QR-сканы: данные у сервиса, риск — у вас

Об этой асимметрии почти никто не предупреждает при внедрении QR-кода, и именно поэтому это вопрос соблюдения требований, а не просто любопытный факт. Когда провайдер рекламирует «аналитику сканирований», взгляните на это иначе: аналитика возможна только потому, что каждое сканирование принудительно проходит через его инфраструктуру. Отслеживание не добавлено к переадресации — переадресация существует именно для того, чтобы отслеживание было возможным.

Что происходит, когда кто-то сканирует статический код?

Ничего — если говорить о третьих лицах. Это исходная точка, и она хорошо показывает разницу.

Статический QR-код содержит адрес назначения в виде буквальных байтов, зашифрованных в узоре. Камера расшифровывает его локально, на телефоне, и передаёт URL браузеру. Затем браузер подключается к вашему серверу. Нет промежуточного перехода, третьей стороны и способа узнать о сканировании у кого-либо, кроме вас.

Это не функция конфиденциальности, специально кем-то разработанная. Это следствие того, что формат делает ровно то, что заявлено: см. статические и динамические коды.

Что попадает к прокси без дополнительных действий?

Динамический код содержит что-то вроде https://qr-short.example/a1B2c3. Сначала телефон подключается к этому хосту; только после ответа провайдера браузер узнаёт настоящий адрес назначения. Это подключение — обычный веб-запрос, поэтому провайдер получает всё, что передаёт обычный веб-запрос, ещё до баннера согласия, до политики конфиденциальности и до того, как сканирующее устройство узнает, к чьему серверу оно подключилось.

Что добавляет этап переадресации?

Поскольку провайдер управляет ответом, он не ограничен пассивным журналированием. Переадресация — это место, где можно *действовать*:

• Установить cookie на собственном домене до переадресации. Теперь каждый код этого провайдера — на любом плакате и у любой компании — можно связать с одним и тем же устройством.
• Добавить параметры отслеживания в URL назначения, чтобы его идентификаторы попали в вашу аналитику.
• Показать промежуточную страницу вместо мгновенной переадресации. На ней работает JavaScript, который позволяет снимать отпечаток canvas и шрифтов, определять размеры экрана, часовой пояс и характеристики оборудования.
• Выстроить цепочку дополнительных переходов, в том числе через рекламных партнёров или партнёров по атрибуции, каждый из которых повторяет весь сбор данных.

Последний пункт наименее заметен и наиболее важен. Цепочка переадресаций по короткой QR-ссылке иногда показывает несколько хостов между сканированием и страницей назначения — статья как проверить, куда на самом деле ведёт QR-код объясняет, как её проследить.

Сколько сторон на самом деле участвует в цепочке?

Часто больше одной. Провайдер — первый переход, но возвращённый им ответ может вести на другой хост до вашего, а тот — на третий.

Это не гипотеза. Unit 42 компании Palo Alto Networks зафиксировала рост трафика через сервисы сокращения QR-ссылок на 55% с первой половины 2023 года до первой половины 2024 года и ещё на 44% к первой половине 2025 года — появился целый слой переадресации, которого не было в интернете до QR-кодов и который теперь находится между физическими объектами и рекламируемыми ими сайтами. Каждый переход — независимая сторона, получающая полный HTTP-запрос.

Вы можете измерить собственную уязвимость. Выполните curl -sIL "https://short.example/abc" | grep -i "^location:" для короткой ссылки из напечатанного кода; каждая строка Location — это одна организация, видящая каждое сканирование. Если их больше одной, данные о сканированиях передаются сторонам, с которыми вы никогда не заключали договор и которых не можете назвать. Статья как проверить, куда на самом деле ведёт QR-код объясняет, как читать результат.

Как отдельные записи превращаются в профиль?

По отдельности каждое поле выглядит несущественным. Но если объединить их у провайдера, обслуживающего коды тысяч компаний, получается нечто совсем другое.

Провайдер, чьи коды размещены на столах в ресторанах, полках магазинов, бейджах мероприятий и парковочных автоматах, может наблюдать за одним регулярно распознаваемым отпечатком устройства: куда и как часто оно перемещается, поскольку каждый код связан с физическим местом; последовательность и время посещений, раскрывающие привычки и поездки на работу; примерные районы дома и работы, определяемые по скоплениям посещений в предсказуемые часы; а также компании, с которыми взаимодействует устройство, даже если эти компании никак не связаны между собой.

Ни одна отдельная компания не создавала сеть отслеживания местоположения. Провайдер собрал её из печатных материалов всех остальных, а каждая компания оплатила печать собственного участка сенсорной сети.

Кто несёт юридическую ответственность — вы или провайдер?

Человек, сканирующий код в меню, соглашается посмотреть меню. Он не даёт осознанного согласия связаться со сторонней аналитической компанией и не может узнать, что это произошло: на напечатанном квадрате нет указания, на какой хост он ведёт.

Это проблема компании, разместившей код, а не только сканирующего человека. Суд Европейского союза постановил в деле *Breyer* (C-582/14), что динамический IP-адрес, сохранённый оператором сайта, может считаться персональными данными, поскольку для выделения человека достаточно возможности отличить его от других — знать его имя не обязательно. Согласно GDPR, если вы напечатали код, который направляет клиентов через обработчика данных, именно вам обычно нужны правовое основание, раскрытие информации и, как правило, соглашение об обработке данных.

Это общая информация, а не юридическая консультация; детали зависят от юрисдикции и от того, что именно делает провайдер. Но обратите внимание на саму схему: провайдер получает данные, а компания, напечатавшая код, несёт риск. Эта асимметрия — одна из наименее обсуждаемых издержек «бесплатных» услуг.

Куда попадают данные?

1. Покупка компании. Журналы сканирований — это актив. Если провайдера покупают, журналы переходят новому владельцу согласно политикам, которые тот установит.
2. Банкротство. Если провайдер прекращает работу, его данные становятся частью конкурсной массы — и в тот же момент ваши напечатанные коды перестают работать. См. почему QR-коды перестают работать.
3. Утечка. Записи о местоположении и времени, связанные с отпечатками устройств, привлекательны для злоумышленников, а после раскрытия их практически невозможно сделать безвредными.

Для этого не нужно, чтобы кто-то уже сегодня действовал недобросовестно. Так набор данных просто меняется со временем.

Как измерять эффективность кампании без посредника?

Желание понять, сработала ли кампания, совершенно разумно. Для этого не нужна третья сторона.

Напечатайте статический QR-код с URL на собственном домене и собственным параметром кампании: https://yourcompany.com/menu?src=table-tent. Ваш сервер зафиксирует обращение. Ваша аналитика подсчитает его. На пути не будет никого другого, сканирующее устройство свяжется только с компанией, с которой оно намеревалось связаться, а код продолжит работать независимо от статуса оплаты чьих-либо услуг.

Используйте отдельный путь или параметр для каждого места размещения и получите атрибуцию по каждому плакату — такую же детализацию, какую продавала вам панель, но без передачи клиентов посторонней компании. Статья Как навсегда сохранить контроль над QR-кодами рассказывает о настройке.

Ни один созданный здесь код не обращается к серверу: коды создаются в вашем браузере, а мы не записываем сканирования, потому что никогда не находимся на пути запроса. Начните с QR-кода для URL или прочитайте правду о мошенничестве с QR-кодами, чтобы разобраться во всей картине.