QR-skannauksen lokit: data heille, vastuu sinulle

Tämä epäsuhta on asia, josta QR-koodin käyttöönottaneille kerrotaan tuskin koskaan, ja juuri siksi kyse on vaatimustenmukaisuudesta eikä pelkästä uteliaisuudesta. Kun palveluntarjoaja mainostaa ”skannausanalytiikkaa”, käännä asetelma toisin päin: analytiikka on mahdollista vain, koska jokainen skannaus pakotetaan heidän infrastruktuurinsa kautta. Seurantaa ei ole liitetty uudelleenohjaukseen – uudelleenohjaus on olemassa, jotta seuranta olisi mahdollista.

Mitä tapahtuu, kun joku skannaa staattisen koodin?

Ei mitään kolmansien osapuolten kannalta. Se on lähtökohta, joka tekee eron konkreettiseksi.

Staattinen QR-koodi sisältää kohteen kirjaimellisina tavuina kuviossa. Kamera purkaa sen paikallisesti puhelimessa ja antaa URL-osoitteen selaimelle. Selain muodostaa sitten yhteyden palvelimeesi. Välissä ei ole hyppyä eikä kolmatta osapuolta, eikä kukaan muu kuin sinä voi tietää, että skannaus tapahtui.

Tämä ei ole jonkun suunnittelema yksityisyysominaisuus. Se on seurausta siitä, että formaatti tekee vain sen, mitä se väittää tekevänsä – tutustu vertailuun staattinen ja dynaaminen.

Mitä välityspalvelimelle saapuu ilman lisätoimia?

Dynaaminen koodi sisältää esimerkiksi osoitteen https://qr-short.example/a1B2c3. Puhelin muodostaa ensin yhteyden tähän palvelimeen; vasta palveluntarjoajan vastattua selain saa tietää todellisen kohteen. Yhteys on tavallinen verkkopyyntö, joten palveluntarjoaja saa kaiken, mitä tavallinen verkkopyyntö sisältää – ennen suostumusbanneria, ennen tietosuojakäytäntöä ja ennen kuin skannaaja tietää, kenen palvelimeen hän otti yhteyttä.

Mitä uudelleenohjaus lisää tähän?

Koska palveluntarjoaja hallitsee vastausta, se ei rajoitu passiiviseen lokien kirjaamiseen. Uudelleenohjaus on paikka, jossa voi *toimia*:

• Asettaa evästeen omalle verkkotunnukselleen ennen edelleenlähetystä. Kaikki saman palveluntarjoajan koodit – millä tahansa julisteella ja minkä tahansa yrityksen käytössä – voidaan nyt yhdistää samaan laitteeseen.
• Lisätä seurantaparametreja kohde-URL-osoitteeseen, jolloin niiden tunnisteet kulkevat analytiikkaasi.
• Näyttää väliaskelman välittömän uudelleenohjauksen sijaan. Se suorittaa JavaScriptiä ja mahdollistaa canvas- ja fonttisormenjäljen, näytön mittojen, aikavyöhykkeen ja laitetietojen keräämisen.
• Ketjuttaa mukaan uusia hyppyjä, myös mainonta- tai attribuutiokumppaneita, joista jokainen toistaa koko keräyksen.

Viimeinen kohta on vähiten näkyvä ja merkityksellisin. QR-lyhytlinkin uudelleenohjausketjun seuraaminen paljastaa joskus useita palvelimia skannauksen ja kohteen välillä – näin tarkistat, minne QR-koodi todella johtaa näyttää, miten ketju jäljitetään.

Kuinka monta osapuolta ketjussa todella on?

Usein useampi kuin yksi. Palveluntarjoaja on ensimmäinen hyppy, mutta sen palauttama vastaus voi ohjata toiselle palvelimelle ennen omaasi, ja tämä palvelin voi ohjata kolmannelle.

Tämä ei ole kuvitteellinen tilanne. Palo Alton Unit 42 seurasi QR-lyhennyspalveluiden kautta kulkevaa liikennettä, joka kasvoi 55 % vuoden 2023 ensimmäisestä puoliskosta vuoden 2024 ensimmäiseen puoliskoon ja vielä 44 % vuoden 2025 ensimmäiseen puoliskoon – kyseessä on kokonainen uudelleenohjauskerros, jota QR-koodeja edeltäneessä verkossa ei ollut ja joka sijaitsee nyt fyysisten kohteiden ja niiden mainostamien sivustojen välissä. Jokainen hyppy on itsenäinen osapuoli, joka vastaanottaa kokonaisen HTTP-pyynnön.

Voit mitata oman altistumisesi. Suorita curl -sIL "https://short.example/abc" | grep -i "^location:" painettuun koodiisi sisältyvää lyhytlinkkiä vastaan; jokainen Location-rivi tarkoittaa yhtä organisaatiota, joka näkee jokaisen skannauksen. Jos määrä on suurempi kuin yksi, skannaustietojasi jaetaan osapuolille, joiden kanssa et ole koskaan tehnyt sopimusta ja joita et pysty nimeämään. Näin tarkistat, minne QR-koodi todella johtaa opastaa tulosteen lukemisessa.

