QR-scanninger logger dine data – ansvaret er dit

Denne asymmetri er det, næsten ingen, der tager en QR-kode i brug, har fået at vide, og det er grunden til, at dette er et spørgsmål om compliance snarere end en kuriositet. Når en udbyder reklamerer med "scanningsanalyse", så vend perspektivet: Analyse er kun mulig, fordi hver scanning tvinges gennem deres infrastruktur. Sporingen er ikke koblet på omdirigeringen – omdirigeringen findes, for at sporingen kan lade sig gøre.

Hvad sker der, når nogen scanner en statisk kode?

Intet, hvad tredjeparter angår. Det er udgangspunktet, og det gør forskellen konkret.

En statisk QR-kode koder din destination som bogstavelige bytes i mønsteret. Kameraet afkoder den lokalt på telefonen og giver URL'en videre til browseren. Browseren opretter derefter forbindelse til din server. Der er intet mellemled, ingen tredjepart og ingen måde for andre end dig at vide, at scanningen fandt sted.

Det er ikke en privatlivsfunktion, som nogen har designet. Det er en konsekvens af, at formatet kun gør det, det påstår at gøre – se statisk kontra dynamisk.

Hvad når frem til proxyen uden ekstra indsats?

En dynamisk kode koder noget i stil med https://qr-short.example/a1B2c3. Telefonen opretter først forbindelse til denne vært; først når udbyderen har svaret, lærer browseren den egentlige destination at kende. Forbindelsen er en almindelig webanmodning, så udbyderen modtager alt det, en almindelig webanmodning indeholder – før noget samtykkebanner, før nogen privatlivspolitik og før den, der scanner, ved, hvis server de kontaktede.

Hvad tilføjer omdirigeringen?

Fordi udbyderen styrer svaret, er de ikke begrænset til passiv logning. Et omdirigeringsled er et sted, hvor de kan *handle*:

• Sætte en cookie på deres eget domæne før videresendelsen. Alle koder fra denne udbyder – på enhver plakat og fra enhver virksomhed – kan nu knyttes til den samme enhed.
• Føje sporingsparametre til destinations-URL'en, så deres identifikatorer ender i din analyse.
• Vise en mellemside i stedet for en øjeblikkelig omdirigering. Den kører JavaScript og muliggør fingerprinting af canvas og skrifttyper, skærmdimensioner, tidszone og hardwareoplysninger.
• Kæde videre gennem flere led, herunder annoncerings- eller attribueringspartnere, som hver gentager hele indsamlingen.

Det sidste er mindst synligt og har størst betydning. Hvis du følger en omdirigeringskæde fra et QR-kortlink, afsløres der nogle gange flere værter mellem scanningen og destinationen – sådan tjekker du, hvor en QR-kode virkelig fører hen viser, hvordan du sporer en.

Hvor mange parter er der faktisk i kæden?

Ofte mere end én. Udbyderen er det første led, men svaret, de sender, kan pege på en anden vært, før det når din, og den vært kan pege på en tredje.

Det er ikke hypotetisk. Palo Altos Unit 42 fulgte trafik gennem QR-forkortertjenester, der voksede 55 % fra første halvdel af 2023 til første halvdel af 2024 og yderligere 44 % frem til første halvdel af 2025 – et helt omdirigeringslag, som ikke fandtes på webbet før QR-koder, men som nu ligger mellem fysiske objekter og de websteder, de reklamerer for. Hvert led er en uafhængig part, der modtager en komplet HTTP-anmodning.

Du kan måle din egen eksponering. Kør curl -sIL "https://short.example/abc" | grep -i "^location:" mod kortlinket i din trykte kode; hver Location-linje er én organisation, der ser hver scanning. Hvis antallet er højere end én, deles dine scanningsdata med parter, som du aldrig har indgået aftale med og ikke kan navngive. Sådan tjekker du, hvor en QR-kode virkelig fører hen gennemgår, hvordan du læser resultatet.

