Log scansioni QR: i dati al provider, il rischio è tuo

Questa asimmetria è l'aspetto di cui quasi nessuno viene informato quando implementa un codice QR, ed è il motivo per cui si tratta di una questione di conformità, non di una semplice curiosità. Quando un provider pubblicizza "analisi delle scansioni", cambia prospettiva: le analisi sono possibili solo perché ogni scansione viene fatta passare dalla sua infrastruttura. Il tracciamento non è aggiunto al reindirizzamento — il reindirizzamento esiste per rendere possibile il tracciamento.

Cosa succede quando qualcuno scansiona un codice statico?

Nulla, per quanto riguarda le terze parti. Questo è il punto di partenza e rende concreto il confronto.

Un codice QR statico codifica la destinazione come byte letterali nel disegno. La fotocamera lo decodifica localmente, sul telefono, e passa l'URL al browser. Il browser si connette quindi al server tuo. Non c'è alcun passaggio intermedio, nessuna terza parte e nessun modo, per chiunque tranne te, di sapere che la scansione è avvenuta.

Non è una funzione di privacy progettata da qualcuno. È la conseguenza del formato, che fa soltanto ciò che dichiara di fare — vedi statico o dinamico.

Cosa arriva al proxy senza alcuno sforzo aggiuntivo?

Un codice dinamico codifica qualcosa come https://qr-short.example/a1B2c3. Il telefono si connette prima a quell'host; solo dopo che il provider risponde il browser scopre la destinazione reale. Quella connessione è una normale richiesta web, quindi il provider riceve tutto ciò che trasporta una normale richiesta web — prima di qualsiasi banner di consenso, prima di qualsiasi informativa sulla privacy, prima che chi esegue la scansione sappia a quale server si è connesso.

Cosa aggiunge il passaggio di reindirizzamento?

Poiché il provider controlla la risposta, non si limita alla registrazione passiva. Un passaggio di reindirizzamento è un punto in cui può *agire*:

• Impostare un cookie sul proprio dominio prima di inoltrare la richiesta. Ogni codice di quel provider — su qualsiasi poster e di qualsiasi azienda — può ora essere associato allo stesso dispositivo.
• Aggiungere parametri di tracciamento all'URL di destinazione, così i suoi identificatori entrano nei tuoi strumenti di analisi.
• Mostrare una pagina intermedia invece di un reindirizzamento immediato. Questa esegue JavaScript, consentendo il fingerprinting di canvas e font, le dimensioni dello schermo, il fuso orario e indizi sull'hardware.
• Passare attraverso altri hop, inclusi partner pubblicitari o di attribuzione, ciascuno dei quali ripete l'intera raccolta.

L'ultimo è il meno visibile e il più importante. Seguire una catena di reindirizzamenti da un link breve QR a volte rivela diversi host tra la scansione e la destinazione — come verificare dove conduce davvero un codice QR spiega come tracciarne uno.

Quante parti sono effettivamente coinvolte nella catena?

Spesso più di una. Il provider è il primo hop, ma la risposta che restituisce può puntare a un altro host prima del tuo, e quell'host può puntare a un terzo.

Non è un'ipotesi. L'Unit 42 di Palo Alto ha rilevato che il traffico attraverso i servizi di accorciamento QR è aumentato del 55% dalla prima metà del 2023 alla prima metà del 2024 e di un ulteriore 44% nella prima metà del 2025 — un intero livello di reindirizzamento che non esisteva nel web precedente ai QR e che ora si trova tra gli oggetti fisici e i siti che pubblicizzano. Ogni hop è una parte indipendente che riceve una richiesta HTTP completa.

Puoi misurare la tua esposizione. Esegui curl -sIL "https://short.example/abc" | grep -i "^location:" sul link breve del codice stampato; ogni riga Location corrisponde a un'organizzazione che vede ogni scansione. Se il numero è superiore a uno, i dati delle scansioni vengono condivisi con parti con cui non hai mai stipulato un contratto e che non puoi nominare. Come verificare dove conduce davvero un codice QR spiega come leggere l'output.

