Logi skanów QR: dane ma dostawca, ryzyko ponosisz Ty

Ta asymetria to coś, o czym prawie nikt wdrażający kod QR nie został poinformowany. Właśnie dlatego jest to kwestia zgodności z przepisami, a nie ciekawostka. Gdy dostawca reklamuje „analitykę skanów”, odwróć perspektywę: analityka jest możliwa tylko dlatego, że każde skanowanie przechodzi przez jego infrastrukturę. Śledzenie nie zostało dołączone do przekierowania — przekierowanie istnieje po to, by śledzenie było możliwe.

Co się dzieje, gdy ktoś skanuje statyczny kod?

Nic — jeśli chodzi o osoby trzecie. To punkt wyjścia, który dobrze pokazuje różnicę.

Statyczny kod QR zapisuje adres docelowy jako dosłowne bajty we wzorze. Aparat odczytuje go lokalnie, w telefonie, i przekazuje adres URL przeglądarce. Następnie przeglądarka łączy się z Twoim serwerem. Nie ma pośredniego przekierowania ani osoby trzeciej, więc nikt poza Tobą nie może wiedzieć, że doszło do skanowania.

Nie jest to funkcja prywatności zaprojektowana przez kogoś specjalnie w tym celu. To konsekwencja formatu, który robi tylko to, co obiecuje — zobacz statyczne a dynamiczne.

Co trafia do serwera pośredniczącego bez dodatkowych działań?

Dynamiczny kod zawiera coś w rodzaju https://qr-short.example/a1B2c3. Telefon najpierw łączy się z tym hostem; dopiero gdy dostawca odpowie, przeglądarka poznaje prawdziwy adres docelowy. To połączenie jest zwykłym żądaniem internetowym, więc dostawca otrzymuje wszystko, co niesie zwykłe żądanie internetowe — przed banerem zgody, przed polityką prywatności i zanim skanujący dowie się, z czyim serwerem się połączył.

Co dodatkowo daje etap przekierowania?

Ponieważ dostawca kontroluje odpowiedź, nie ogranicza się do biernego rejestrowania danych. Przekierowanie to miejsce, w którym można *działać*:

• Ustawić plik cookie na własnej domenie przed przekazaniem dalej. Każdy kod tego dostawcy — z dowolnego plakatu i dowolnej firmy — można teraz powiązać z tym samym urządzeniem.
• Dodać parametry śledzące do docelowego adresu URL, aby jego identyfikatory trafiły do Twojej analityki.
• Wyświetlić stronę pośrednią zamiast natychmiast przekierować. Uruchamia ona JavaScript, co umożliwia fingerprinting canvasu i czcionek, odczyt wymiarów ekranu, strefy czasowej oraz informacji o sprzęcie.
• Przekierować przez kolejne serwery, w tym partnerów reklamowych lub pomiarowych, z których każdy powtarza całość zbierania danych.

Ostatni punkt jest najmniej widoczny i ma największe konsekwencje. Śledzenie łańcucha przekierowań z krótkiego linku QR czasem ujawnia kilka hostów między skanem a stroną docelową — jak sprawdzić, dokąd naprawdę prowadzi kod QR wyjaśnia, jak to prześledzić.

Ile stron faktycznie znajduje się w łańcuchu?

Często więcej niż jedna. Dostawca jest pierwszym przystankiem, ale zwrócona przez niego odpowiedź może wskazywać kolejny host przed Twoim serwerem, a ten może wskazywać następny.

To nie jest hipotetyczny scenariusz. Unit 42 firmy Palo Alto odnotował wzrost ruchu przez usługi skracania kodów QR o 55% od pierwszej połowy 2023 do pierwszej połowy 2024 oraz o kolejne 44% do pierwszej połowy 2025 — powstała cała warstwa przekierowań, której nie było w internecie sprzed ery QR, a która teraz znajduje się między fizycznymi przedmiotami a reklamowanymi przez nie stronami. Każdy przystanek jest niezależną stroną otrzymującą pełne żądanie HTTP.

Możesz zmierzyć własną ekspozycję. Uruchom curl -sIL "https://short.example/abc" | grep -i "^location:" dla krótkiego linku z wydrukowanego kodu; każda linia Location oznacza jedną organizację, która widzi każde skanowanie. Jeśli liczba jest większa niż jeden, dane o skanach są udostępniane podmiotom, z którymi nigdy nie zawierałeś umowy i których nie potrafisz wskazać. Jak sprawdzić, dokąd naprawdę prowadzi kod QR pokazuje, jak odczytać wynik.

Jak pojedyncze rekordy stają się profilem?