Miten yksittäisistä tiedoista muodostuu profiili?

Yksittäin tarkasteltuna jokainen kenttä on arkinen. Kun palveluntarjoaja ylläpitää tuhansien yritysten koodeja, tiedot muodostavat jotain aivan muuta.

Palveluntarjoaja, jonka koodeja on ravintoloiden pöydissä, myymälähyllyillä, tapahtumamerkeissä ja pysäköintimittareissa, voi seurata saman toistuvan laitesormenjäljen perusteella, missä ja kuinka usein laite liikkuu, koska jokainen koodi liittyy fyysiseen paikkaan; käyntien järjestystä ja ajoitusta, mikä paljastaa rutiinit ja työmatkat; likimääräisiä koti- ja työalueita ennakoitavina kellonaikoina toistuvien sijaintien perusteella; sekä yrityksiä, joiden kanssa laite asioi, vaikka yrityksillä ei olisi mitään yhteyttä toisiinsa.

Yksikään yritys ei ottanut käyttöön sijainninseurantaverkostoa. Palveluntarjoaja kokosi sellaisen kaikkien painetusta materiaalista – ja jokainen yritys maksoi oman osuutensa sensoriverkosta painattamalla materiaalinsa.

Kuka on oikeudellisesti vastuussa – sinä vai palveluntarjoaja?

Menukoodin skannaava henkilö suostuu katsomaan menua. Hän ei tietoisesti suostu ottamaan yhteyttä kolmannen osapuolen analytiikkayritykseen, eikä hänellä ole keinoa saada sitä selville: painettu neliö ei kerro, mille palvelimelle se osoittaa.

Tämä on ongelma koodin käyttöön ottaneelle yritykselle, ei vain skannaajalle. Unionin tuomioistuin totesi asiassa *Breyer* (C-582/14), että sivuston ylläpitäjän kirjaama dynaaminen IP-osoite voi olla henkilötieto, koska henkilön erottelu muista riittää – nimeä ei tarvita. GDPR:n mukaan jos painatit koodin, joka ohjaa asiakkaasi käsittelijän kautta, juuri sinun on yleensä määritettävä käsittelyn oikeusperuste, annettava tarvittavat tiedot ja solmittava tavallisesti henkilötietojen käsittelysopimus.

Tämä on yleistä tietoa eikä oikeudellista neuvontaa, ja yksityiskohdat vaihtelevat lainkäyttöalueen ja palveluntarjoajan todellisten toimien mukaan. Huomaa kuitenkin asetelma: palveluntarjoaja saa tiedot, mutta koodin painattanut yritys kantaa riskin. Tämä epäsuhta on yksi ”ilmaisen” vähiten puhutuista kustannuksista.

Mihin tiedot päätyvät?

1. Yrityskauppa. Skannauslokit ovat omaisuuserä. Kun palveluntarjoaja ostetaan, lokit siirtyvät uuden omistajan käytäntöjen mukaisesti.
2. Maksukyvyttömyys. Jos palveluntarjoaja kaatuu, sen tiedot kuuluvat konkurssipesään – ja samalla painetut koodisi lakkaavat toimimasta. Katso miksi QR-koodit lakkaavat toimimasta.
3. Tietomurto. Sijaintiin ja aikaan liittyvät tiedot, jotka on yhdistetty laitesormenjälkiin, houkuttelevat hyökkääjiä, ja niiden muuttaminen vaarattomiksi on käytännössä mahdotonta paljastumisen jälkeen.

Mikään näistä ei edellytä, että kukaan toimisi tänään väärin. Näin tietoaineistolle yksinkertaisesti käy ajan mittaan.

Miten mittaat kampanjan ilman välikättä?

On täysin järkevää haluta tietää, toimiko kampanja. Et tarvitse kolmatta osapuolta sen selvittämiseen.

Tulosta staattinen QR-koodi, joka sisältää oman verkkotunnuksesi URL-osoitteen ja oman kampanjaparametrisi: https://yourcompany.com/menu?src=table-tent. Palvelimesi kirjaa osuman. Analytiikkasi laskee sen. Kukaan muu ei ole välissä, skannaaja ottaa yhteyttä vain siihen yritykseen, johon hän aikoi ottaa yhteyttä, ja koodi toimii riippumatta kenenkään laskutustilanteesta.

Käytä jokaista sijoituspaikkaa varten eri polkua tai parametria, niin saat julistekohtaisen attribuution – saman tarkkuuden, jonka hallintapaneeli sinulle myi, luovuttamatta asiakkaitasi tuntemattomalle taholle. Pidä QR-koodisi hallinnassasi ikuisesti kertoo, miten tämä tehdään.

Mikään täällä luomasi ei ota yhteyttä palvelimeen – koodit tuotetaan selaimessasi, emmekä kirjaa skannauksia, koska emme koskaan ole niiden reitillä. Aloita URL-QR-koodista tai lue totuus QR-koodihuijauksista, niin saat kokonaiskuvan.