Kateri ponudnik QR kod je skladen z GDPR?

Naš odgovor: pečata GDPR za ponudnike QR kod ni, saj GDPR takšnega pečata ne pozna. Preveriš pa lahko, ali ponudnik odkrito odgovori na spodnjih šest vprašanj. Same-QR nanje odgovarja v svoji izjavi o varstvu podatkov, tudi tam, kjer odgovor ni samo „EU“.

Vprašanje 1: Ali skeniranje nastavlja piškotke?

Kdor skenira, še ni privolil v nobeno izjavo o varstvu podatkov. Piškotki na strani za skeniranje zato praviloma zahtevajo soglasje, pasica pred jedilnikom pa moti. Vprašaj, ali stran za skeniranje in gostovane strani nastavljajo piškotke.

Vprašanje 2: Ali se nalagajo vsebine tretjih ponudnikov?

Pisave, analitična orodja ali oglaševalska omrežja tretjih ponudnikov dobijo IP naslov tvojega gosta. Pogled v razvijalska orodja brskalnika pokaže, katere naslove stran naloži dodatno.

Vprašanje 3: Kje so podatki in kdo jih vidi?

Pomembne so tri ravni: sedež upravljavca, lokacija podatkovnih centrov in seznam ponudnikov storitev. Skoraj vsaka spletna storitev uporablja ponudnike iz ZDA. Odločilno je, da so navedeni in da obstajajo pravne podlage za prenos.

Vprašanje 4: Ali obstaja pogodba o obdelavi podatkov?

Če prek tvojih kod tečejo osebni podatki, na primer iz kontaktnega obrazca, potrebuješ pogodbo o obdelavi podatkov. Resen ponudnik jo zagotovi sam, brez posebne zahteve.

Vprašanje 5: Kaj se shranjuje in kako dolgo?

Ponudnik bi moral znati povedati, kaj se ob skeniranju zabeleži in kdaj se izbriše. „Shranjujemo samo najnujnejše“ ni odgovor.

Vprašanje 6: Ali lahko vse spet izbrišem?

Kode, strani, račun. Vprašaj tudi, ali se kratki naslov izbrisane kode ponovno dodeli. Drugače bi lahko tvoje stare nalepke vodile do strani neznanca.

Kaj moraš urediti sam

Če koda vodi na tvojo spletno stran, tam velja tvoja izjava o varstvu podatkov. Če uporabljaš parametre UTM in analitično orodje, tam potrebuješ ustrezno soglasje. Na strani s kontaktnim obrazcem navedeš, za kaj podatke uporabljaš.

Odgovori Same-QR

• strani za skeniranje in gostovane strani brez piškotkov, od tretjih se ne naloži nič
• upravljavec ARAVILO v Innsbrucku, aplikacija in podatkovna zbirka v podatkovnih centrih EU, kjer to ponudnik storitve dopušča, nekateri ponudniki storitev iz ZDA, vsi navedeni v izjavi o varstvu podatkov
• pogodba o obdelavi podatkov na sameqr.com/avv
• kratki naslovi izbrisanih kod se nikoli ne dodelijo znova

Zaključek

Ne vprašaj „skladno z GDPR?“, ampak po piškotkih, tretjih osebah, lokaciji shranjevanja, pogodbi, času hrambe in brisanju. Kdor na vseh šest pisno odgovori, je dober kandidat.

Pogosta vprašanja