QR-skanninger logger data – du får det juridiske ansvaret

Denne asymmetrien er noe nesten ingen som tar i bruk en QR-kode, har blitt fortalt, og det er grunnen til at dette er et spørsmål om etterlevelse – ikke en kuriositet. Når en leverandør reklamerer med «skanningsanalyse», bør du snu på perspektivet: Analyse er bare mulig fordi hver skanning tvinges gjennom leverandørens infrastruktur. Sporingen er ikke koblet på omdirigeringen – omdirigeringen finnes for at sporingen skal være mulig.

Hva skjer når noen skanner en statisk kode?

Ingenting, så langt det gjelder tredjeparter. Det er utgangspunktet, og det gjør forskjellen konkret.

En statisk QR-kode koder målet ditt som bokstavelige byte i mønsteret. Kameraet dekoder det lokalt på telefonen og gir URL-en til nettleseren. Nettleseren kobler deretter til din server. Det finnes ingen mellomliggende forbindelse, ingen tredjepart og ingen måte for andre enn deg å vite at skanningen fant sted.

Dette er ikke en personvernfunksjon noen har utviklet. Det er en konsekvens av at formatet bare gjør det det hevder å gjøre – se statisk vs. dynamisk.

Hva kommer til proxyen uten ekstra tiltak?

En dynamisk kode koder noe som https://qr-short.example/a1B2c3. Telefonen kobler først til denne verten; først etter at leverandøren svarer, får nettleseren vite det egentlige målet. Denne forbindelsen er en vanlig nettforespørsel, så leverandøren mottar alt en vanlig nettforespørsel inneholder – før et samtykkebanner, før en personvernerklæring og før den som skanner, vet hvilken server de kontaktet.

Hva tilfører omdirigeringen?

Fordi leverandøren kontrollerer svaret, er de ikke begrenset til passiv logging. En omdirigeringsforbindelse er et sted å *handle*:

• Sette en informasjonskapsel på sitt eget domene før videresending. Alle koder fra denne leverandøren – på enhver plakat og fra enhver virksomhet – kan nå knyttes til samme enhet.
• Legge til sporingsparametere i mål-URL-en, slik at identifikatorene deres følger med inn i analyseverktøyet ditt.
• Vise en mellomside i stedet for en umiddelbar omdirigering. Den kjører JavaScript og gjør det mulig å ta fingeravtrykk av lerret og skrifttyper samt samle inn skjermmål, tidssone og maskinvareindikatorer.
• Kjede gjennom flere forbindelser, blant annet reklame- eller attribusjonspartnere, som hver gjentar hele innsamlingen.

Det siste er minst synlig og mest alvorlig. Hvis du følger en omdirigeringskjede fra en kort QR-lenke, kan det noen ganger dukke opp flere verter mellom skanningen og målet – slik sjekker du hvor en QR-kode egentlig leder viser hvordan du sporer én.

Hvor mange parter er egentlig med i kjeden?

Ofte mer enn én. Leverandøren er første ledd, men svaret de returnerer, kan peke til en annen vert før din, og den verten kan peke til en tredje.

Dette er ikke hypotetisk. Palo Altos Unit 42 fulgte trafikk gjennom QR-forkortertjenester som økte med 55 % fra første halvdel av 2023 til første halvdel av 2024, og ytterligere 44 % inn i første halvdel av 2025 – et helt omdirigeringslag som ikke fantes på nettet før QR-koder, men som nå ligger mellom fysiske objekter og nettstedene de reklamerer for. Hvert ledd er en uavhengig part som mottar en full HTTP-forespørsel.

Du kan måle din egen eksponering. Kjør curl -sIL "https://short.example/abc" | grep -i "^location:" mot kortlenken i den trykte koden; hver Location-linje er én organisasjon som ser hver skanning. Hvis antallet er høyere enn én, deles skanningsdataene dine med parter du aldri har inngått avtale med og ikke kan navngi. Slik sjekker du hvor en QR-kode egentlig leder forklarer hvordan du leser resultatet.

