Les scans QR révèlent vos données, vous assumez le risque

C’est cette asymétrie que presque personne ne signale aux entreprises qui déploient un code QR, et c’est pourquoi il s’agit d’une question de conformité, pas d’une simple curiosité. Lorsqu’un fournisseur vante ses « statistiques de scan », inversez la perspective : ces statistiques ne sont possibles que parce que chaque scan passe obligatoirement par son infrastructure. Le suivi n’est pas ajouté à la redirection — la redirection existe pour rendre le suivi possible.

Que se passe-t-il quand quelqu’un scanne un code statique ?

Rien, du point de vue des tiers. C’est la situation de référence, et elle rend le contraste concret.

Un code QR statique encode votre destination sous forme d’octets littéraux dans le motif. L’appareil photo le décode localement, sur le téléphone, puis transmet l’URL au navigateur. Le navigateur se connecte ensuite à votre serveur. Il n’y a ni étape intermédiaire, ni tiers, ni moyen pour quelqu’un d’autre que vous de savoir que le scan a eu lieu.

Ce n’est pas une fonction de confidentialité conçue par quelqu’un. C’est la conséquence du format, qui ne fait que ce qu’il prétend faire — voir statique ou dynamique.

Que reçoit le serveur relais sans effort supplémentaire ?

Un code dynamique encode quelque chose comme https://qr-short.example/a1B2c3. Le téléphone se connecte d’abord à cet hôte ; ce n’est qu’après la réponse du fournisseur que le navigateur apprend sa véritable destination. Cette connexion est une requête web ordinaire : le fournisseur reçoit donc tout ce qu’une requête web ordinaire transporte — avant tout bandeau de consentement, avant toute politique de confidentialité, avant même que la personne qui scanne sache à quel serveur elle s’est connectée.

Qu’ajoute l’étape de redirection ?

Comme le fournisseur contrôle la réponse, il ne se limite pas à enregistrer passivement les données. Une étape de redirection permet d’*agir* :

• Définir un cookie sur son propre domaine avant de rediriger. Chaque code de ce fournisseur — sur n’importe quelle affiche et pour n’importe quelle entreprise — peut alors être associé au même appareil.
• Ajouter des paramètres de suivi à l’URL de destination, afin que ses identifiants se retrouvent dans vos statistiques.
• Afficher une page intermédiaire au lieu d’une redirection instantanée. Celle-ci exécute du JavaScript et permet l’empreinte du canvas et des polices, la collecte des dimensions de l’écran, du fuseau horaire et d’indices matériels.
• Enchaîner plusieurs étapes, notamment avec des partenaires publicitaires ou d’attribution, chacun répétant toute la collecte.

La dernière possibilité est la moins visible et la plus lourde de conséquences. Suivre une chaîne de redirections à partir d’un lien court QR révèle parfois plusieurs hôtes entre le scan et la destination — comment vérifier où mène réellement un code QR explique comment la retracer.

Combien de parties participent réellement à la chaîne ?

Souvent plus d’une. Le fournisseur est la première étape, mais la réponse qu’il renvoie peut pointer vers un autre hôte avant le vôtre, et cet hôte peut en désigner un troisième.

Ce n’est pas une hypothèse. L’Unit 42 de Palo Alto a observé une hausse du trafic passant par des services de raccourcissement QR de 55 % entre le premier semestre 2023 et le premier semestre 2024, puis de 44 % supplémentaires au premier semestre 2025 — une couche complète de redirections qui n’existait pas sur le web avant les QR, désormais intercalée entre les objets physiques et les sites qu’ils annoncent. Chaque étape est une partie indépendante qui reçoit une requête HTTP complète.

Vous pouvez mesurer votre propre exposition. Exécutez curl -sIL "https://short.example/abc" | grep -i "^location:" sur le lien court présent dans votre code imprimé ; chaque ligne Location correspond à une organisation qui voit chaque scan. Si le nombre dépasse un, vos données de scan sont partagées avec des parties avec lesquelles vous n’avez jamais signé de contrat et que vous ne pouvez pas nommer. Comment vérifier où mène réellement un code QR explique comment lire le résultat.

Comment des enregistrements individuels deviennent-ils un profil ?

