Log Pemindaian QR: Data Didapat, Anda Menanggung Risiko

Asimetri ini adalah hal yang hampir tidak pernah diberitahukan kepada orang yang menerapkan kode QR, dan inilah alasan masalah ini berkaitan dengan kepatuhan, bukan sekadar rasa ingin tahu. Ketika penyedia mengiklankan "analitik pemindaian", balik cara pandangnya: analitik hanya mungkin karena setiap pemindaian dipaksa melewati infrastruktur mereka. Pelacakan bukan ditempelkan pada pengalihan—pengalihan itu dibuat agar pelacakan memungkinkan.

Apa yang terjadi saat seseorang memindai kode statis?

Tidak ada, sejauh menyangkut pihak ketiga. Itulah dasarnya, dan ini membuat perbedaannya menjadi jelas.

Kode QR statis menyandikan tujuan Anda sebagai byte literal dalam polanya. Kamera mendekodenya secara lokal di ponsel, lalu menyerahkan URL kepada browser. Browser kemudian terhubung ke server Anda. Tidak ada lompatan perantara, tidak ada pihak ketiga, dan tidak ada cara bagi siapa pun selain Anda untuk mengetahui bahwa pemindaian terjadi.

Ini bukan fitur privasi yang dirancang seseorang. Ini adalah akibat dari format yang hanya melakukan apa yang diklaimnya—lihat statis vs dinamis.

Apa yang sampai ke proksi tanpa usaha tambahan?

Kode dinamis menyandikan sesuatu seperti https://qr-short.example/a1B2c3. Ponsel terhubung ke host itu terlebih dahulu; baru setelah penyedia menjawab, browser mengetahui tujuan sebenarnya. Koneksi tersebut adalah permintaan web biasa, sehingga penyedia menerima semua hal yang dibawa permintaan web biasa—sebelum banner persetujuan apa pun, sebelum kebijakan privasi apa pun, sebelum pemindai mengetahui server siapa yang mereka hubungi.

Apa tambahan yang diberikan langkah pengalihan?

Karena penyedia mengendalikan respons, mereka tidak terbatas pada pencatatan pasif. Lompatan pengalihan adalah tempat untuk *bertindak*:

• Menetapkan cookie di domain mereka sendiri sebelum meneruskan. Setiap kode dari penyedia tersebut—di poster mana pun, dari bisnis mana pun—kini dapat dikaitkan dengan perangkat yang sama.
• Menambahkan parameter pelacakan ke URL tujuan, sehingga pengenal mereka masuk ke analitik Anda.
• Menayangkan halaman perantara alih-alih pengalihan instan. Halaman ini menjalankan JavaScript, sehingga memungkinkan fingerprinting canvas dan font, dimensi layar, zona waktu, serta petunjuk perangkat keras.
• Meneruskan melalui lompatan tambahan, termasuk mitra iklan atau atribusi, yang masing-masing mengulangi seluruh pengumpulan data.

Yang terakhir paling tidak terlihat dan paling berdampak. Mengikuti rantai pengalihan dari tautan pendek QR terkadang mengungkap beberapa host antara pemindaian dan tujuan—cara memeriksa ke mana kode QR sebenarnya mengarah menunjukkan cara melacaknya.

Berapa banyak pihak yang sebenarnya ada dalam rantai ini?

Sering kali lebih dari satu. Penyedia adalah lompatan pertama, tetapi respons yang mereka kembalikan mungkin menunjuk ke host lain sebelum host Anda, dan host itu mungkin menunjuk ke host ketiga.

Ini bukan sesuatu yang hipotetis. Unit 42 dari Palo Alto melacak lalu lintas melalui layanan pemendek QR yang tumbuh 55% dari paruh pertama 2023 ke paruh pertama 2024 dan bertambah 44% lagi hingga paruh pertama 2025—sebuah lapisan pengalihan yang tidak ada dalam web sebelum era QR, kini berada di antara objek fisik dan situs yang diiklankannya. Setiap lompatan adalah pihak independen yang menerima permintaan HTTP lengkap.

Anda dapat mengukur paparan Anda sendiri. Jalankan curl -sIL "https://short.example/abc" | grep -i "^location:" pada tautan pendek di kode cetak Anda; setiap baris Location adalah satu organisasi yang melihat setiap pemindaian. Jika jumlahnya lebih dari satu, data pemindaian Anda dibagikan kepada pihak yang tidak pernah Anda ajak berkontrak dan tidak dapat Anda sebutkan. Cara memeriksa ke mana kode QR sebenarnya mengarah menjelaskan cara membaca hasilnya.

Bagaimana catatan individu menjadi sebuah profil?

