QR Tarama Kayıtları: Veri Onlarda, Hukuki Risk Sizde

QR kodu kullanan neredeyse hiç kimseye anlatılmayan asimetri budur ve bunun merak konusu değil, bir uyumluluk sorusu olmasının nedeni de budur. Bir sağlayıcı “tarama analitiği” sunduğunda çerçeveyi tersine çevirin: Analitik ancak her tarama onların altyapısından geçirildiği için mümkündür. İzleme, yönlendirmeye sonradan eklenmiş değildir; izlemeyi mümkün kılmak için yönlendirme vardır.

Birisi statik kodu taradığında ne olur?

Üçüncü taraflar açısından hiçbir şey olmaz. Başlangıç noktası budur ve farkı somutlaştırır.

Statik QR kodu, hedefinizi desende gerçek baytlar olarak kodlar. Kamera bunu telefonda yerel olarak çözer ve URL’yi tarayıcıya verir. Tarayıcı daha sonra sizin sunucunuza bağlanır. Arada başka bir geçiş yoktur, üçüncü taraf yoktur ve taramanın gerçekleştiğini sizden başka kimsenin bilmesinin bir yolu yoktur.

Bu, birinin tasarladığı gizlilik özelliği değildir. Formatın yalnızca iddia ettiği şeyi yapmasının sonucudur — bkz. statik ve dinamik.

Ek bir çaba olmadan proxy’ye neler ulaşır?

Dinamik bir kod https://qr-short.example/a1B2c3 gibi bir şeyi kodlar. Telefon önce bu sunucuya bağlanır; tarayıcı gerçek hedefini ancak sağlayıcı yanıt verdikten sonra öğrenir. Bu bağlantı sıradan bir web isteğidir; dolayısıyla sağlayıcı, sıradan bir web isteğinin taşıdığı her şeyi alır — herhangi bir onay bildirimi görünmeden, herhangi bir gizlilik politikası gösterilmeden ve tarayıcı kimin sunucusuna bağlandığını bilmeden önce.

Yönlendirme adımı buna ne ekler?

Sağlayıcı yanıtı kontrol ettiği için yalnızca pasif kayıtla sınırlı değildir. Bir yönlendirme geçişi, *harekete geçilebilecek* bir yerdir:

• Kendi alan adlarında çerez ayarlamak. İletilen her kod — herhangi bir posterde, herhangi bir işletmede — artık aynı cihazla ilişkilendirilebilir.
• Hedef URL’ye izleme parametreleri eklemek. Böylece kimlikleri sizin analitik sisteminize taşınır.
• Anında yönlendirme yerine ara sayfa sunmak. Bu sayfa JavaScript çalıştırarak canvas ve yazı tipi parmak izi, ekran boyutları, saat dilimi ve donanım ipuçlarını etkinleştirir.
• Daha fazla geçiş üzerinden zincir oluşturmak. Buna reklam veya ilişkilendirme ortakları da dahil olabilir; her biri tüm veri toplamayı tekrarlar.

Sonuncusu en az görünür olan ve en önemli sonuçları doğurandır. Bir QR kısa bağlantısından yönlendirme zincirini izlemek, tarama ile hedef arasında bazen birkaç sunucu olduğunu gösterir — bir QR kodunun gerçekten nereye yönlendirdiğini kontrol etme yöntemi birini nasıl izleyeceğinizi gösterir.

Zincirde gerçekte kaç taraf var?

Çoğu zaman birden fazla. Sağlayıcı ilk geçiştir, ancak döndürdüğü yanıt sizinkinden önce başka bir sunucuya yönlendirebilir; o sunucu da üçüncü bir sunucuya yönlendirebilir.

Bu varsayımsal değildir. Palo Alto’nun Unit 42 birimi, QR kısaltma hizmetlerinden geçen trafiğin 2023’ün ilk yarısından 2024’ün ilk yarısına kadar %55 ve 2025’in ilk yarısına kadar bir %44 daha arttığını izledi — QR öncesi web’de bulunmayan, şimdi fiziksel nesnelerle bunların tanıttığı siteler arasında duran bütün bir yönlendirme katmanı. Her geçiş, tam bir HTTP isteği alan bağımsız bir taraftır.

Kendi maruziyetinizi ölçebilirsiniz. Basılı kodunuzdaki kısa bağlantıya karşı curl -sIL "https://short.example/abc" | grep -i "^location:" komutunu çalıştırın; her Location satırı, her taramayı gören bir kuruluş demektir. Sayı birden fazlaysa tarama verileriniz hiç sözleşme yapmadığınız ve adını bile veremeyeceğiniz taraflarla paylaşılmaktadır. Bir QR kodunun gerçekten nereye yönlendirdiğini kontrol etme, çıktının nasıl okunacağını anlatır.

Tek tek kayıtlar nasıl profile dönüşür?

