Qué datos recoge un QR al escanearlo y qué métricas puedes medir

Cada escaneo deja un rastro: país aproximado, tipo de dispositivo, hora y página de referencia. Saber qué datos recoge un QR al escanearlo y qué se descarta marca la diferencia entre medir bien la respuesta de tu público y saltarte el RGPD. Un código QR dinámico no “mira” por sí solo: cuando alguien lo escanea, se hace una petición a un servidor y ese servidor decide qué guardar y qué descartar. Lo que termina en una base de datos depende de cómo esté configurado el proveedor y de lo que exija la ley aplicable.

Índice

Puntos clave
¿Qué datos recoge un QR al escanearlo?
¿Qué métricas puedes medir con un QR dinámico?
Privacidad y RGPD en analíticas de QR
¿Se puede medir sin guardar la IP del cliente?
Qué aporta cada métrica a tu negocio
Cómo usar las métricas para mejorar la impresión
Preguntas frecuentes
Fuentes

Puntos clave

Un código QR dinámico puede registrar país, dispositivo, sistema operativo, idioma del navegador, página de referencia y la hora del escaneo, además de un identificador seudonimizado en lugar de la IP completa.
Bajo el RGPD, los datos personales solo pueden almacenarse con una base jurídica clara y durante el tiempo estrictamente necesario.
Es posible medir casi todo lo relevante para marketing sin guardar la IP en claro, mediante un hash con sal o descartándola tras derivar la geolocalización aproximada.
Las métricas de escaneo (escaneos únicos, recurrencia, hora, dispositivo, país) responden a preguntas concretas: qué canal funciona, cuándo insistir y qué mensaje convierte.
Cada métrica debería tener un destino operativo: si no cambia una decisión, no merece el coste legal ni reputacional de guardarla.

¿Qué datos recoge un QR al escanearlo?

¿Qué datos recoge un QR al escanearlo? Un QR al ser escaneado no envía datos por sí mismo: solo codifica una URL. Lo que se registra depende del servidor que recibe esa URL. En la práctica, cada visita deja un conjunto acotado de señales técnicas y contextuales que el proveedor de códigos QR dinámicos puede conservar o descartar. Las señales más habituales son las siguientes:

Identificadores de red: dirección IP (completa o como hash con sal), que permite aproximar país, región y operador.
Cliente: tipo de dispositivo (móvil, tablet, escritorio), modelo cuando se conoce, sistema operativo y versión.
Navegador e idioma: cabecera Accept-Language, User-Agent y a veces zona horaria.
Contexto de la visita: página de procedencia, campaña asociada y timestamp del escaneo.
Comportamiento: si el destino se cargó, si hubo un rebote inmediato o si la persona terminó en una página secundaria.

Lo que nunca se obtiene del propio QR es información personal directa: nombre, correo o teléfono no aparecen en el escaneo, solo si el usuario los introduce después en el destino. Por eso, la pregunta relevante no es solo qué se puede recoger, sino qué se debe guardar y durante cuánto tiempo para no exponer al visitante ni a tu empresa. Si quieres profundizar en cómo se siguen los escaneos paso a paso, la guía sobre cómo rastrear los escaneos de un código QR lo explica con más detalle.

¿Un QR estático registra algo al escanearlo?

No. Un código QR estático codifica una URL fija dentro del图案; no hay servidor intermedio que registre la visita. Si la imprimes en un cartel y alguien la escanea, el rastreo solo lo puede hacer el sitio de destino (por ejemplo, Google Analytics si ese enlace apunta a tu web). Si necesitas medir algo, necesitas un QR dinámico con redirección.

¿Qué métricas puedes medir con un QR dinámico?

Con un QR dinámico, las métricas de escaneo disponibles son la versión agregada y filtrable de los datos que el servidor registra. No son mágicas: salen de cruzar IP, timestamp, User-Agent y procedencia. Lo más útil para un responsable de marketing se resume en cinco familias:

Volumen: escaneos totales, únicos y recurrentes en una franja de tiempo.
Origen: país, región y, cuando se conserva, ciudad aproximada.
Dispositivo: móvil, tablet, escritorio, sistema operativo y modelo cuando es identificable.
Momento: día, hora y zona horaria, que permite ver picos por turno, evento o campaña.
Conversión: escaneos que llegan a una página, los que la abandonan en menos de cinco segundos y los que completan un objetivo (descarga, reserva, clic en “comprar”).