Secara terpisah, setiap kolom tampak biasa saja. Jika dikumpulkan oleh penyedia yang mengoperasikan kode untuk ribuan bisnis, semuanya membentuk sesuatu yang sama sekali berbeda.

Penyedia yang kodenya muncul di meja restoran, rak ritel, lencana acara, dan meteran parkir dapat mengamati, untuk satu fingerprint perangkat yang berulang: ke mana perangkat itu pergi dan seberapa sering, karena setiap kode terkait dengan tempat fisik; urutan dan waktu kunjungan tersebut, yang mengungkap rutinitas dan perjalanan pulang-pergi; perkiraan area rumah dan tempat kerja dari pengelompokan pada jam-jam yang dapat diprediksi; serta bisnis mana yang berinteraksi dengannya, di antara perusahaan-perusahaan yang tidak memiliki hubungan satu sama lain.

Tidak ada satu bisnis pun yang menerapkan jaringan pelacakan lokasi. Penyedia merakitnya dari materi cetak milik semua orang—dan setiap bisnis membayar untuk mencetak segmennya sendiri dari jaringan sensor tersebut.

Siapa yang bertanggung jawab secara hukum—Anda atau penyedia?

Seseorang yang memindai kode pada menu setuju untuk melihat menu. Mereka tidak secara sadar setuju untuk menghubungi perusahaan analitik pihak ketiga, dan mereka tidak punya cara untuk mengetahui bahwa hal itu terjadi: kotak cetak tersebut tidak memberi petunjuk ke host mana kode itu mengarah.

Ini adalah masalah bagi bisnis yang menerapkan kode tersebut, bukan hanya bagi pemindai. Mahkamah Kehakiman memutuskan dalam *Breyer* (C-582/14) bahwa alamat IP dinamis yang dicatat operator situs dapat merupakan data pribadi, karena kemampuan membedakan seseorang sudah cukup—nama mereka tidak diperlukan. Menurut GDPR, jika Anda mencetak kode yang mengarahkan pelanggan melalui pemroses, umumnya Anda adalah pihak yang membutuhkan dasar hukum, pengungkapan, dan biasanya perjanjian pemrosesan data.

Ini adalah informasi umum, bukan nasihat hukum, dan rinciannya berbeda menurut yurisdiksi serta tindakan penyedia yang sebenarnya. Namun perhatikan bentuk masalahnya: penyedia mendapatkan datanya, dan bisnis yang mencetak kode menanggung paparannya. Asimetri tersebut adalah salah satu biaya "gratis" yang paling jarang dibahas.

Ke mana data tersebut berakhir?

1. Akuisisi. Log pemindaian adalah aset. Ketika penyedia dibeli, log tersebut berpindah mengikuti kebijakan yang ditetapkan oleh pihak pengakuisisi.
2. Kepailitan. Jika penyedia gagal, datanya menjadi bagian dari harta pailit—dan pada saat yang sama kode cetak Anda berhenti berfungsi. Lihat mengapa kode QR berhenti berfungsi.
3. Kebocoran. Catatan lokasi dan waktu yang terkait dengan fingerprint perangkat menarik bagi penyerang dan pada dasarnya mustahil dibuat tidak berbahaya setelah terekspos.

Tak satu pun dari hal ini mengharuskan siapa pun bertindak buruk hari ini. Ini hanya hal yang terjadi pada sebuah kumpulan data seiring waktu.

Bagaimana mengukur kampanye tanpa perantara?

Keinginan untuk mengetahui apakah kampanye berhasil sepenuhnya wajar. Anda tidak memerlukan pihak ketiga untuk mengetahuinya.

Cetak kode QR statis yang menyandikan URL di domain Anda sendiri dengan parameter kampanye Anda sendiri: https://yourcompany.com/menu?src=table-tent. Server Anda mencatat kunjungan tersebut. Analitik Anda menghitungnya. Tidak ada pihak lain di jalur itu, pemindai hanya menghubungi bisnis yang memang ingin mereka hubungi, dan kode tetap berfungsi terlepas dari status pembayaran siapa pun.

Gunakan jalur atau parameter berbeda untuk setiap penempatan dan Anda mendapatkan atribusi per poster—tingkat perincian yang sama seperti yang dijual dasbor kepada Anda, tanpa menyerahkan pelanggan kepada orang asing. Miliki kode QR Anda selamanya membahas penyiapannya.

Tidak ada yang Anda buat di sini menyentuh server—kode dihasilkan di browser Anda, dan kami tidak mencatat pemindaian karena kami tidak pernah berada di jalurnya. Mulailah dengan kode QR URL, atau baca kebenaran tentang penipuan kode QR untuk gambaran lengkapnya.