Tek başına her alan sıradan görünür. Binlerce işletme için kod işleten bir sağlayıcıda bir araya geldiklerinde ise tamamen farklı bir tablo oluştururlar.

Kodları restoran masalarında, mağaza raflarında, etkinlik yaka kartlarında ve park sayaçlarında görünen bir sağlayıcı, aynı cihaz parmak izi için şunları gözlemleyebilir: her kod fiziksel bir yere bağlı olduğundan cihazın nereye ve ne sıklıkta gittiğini; ziyaretlerin sırasını ve zamanlamasını, bunun da rutinleri ve işe gidiş gelişleri ortaya çıkardığını; tahmin edilebilir saatlerdeki kümelenmelerden yaklaşık ev ve iş bölgelerini; ayrıca birbiriyle hiçbir ilişkisi olmayan şirketlerde hangi işletmelerle etkileşime girildiğini.

Hiçbir işletme konum izleme ağı kurmadı. Sağlayıcı bunu herkesin basılı materyallerinden oluşturdu — her işletme de sensör ağının kendi bölümünü bastırmak için ödeme yaptı.

Hukuken kim sorumlu — siz mi, sağlayıcı mı?

Menü kodunu tarayan biri menüye bakmayı kabul eder. Üçüncü taraf bir analitik şirketiyle iletişime geçmeyi bilerek kabul etmez ve bunu öğrenmesinin bir yolu yoktur: basılı kare, yönlendirdiği sunucu hakkında hiçbir bilgi vermez.

Bu, yalnızca tarayıcı için değil, kodu kullanan işletme için de bir sorundur. Adalet Divanı, *Breyer* (C-582/14) kararında, bir site işletmecisi tarafından kaydedilen dinamik IP adresinin kişisel veri oluşturabileceğine hükmetti; çünkü bir kişiyi ayırt edebilmek yeterlidir — adının bilinmesi gerekmez. GDPR kapsamında müşterilerinizi bir veri işleyicisi üzerinden yönlendiren kodu bastırdıysanız, genellikle hukuki dayanak, bilgilendirme ve çoğu zaman veri işleme sözleşmesi sağlamak zorunda olan taraf sizsiniz.

Bu, hukuki tavsiye değil genel bilgilendirmedir; ayrıntılar yargı bölgesine ve sağlayıcının gerçekte ne yaptığına göre değişir. Ancak tablonun şekline dikkat edin: veriyi sağlayıcı alır, maruziyeti ise kodu bastıran işletme taşır. Bu asimetri, “ücretsiz” hizmetlerin en az konuşulan maliyetleri arasındadır.

Veri nereye gider?

1. Satın alma. Tarama kayıtları bir varlıktır. Sağlayıcı satın alındığında kayıtlar, alıcının politikaları neye dönüşürse ona göre devredilir.
2. İflas. Sağlayıcı iflas ederse verileri malvarlığının parçası olur — basılı kodlarınızın çalışmayı bıraktığı an da aynıdır. Bkz. QR kodları neden çalışmayı bırakır.
3. Veri ihlali. Cihaz parmak izlerine bağlı konum ve zaman kayıtları saldırganlar için caziptir; açığa çıktıktan sonra zararsız hâle getirilmeleri de fiilen imkânsızdır.

Bunların hiçbiri bugün birinin kötü davranmasını gerektirmez. Bunlar yalnızca bir veri kümesine zaman içinde olan şeylerdir.

Bir kampanyayı aracı olmadan nasıl ölçersiniz?

Bir kampanyanın işe yarayıp yaramadığını bilmek istemeniz son derece makuldür. Bunu öğrenmek için üçüncü bir tarafa ihtiyacınız yoktur.

Kendi alan adınızda, kendi kampanya parametrenizi içeren bir URL’yi kodlayan statik bir QR kodu bastırın: https://yourcompany.com/menu?src=table-tent. İsteği sunucunuzun günlükleri kaydeder. Analitik sisteminiz bunu sayar. Arada başka kimse olmaz, tarayıcı yalnızca iletişim kurmak istediği işletmeye bağlanır ve kod, herhangi birinin fatura ödeme durumundan bağımsız olarak çalışmaya devam eder.

Her yerleşim için farklı bir yol veya parametre kullanarak poster başına ilişkilendirme elde edersiniz — müşterilerinizi bir yabancıya teslim etmeden, size satılan paneldekiyle aynı ayrıntı düzeyinde. QR kodlarınızın sahibi sonsuza dek olun kurulumu anlatır.

Burada oluşturduğunuz hiçbir şey bir sunucuya dokunmaz — kodlar tarayıcınızda üretilir ve hiçbir zaman arada olmadığımız için taramaları kaydetmeyiz. URL QR kodu ile başlayın veya tüm resmi görmek için QR kodu dolandırıcılıkları hakkındaki gerçeği okuyun.