Estas métricas sirven para responder preguntas de negocio muy concretas: ¿qué canal físico funciona mejor, en qué momento del día insiste la gente, desde qué dispositivos lee tu público y qué cartel convierte más? La analítica QR se vuelve útil cuando se cruza con datos de campaña y de negocio, y no cuando se mira como un contador aislado. Una campaña de marketing se entiende mejor cuando se conecta la impresión física con el recorrido digital, como se desarrolla en la guía de códigos QR para campañas de marketing.

Privacidad y RGPD en analíticas de QR

El RGPD (UE 2016/679) y, en España, la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales, aplican a cualquier tratamiento de datos de personas físicas en la Unión Europea. Un escaneo que registra la IP y la cruza con otros datos del visitante es, en la mayoría de los casos, un tratamiento de datos personales, aunque sea de forma indirecta. Esto obliga a tres cosas:

Base jurídica: normalmente, interés legítimo para analíticas agregadas o consentimiento cuando se hace perfilado o se mide comportamiento detallado.
Minimización: guardar solo lo necesario y, si puedes, sustituir la IP por un hash con sal o por una geolocalización a nivel de país.
Transparencia: la persona debe poder saber qué se recoge, durante cuánto tiempo y con qué fin, normalmente a través de la política de privacidad del proveedor y de un aviso en el destino.

La Agencia Española de Protección de Datos ha recordado en varias resoluciones que las direcciones IP son datos personales y que conservarlas “por si acaso” no es una base jurídica válida. Por eso, la decisión correcta casi siempre es: derivada de país, descartada tras la geolocalización o almacenada como hash irreversible. Si necesitas apoyo adicional, la página de la AEPD y la guía del Reglamento General de Protección de Datos en EUR-Lex son los puntos de partida habituales.

¿Se puede medir sin guardar la IP del cliente?

Sí. La mayoría de métricas que importan para tomar decisiones de marketing no exigen conservar la IP completa. Lo que se necesita para medir casi todo es:

Geolocalización aproximada: se puede derivar de la IP en el momento del escaneo y descartar la dirección tras guardar solo el país o la región.
Identificador seudonimizado: un hash con sal (una cadena aleatoria por cuenta) que impide revertir la IP y, a la vez, permite contar visitas únicas.
Marca temporal y dispositivo: se almacenan tal cual porque, por sí solos, no identifican a una persona.
Procedencia: la URL de referencia o un parámetro de campaña se guardan como cadena opaca.

Con este esquema, lo que el proveedor conserva es suficiente para construir las métricas de la sección anterior y, a la vez, lo bastante pobre en datos personales como para sostenerse sobre interés legítimo sin necesidad de un banner de cookies. El detalle de qué se almacena y qué se descarta debe estar escrito en la política de privacidad, y debería poderse resumir en una frase: “guardamos país, dispositivo, hora y un hash seudonimizado; nunca la IP en claro ni perfiles individuales.” Esto conecta directamente con la guía sobre phishing y seguridad de los códigos QR, porque la forma en que un proveedor trata los datos personales es, en sí misma, una decisión de seguridad.

Qué aporta cada métrica a tu negocio

El valor real de las métricas aparece cuando se traducen en decisiones. Una analítica QR que nadie mira ni usa no merece el coste de cumplimiento.

Escaneos totales y únicos indican si el activo físico (cartel, folleto, packaging) está siendo visto o ignorado. Un volumen bajo suele ser problema de ubicación, tamaño o contraste, no del QR.
Recurrencia (% de escaneos que vuelven a escanear el mismo código) mide fidelización: si sube tras un cambio de cartel, la nueva promesa funciona.
País e idioma permiten detectar mercados no previstos y traducir el destino solo donde compensa. Si el 30 % escanea en un país que no habías priorizado, hay una señal clara.
Dispositivo separa móvil de escritorio.
Hora y día permiten mover presupuesto de impresión a los turnos con más respuesta y reducir coste en los vacíos.
Tasa de conversión post-escaneo (los que completan una acción en el destino) es la métrica que conecta el QR con el ingreso. Sin ella, solo se cuenta tráfico, no impacto.