Come diventano un profilo i singoli dati?

Preso singolarmente, ogni campo non dice molto. Aggregati da un provider che gestisce codici per migliaia di aziende, compongono qualcosa di completamente diverso.

Un provider i cui codici compaiono sui tavoli dei ristoranti, sugli scaffali dei negozi, sui badge degli eventi e sui parchimetri può osservare, per una stessa impronta digitale del dispositivo ricorrente: dove va e con quale frequenza, poiché ogni codice è associato a un luogo fisico; la sequenza e l'orario di quelle visite, che rivelano abitudini e spostamenti; le aree approssimative di casa e lavoro, ricavate dai raggruppamenti negli orari prevedibili; e con quali aziende interagisce, anche tra imprese che non hanno alcun rapporto tra loro.

Nessuna singola azienda ha implementato una rete di tracciamento della posizione. Il provider ne ha costruita una usando il materiale stampato di tutti — e ogni azienda ha pagato per stampare il proprio segmento della rete di sensori.

Chi è legalmente responsabile: tu o il provider?

Chi scansiona il codice di un menu accetta di visualizzare un menu. Non accetta consapevolmente di contattare una società di analisi di terze parti e non ha modo di scoprire di averlo fatto: il quadrato stampato non indica a quale host conduce.

Questo è un problema per l'azienda che ha implementato il codice, non solo per chi esegue la scansione. La Corte di giustizia ha stabilito in *Breyer* (C-582/14) che un indirizzo IP dinamico registrato dal gestore di un sito può costituire un dato personale, poiché è sufficiente poter distinguere una persona — non serve il suo nome. Secondo il GDPR, se hai stampato il codice che instrada i tuoi clienti attraverso un responsabile del trattamento, generalmente sei tu a dover avere una base giuridica, un'informativa e, di norma, un accordo sul trattamento dei dati.

Queste sono informazioni generali, non una consulenza legale, e i dettagli variano in base alla giurisdizione e a ciò che il provider fa realmente. Ma osserva la struttura: il provider ottiene i dati e l'azienda che ha stampato il codice si assume l'esposizione. Questa asimmetria è tra i costi meno discussi della formula "gratis".

Dove finiscono i dati?

1. Acquisizione. I log delle scansioni sono un bene. Quando un provider viene acquisito, i log vengono trasferiti secondo le politiche che adotterà l'acquirente.
2. Insolvenza. Se un provider fallisce, i suoi dati entrano a far parte del patrimonio — e quello è lo stesso momento in cui i codici stampati smettono di funzionare. Vedi perché i codici QR smettono di funzionare.
3. Violazione. I dati di posizione e orario associati alle impronte dei dispositivi sono appetibili per gli aggressori e, una volta esposti, è praticamente impossibile renderli innocui.

Niente di tutto questo richiede che qualcuno si comporti male oggi. È semplicemente ciò che accade a un insieme di dati nel tempo.

Come misurare una campagna senza intermediari?

Voler sapere se una campagna ha funzionato è del tutto ragionevole. Non hai bisogno di una terza parte per scoprirlo.

Stampa un codice QR statico che codifichi un URL del tuo dominio con un tuo parametro di campagna: https://yourcompany.com/menu?src=table-tent. Il tuo server registra la visita. Il tuo strumento di analisi la conta. Nessun altro si trova nel percorso, chi esegue la scansione contatta solo l'azienda che intendeva contattare e il codice continua a funzionare indipendentemente dallo stato dei pagamenti di chiunque.

Usa un percorso o un parametro diverso per ogni posizione e ottieni l'attribuzione per poster — lo stesso livello di dettaglio che ti vendeva la dashboard, senza consegnare i tuoi clienti a uno sconosciuto. Possiedi per sempre i tuoi codici QR spiega come configurarlo.

Niente di ciò che generi qui contatta un server — i codici vengono prodotti nel tuo browser e non registriamo scansioni perché non siamo mai nel percorso. Inizia con un codice QR per URL, oppure leggi la verità sulle truffe con i codici QR per avere il quadro completo.