své zákazníky předali cizímu subjektu. Mějte své QR kódy navždy pod kontrolou popisuje nastavení.

Nic, co zde vygenerujete, se nedotýká serveru — kódy vznikají ve vašem prohlížeči a skenování nezaznamenáváme, protože nikdy nejsme v cestě. Začněte QR kódem z URL nebo si přečtěte pravdu o podvodech s QR kódy, kde najdete celý obrázek.