Lo importante es la jerarquía: el volumen mide alcance, el dispositivo y la hora miden contexto, y la conversión mide resultado. Si solo puedes mirar tres números, que sean escaneos únicos, dispositivo y conversión.

Cómo usar las métricas para mejorar la impresión

La analítica solo se aprovecha si cierra un ciclo: medir, cambiar el material físico, volver a medir. Un proceso mínimo en cuatro pasos funciona bien para la mayoría de negocios:

Define una hipótesis por impresión. Por ejemplo: “el cartel de la entrada debería traer más clientes al local que el de la barra”. Sin hipótesis, los datos solo decoran.
Mide durante un periodo comparable. Una semana suele ser el mínimo para distinguir patrón de ruido. Si la campaña es corta, mide horas, no días.
Cruza QR con destino. Los escaneos sin conversión suelen indicar problemas en la página de aterrizaje, no en el cartel. Ajusta primero el destino y luego el material físico.
Cambia una variable por iteración. Mover el cartel, traducir la página, añadir una llamada a la acción, cambiar el tamaño. Si cambias tres cosas a la vez, no sabrás qué movió la aguja.

Un detalle que se suele olvidar: la accesibilidad del propio QR también afecta al resultado. Un código con poco contraste, demasiado pequeño o sin alternativa de texto deja fuera a parte del público y, además, reduce los escaneos que sí se podrían haber producido. La guía sobre accesibilidad de los códigos QR entra en los detalles de tamaño, contraste, distancia y alternativa de enlace.

¿Cada cuánto conviene revisar las métricas?

Para negocios con material físico estable, una revisión mensual suele ser suficiente. Si hay campañas puntuales (eventos, ofertas, lanzamientos), conviene mirar las métricas a las 24, 72 horas y al cierre. La regla práctica: revisa cuando algo cambie —un cartel nuevo, un idioma añadido, una temporada— y no por inercia.

Preguntas frecuentes

¿Qué datos recoge un QR al escanearlo en su forma más básica?

Un QR básico codifica únicamente una URL y, por sí mismo, no transmite ni almacena información. Lo que se registra depende del servidor que recibe la visita: típicamente, IP (o un derivado), país aproximado, dispositivo, sistema operativo, idioma del navegador, página de procedencia y hora. Un QR estático no conserva nada porque no pasa por un servidor intermedio.

¿Un escaneo de QR es un dato personal bajo el RGPD?

Sí, en la mayoría de los casos. La AEPD y el Comité Europeo de Protección de Datos consideran que la dirección IP, combinada con otras señales, es un dato personal. Por eso, conservarla en claro implica obligaciones de base jurídica, minimización, retención y atención de derechos. Sustituirla por un hash con sal o por solo el país reduce el riesgo, aunque no exime del resto de obligaciones.

¿Cuánto tiempo se pueden guardar los datos de un escaneo?

El tiempo debe ser el necesario para la finalidad declarada, no el que tecnológicamente sea posible. Para analítica agregada de marketing, periodos de 6 a 24 meses suelen ser razonables si están documentados; para datos detallados de comportamiento, lo habitual es menos tiempo o agregarlos de forma inmediata. La política de privacidad debería indicar el plazo concreto.

¿Se puede medir el rendimiento de un QR sin instalar cookies?

Sí. Las métricas principales (volumen, país, dispositivo, hora, recurrencia) se pueden obtener sin cookies y sin identificadores persistentes. Solo si necesitas reidentificar al visitante entre sesiones o construir perfiles avanzados aparece la necesidad de un identificador y, con él, de un consentimiento previo.

¿Qué hago si un proveedor guarda la IP en claro?

Pídele por escrito que confirme qué almacena, durante cuánto tiempo y con qué base jurídica. Si no puede responder o no aplica minimización, plantéate migrar a un proveedor que trabaje con hash con sal o que descarte la IP tras derivar la geolocalización. El tratamiento de datos del proveedor es, en última instancia, tu responsabilidad como responsable del tratamiento.