Hvordan bliver enkelte registreringer til en profil?

Hvert felt for sig er uinteressant. Samlet på tværs af en udbyder, der driver koder for tusindvis af virksomheder, bliver de til noget helt andet.

En udbyder, hvis koder findes på restaurantborde, butikshylder, eventmærker og parkeringsautomater, kan for ét tilbagevendende enhedsfingerprint se, hvor enheden færdes, og hvor ofte, fordi hver kode er knyttet til et fysisk sted; rækkefølgen og tidspunktet for besøgene, som afslører rutiner og pendling; omtrentlige områder for hjem og arbejde ud fra klynger på forudsigelige tidspunkter; og hvilke virksomheder den interagerer med på tværs af firmaer, der ikke har nogen forbindelse til hinanden.

Ingen enkelt virksomhed oprettede et netværk til lokationssporing. Udbyderen samlede ét ud fra alles trykte materialer – og hver virksomhed betalte for at trykke sin egen del af sensornettet.

Hvem har det juridiske ansvar – dig eller udbyderen?

En person, der scanner en menukode, accepterer at se en menu. Personen accepterer ikke bevidst at kontakte en analysevirksomhed, og har ingen mulighed for at opdage det: Den trykte firkant fortæller ikke, hvilken vært den peger på.

Det er et problem for den virksomhed, der tog koden i brug, ikke kun for den, der scanner. EU-Domstolen fastslog i *Breyer* (C-582/14), at en dynamisk IP-adresse, som logges af en webstedsoperatør, kan udgøre persondata, eftersom det er nok at kunne udskille en person – navnet er ikke nødvendigt. Efter GDPR er det normalt den part, der trykte koden og dirigerer kunder gennem en databehandler, der skal have et behandlingsgrundlag, give oplysninger og som regel indgå en databehandleraftale.

Dette er generel information og ikke juridisk rådgivning, og detaljerne varierer efter jurisdiktion og efter, hvad udbyderen faktisk gør. Men bemærk formen: udbyderen får dataene, og virksomheden, der trykte koden, bærer eksponeringen. Denne asymmetri er blandt de mindst omtalte omkostninger ved "gratis".

Hvor ender dataene?

1. Opkøb. Scanningslogge er et aktiv. Når en udbyder bliver købt, overføres loggene efter de regler, som køberens politikker ender med at fastsætte.
2. Konkurs. Hvis en udbyder går konkurs, bliver dataene en del af boet – og det er samtidig det tidspunkt, hvor dine trykte koder holder op med at virke. Se hvorfor QR-koder holder op med at virke.
3. Databrud. Lokations- og tidsdata, der er knyttet til enhedsfingeraftryk, er attraktive for angribere og reelt umulige at gøre harmløse, når de først er blevet afsløret.

Ingen af disse ting kræver, at nogen opfører sig dårligt i dag. Det er ganske enkelt det, der sker med et datasæt over tid.

Hvordan måler du en kampagne uden et mellemled?

Det er helt rimeligt at ville vide, om en kampagne virkede. Du behøver ikke en tredjepart for at finde ud af det.

Tryk en statisk QR-kode, der koder en URL på dit eget domæne med din egen kampagneparameter: https://yourcompany.com/menu?src=table-tent. Din server logger besøget. Din analyse tæller det. Ingen andre er i forbindelsen, den, der scanner, kontakter kun den virksomhed, som personen havde til hensigt at kontakte, og koden bliver ved med at virke uanset andres betalingsstatus.

Brug en anden sti eller parameter for hver placering, så får du attribuering pr. plakat – den samme detaljeringsgrad, som dashboardet solgte dig, uden at udlevere dine kunder til en fremmed. Behold dine QR-koder for altid gennemgår opsætningen.

Intet, du genererer her, rammer en server – koderne oprettes i din browser, og vi logger ingen scanninger, fordi vi aldrig er i forbindelsen. Start med en URL-QR-kode, eller læs sandheden om QR-kodesvindel for hele billedet.