Pojedynczo każde z tych pól wydaje się nieistotne. Zestawione przez dostawcę obsługującego kody tysięcy firm tworzą coś zupełnie innego.

Dostawca, którego kody znajdują się na stolikach w restauracjach, półkach sklepowych, identyfikatorach wydarzeń i parkomatach, może obserwować dla jednego powtarzającego się odcisku urządzenia: dokąd i jak często ono trafia, ponieważ każdy kod jest powiązany z miejscem fizycznym; kolejność i czas tych wizyt, co ujawnia zwyczaje i dojazdy; przybliżone obszary domu i pracy na podstawie skupisk wizyt w przewidywalnych godzinach; oraz firmy, z którymi urządzenie wchodzi w interakcję, nawet jeśli te firmy nie mają ze sobą żadnego związku.

Żadna pojedyncza firma nie wdrożyła sieci śledzącej lokalizację. Dostawca zbudował ją z wydrukowanych materiałów wszystkich tych firm — a każda firma zapłaciła za wydrukowanie własnego fragmentu siatki czujników.

Kto odpowiada prawnie — Ty czy dostawca?

Osoba skanująca kod w menu zgadza się na obejrzenie menu. Nie wyraża świadomej zgody na kontakt z zewnętrzną firmą analityczną i nie ma możliwości dowiedzenia się, że do niego doszło: wydrukowany kwadrat nie informuje, do jakiego hosta prowadzi.

To problem firmy, która wdrożyła kod, a nie tylko osoby skanującej. Trybunał Sprawiedliwości orzekł w sprawie *Breyer* (C-582/14), że dynamiczny adres IP zarejestrowany przez operatora strony może stanowić dane osobowe, ponieważ wystarczy możliwość wyróżnienia danej osoby — jej imię i nazwisko nie są potrzebne. Zgodnie z RODO, jeśli wydrukowałeś kod kierujący klientów przez podmiot przetwarzający, to zazwyczaj Ty potrzebujesz podstawy prawnej, obowiązku informacyjnego i zwykle umowy powierzenia przetwarzania danych.

To ogólna informacja, a nie porada prawna; szczegóły zależą od jurysdykcji i od tego, co faktycznie robi dostawca. Zwróć jednak uwagę na schemat: dostawca otrzymuje dane, a firma, która wydrukowała kod, ponosi ryzyko. Ta asymetria jest jednym z najmniej omawianych kosztów „darmowych” usług.

Gdzie trafiają dane?

1. Przejęcie. Logi skanów są aktywem. Gdy dostawca zostanie kupiony, logi zostaną przekazane zgodnie z zasadami, które przyjmie nabywca.
2. Niewypłacalność. Jeśli dostawca upadnie, jego dane staną się częścią masy upadłościowej — i właśnie wtedy wydrukowane kody przestaną działać. Zobacz dlaczego kody QR przestają działać.
3. Naruszenie. Dane o lokalizacji i czasie powiązane z odciskami urządzeń są atrakcyjne dla atakujących, a po ujawnieniu praktycznie nie da się ich unieszkodliwić.

Żadne z tych zdarzeń nie wymaga, aby ktokolwiek zachował się dziś niewłaściwie. To po prostu sposób, w jaki zbiór danych zmienia się z czasem.

Jak mierzyć kampanię bez pośrednika?

Chęć sprawdzenia, czy kampania zadziałała, jest całkowicie uzasadniona. Nie potrzebujesz do tego zewnętrznej firmy.

Wydrukuj statyczny kod QR zawierający adres URL w Twojej własnej domenie i własny parametr kampanii: https://yourcompany.com/menu?src=table-tent. Twój serwer zarejestruje wejście. Twoja analityka je policzy. Nikt inny nie znajdzie się na tej ścieżce, skanujący skontaktuje się tylko z firmą, z którą chciał się skontaktować, a kod będzie działał niezależnie od tego, czy ktoś opłacił usługę.

Użyj innej ścieżki lub parametru dla każdej lokalizacji, a otrzymasz atrybucję dla każdego plakatu — z taką samą szczegółowością, jaką oferował Ci panel, ale bez przekazywania klientów nieznajomej firmie. Zachowaj swoje kody QR na zawsze wyjaśnia, jak to skonfigurować.

Nic, co tutaj generujesz, nie trafia na serwer — kody powstają w Twojej przeglądarce, a my nie rejestrujemy skanów, ponieważ nigdy nie znajdujemy się na ich trasie. Zacznij od kodu QR z adresem URL albo przeczytaj prawdę o oszustwach z kodami QR, aby poznać pełny obraz.