Pris séparément, chaque champ paraît banal. Agrégés par un fournisseur qui gère les codes de milliers d’entreprises, ils composent quelque chose de tout différent.

Un fournisseur dont les codes apparaissent sur des tables de restaurant, des rayons de magasins, des badges d’événement et des horodateurs peut observer, pour une même empreinte d’appareil récurrente : où elle se rend et à quelle fréquence, puisque chaque code est associé à un lieu physique ; l’ordre et l’horaire de ces visites, qui révèlent les habitudes et les trajets domicile-travail ; les zones approximatives du domicile et du travail grâce aux regroupements à des heures prévisibles ; ainsi que les entreprises avec lesquelles elle interagit, y compris des sociétés sans aucun lien entre elles.

Aucune entreprise n’a déployé seule un réseau de suivi de localisation. Le fournisseur en a assemblé un à partir des supports imprimés de tout le monde — et chaque entreprise a payé pour imprimer son propre segment de cette grille de capteurs.

Qui est légalement responsable — vous ou le fournisseur ?

Une personne qui scanne le code d’un menu accepte de consulter un menu. Elle n’accepte pas sciemment de contacter une entreprise d’analyse tierce, et elle n’a aucun moyen de le découvrir : le carré imprimé n’indique pas vers quel hôte il pointe.

C’est un problème pour l’entreprise qui a déployé le code, pas seulement pour la personne qui scanne. La Cour de justice a estimé dans *Breyer* (C-582/14) qu’une adresse IP dynamique enregistrée par l’exploitant d’un site peut constituer une donnée personnelle, car le fait de pouvoir distinguer une personne suffit — son nom n’est pas nécessaire. Selon le RGPD, si vous avez imprimé le code qui fait passer vos clients par un sous-traitant, c’est généralement à vous de disposer d’une base légale, de fournir une information et, le plus souvent, de conclure un accord de traitement des données.

Il s’agit d’une information générale, et non de conseils juridiques ; les détails varient selon la juridiction et selon les activités réelles du fournisseur. Mais observez la logique : le fournisseur obtient les données, tandis que l’entreprise qui a imprimé le code assume l’exposition. Cette asymétrie fait partie des coûts de la gratuité dont on parle le moins.

Où les données finissent-elles ?

1. Acquisition. Les journaux de scan sont un actif. Lorsqu’un fournisseur est racheté, les journaux sont transférés, selon les politiques adoptées par l’acquéreur.
2. Faillite. Si un fournisseur cesse son activité, ses données font partie de la masse — et c’est aussi le moment où vos codes imprimés cessent de fonctionner. Voir pourquoi les codes QR cessent de fonctionner.
3. Fuite de données. Les données de lieu et d’heure associées à des empreintes d’appareil attirent les attaquants et deviennent pratiquement impossibles à rendre inoffensives une fois exposées.

Aucun de ces scénarios ne suppose que quelqu’un agisse mal aujourd’hui. C’est simplement ce qui arrive à un jeu de données au fil du temps.

Comment mesurer une campagne sans intermédiaire ?

Vouloir savoir si une campagne a fonctionné est parfaitement raisonnable. Vous n’avez pas besoin d’un tiers pour le savoir.

Imprimez un code QR statique qui encode une URL de votre propre domaine avec votre propre paramètre de campagne : https://yourcompany.com/menu?src=table-tent. Votre serveur enregistre la visite. Vos statistiques la comptabilisent. Personne d’autre ne se trouve sur le chemin, la personne qui scanne contacte uniquement l’entreprise qu’elle voulait joindre, et le code continue de fonctionner quelle que soit la situation de paiement de qui que ce soit.

Utilisez un chemin ou un paramètre différent pour chaque emplacement et vous obtenez une attribution par affiche — le même niveau de détail que celui vendu par le tableau de bord, sans livrer vos clients à un inconnu. Gardez vos codes QR pour toujours explique la mise en place.

Rien de ce que vous générez ici ne touche un serveur — les codes sont produits dans votre navigateur et nous n’enregistrons aucun scan, puisque nous ne sommes jamais sur le chemin. Commencez par un code QR d’URL, ou lisez la vérité sur les arnaques aux codes QR pour tout comprendre.