Hvordan blir enkeltoppføringer til en profil?

Hvert felt for seg er uanselig. Samlet på tvers av en leverandør som driver koder for tusenvis av virksomheter, blir de til noe helt annet.

En leverandør som har koder på restaurantbord, butikkhyller, arrangementsmerker og parkeringsautomater, kan observere følgende for ett tilbakevendende enhetsfingeravtrykk: hvor enheten beveger seg og hvor ofte, siden hver kode er knyttet til et fysisk sted; rekkefølgen og tidspunktet for besøkene, som avslører rutiner og pendling; omtrentlige områder for hjem og arbeid basert på klynger på forutsigbare tidspunkter; og hvilke virksomheter enheten samhandler med, på tvers av selskaper som ikke har noe forhold til hverandre.

Ingen enkeltvirksomhet satte opp et nettverk for posisjonssporing. Leverandøren bygget ett av alles trykte materiell – og hver virksomhet betalte for å trykke sin egen del av sensornettet.

Hvem har det juridiske ansvaret – du eller leverandøren?

En person som skanner en meny-kode, samtykker til å se på en meny. Personen samtykker ikke bevisst til å kontakte et tredjepartsselskap for analyse, og har ingen mulighet til å oppdage at det skjedde: Den trykte firkanten gir ingen indikasjon på hvilken vert den peker til.

Det er et problem for virksomheten som tok koden i bruk, ikke bare for den som skanner. EU-domstolen fastslo i *Breyer* (C-582/14) at en dynamisk IP-adresse som logges av en nettstedoperatør, kan utgjøre personopplysninger, siden det er nok å skille noen ut – navnet deres er ikke nødvendig. Etter personvernforordningen er du, hvis du trykket koden som ruter kundene dine gjennom en databehandler, vanligvis parten som trenger et rettslig grunnlag, informasjon til de registrerte og som regel en databehandleravtale.

Dette er generell informasjon, ikke juridisk rådgivning, og detaljene varierer etter jurisdiksjon og hva leverandøren faktisk gjør. Men legg merke til strukturen: leverandøren får dataene, mens virksomheten som trykket koden, bærer eksponeringen. Denne asymmetrien er blant de minst omtalte kostnadene ved «gratis».

Hvor ender dataene opp?

1. Oppkjøp. Skanningslogger er en verdi. Når en leverandør blir kjøpt opp, overføres loggene etter de retningslinjene den nye eieren har.
2. Konkurs. Hvis en leverandør går konkurs, blir dataene en del av boet – og det er samtidig da de trykte kodene dine slutter å fungere. Se hvorfor QR-koder slutter å virke.
3. Datainnbrudd. Posisjons- og tidsoppføringer knyttet til enhetsfingeravtrykk er attraktive for angripere og i praksis umulige å gjøre ufarlige når de først er kommet på avveie.

Ingenting av dette krever at noen oppfører seg dårlig i dag. Det er ganske enkelt det som skjer med et datasett over tid.

Hvordan måler du en kampanje uten et mellomledd?

Det er helt rimelig å ville vite om en kampanje fungerte. Du trenger ikke en tredjepart for å finne det ut.

Trykk en statisk QR-kode som inneholder en URL på ditt eget domene, med din egen kampanjeparameter: https://yourcompany.com/menu?src=table-tent. Serveren din logger treffet. Analyseverktøyet ditt teller det. Ingen andre er i forbindelsen, den som skanner, kontakter bare virksomheten de mente å kontakte, og koden fortsetter å virke uavhengig av betalingsstatusen til noen.

Bruk en annen bane eller parameter for hver plassering, så får du attribusjon per plakat – samme detaljnivå som kontrollpanelet solgte deg, uten å overlate kundene dine til en fremmed. Ha QR-kodene dine for alltid forklarer oppsettet.

Ingenting du lager her, berører en server – kodene produseres i nettleseren din, og vi logger ingen skanninger fordi vi aldri er i forbindelsen. Start med en URL-QR-kode, eller les sannheten om QR-kodesvindel for hele bildet.