QR-codes en AVG: wat een dynamische QR-code over scanners te weten komt

Wat er technisch gebeurt bij het scannen

Een dynamische QR-code bevat een kort adres bij Same-QR. Scant iemand de QR-code, dan opent zijn telefoon dit adres en Same-QR stuurt door naar het doel of toont de doelpagina. Zoals bij elke aanroep van een webpagina komt daarbij technisch het IP-adres van de telefoon binnen. Zonder dat adres zou het antwoord niet teruggestuurd kunnen worden.

De aanroepen lopen via Cloudflare als voorgeschakelde netwerkdienst, die daarbij het IP-adres ziet. Welke dienstverleners betrokken zijn en wat zij verwerken, staat in de privacyverklaring van Same-QR.

Wat Same-QR opslaat en wat niet

Per QR-code wordt maar één getal opgeslagen: hoe vaak hij is gescand. Zodat dezelfde persoon niet meerdere keren meetelt als de camera aarzelt, onthoudt Same-QR gedurende 60 seconden een gezouten hash van de internetverbinding, niet het IP-adres zelf. Daarna is ook die hash weg. Bij wijn-e-labels vervalt zelfs die hash, daar wordt alleen opgeteld. In het gratis abonnement telt Same-QR bovendien de scans per account en kalendermaand om de 100 inbegrepen scans te controleren, ook dat alleen als getal.

Niet opgeslagen worden het IP-adres, het tijdstip van de scan, het apparaat, de browser en de locatie. Als klant zie je dus ook zulke gegevens niet, alleen het totaal per QR-code. Een uitsplitsing naar dagen, uren of personen bestaat niet.

De doelpagina is jouw zaak

Na de scan komt de persoon op jouw doel terecht: je website, een formulier, een webshop. Welke gegevens daar worden verzameld, bijvoorbeeld via cookies, analysetools of contactformulieren, hangt af van die pagina en haar privacyverklaring, niet van Same-QR. Meet je bezoekers uit de QR-code met UTM-parameters, dan gebeurt dat in je eigen analysetool en volgens de regels daarvan.

Maak je de doelpagina direct in Same-QR aan, bijvoorbeeld een menukaart of openingstijden, dan plaatst die pagina geen cookie, laadt niets van externe servers en telt weergaven zonder herkenning.

Heb ik een privacymelding naast de QR-code nodig?

Bij de scan zelf slaat Same-QR geen gegevens op waarmee personen herkend kunnen worden. Of je een melding nodig hebt, hangt dus vooral af van wat je doelpagina doet. Verzamelt ze persoonsgegevens, dan hoort de melding daar waar de gegevens worden verzameld. Twijfel je, bespreek het dan met je privacyadviseur. Dit artikel vervangt geen juridisch advies.

• Same-QR slaat per QR-code alleen het aantal scans op.
• Geen IP-adres, geen tijdstip, geen apparaat, geen locatie. Voor de controle alleen een gezouten hash gedurende 60 seconden.
• De betrokken dienstverleners staan in de privacyverklaring van Same-QR.
• Wat er op je doelpagina gebeurt, wordt geregeld in de privacyverklaring van die pagina.
• Pagina's die direct in Same-QR zijn aangemaakt, plaatsen geen cookie.

Veelgestelde vragen