QR code et RGPD : ce qu'un générateur peut (et ne peut pas) tracker en Europe
Vous voulez imprimer un QR code et mesurer ses scans, mais la question revient toujours : « est-ce que ça respecte le RGPD ? ». La réponse courte est oui, dans la plupart des cas, à condition que le service derrière le code limite les données collectées et ne profile pas les personnes. Pour un QR code RGPD, l’essentiel n’est donc pas le code lui-même, mais les informations enregistrées lors de chaque scan.
Sommaire
- Points clés
- Pourquoi un QR code n'est pas un traqueur de personne au premier abord
- Que contient réellement un scan : IP, navigateur, pays, appareil
- La ligne rouge du RGPD : adresse IP brute et profilage individuel
- Comment un générateur conforme anonymise les scans (hachage salé)
- Ce qu'un QR code statique change à l'équation RGPD
- QR code RGPD : les obligations côté éditeur du site de destination
- Comment choisir un générateur de QR code conforme en pratique
- Checklist rapide avant d'imprimer un QR code en Europe
- Questions fréquentes
- Sources
Points clés
- Un QR code imprimé ne contient pas automatiquement l’adresse IP, le navigateur ou l’identité de la personne qui le scanne : ces données sont générées par le service qui reçoit la visite.
- Une adresse IP brute n’est pas une donnée anonyme au sens du RGPD, car elle permet notamment de localiser approximativement la personne.
- Un générateur conforme limite les données conservées, utilise un hachage salé pour l’adresse IP et évite le profilage individuel.
- Un QR code statique, téléchargé comme image, ne dépend d’aucun service tiers pour son fonctionnement et ne fournit pas de statistiques de scan au générateur.
- La conformité du suivi ne dispense pas le responsable de traitement de documenter les finalités, limiter la conservation et vérifier le traitement du site de destination.
Pourquoi un QR code n'est pas un traqueur de personne au premier abord
Un QR code n’est pas, par nature, un dispositif de suivi des personnes : il ne contient qu’une information permettant d’ouvrir une page web ou d’accomplir une autre action prévue par son utilisateur. Pourtant, le service qui reçoit la redirection peut enregistrer automatiquement des informations techniques lors de la connexion.
La différence est donc essentielle : le carré imprimé est passif, tandis que la page d’atterrissage et son hébergeur peuvent être actifs. Un QR code RGPD devient problématique lorsque le dispositif permet de suivre les personnes de manière systématique, d’établir un profil ou de collecter des informations qui n’apparaissent pas dans les données promises.
Les visiteurs ne doivent pas non plus être assimilés à des personnes physiques. Les statistiques agrégées sur un nombre limité d’établissements, d’événements ou de jours peuvent être utiles sans identifier directement les utilisateurs, à condition qu’aucune tentative de singularisation ne soit possible.
Pour comprendre les possibilités techniques, le guide consacré à la mesure des scans de QR codes détaille les indicateurs qu’un service peut produire et la différence entre information utile et surveillance excessive.
Que contient réellement un scan : IP, navigateur, pays, appareil
Un scan peut déclencher plusieurs types de données techniques, dont la nature dépend du générateur, du site de destination, des cookies et des outils d’analyse utilisés. Pour vérifier si un QR code contient des données personnelles, examinez ce qui est enregistré avant, pendant et après la redirection.
Les données les plus courantes sont les suivantes :
- L’adresse IP : elle permet de situer approximativement la connexion et peut aussi être conservée comme identifiant technique.
- Le type d’appareil : téléphone, tablette, ordinateur, avec parfois un niveau de détail supplémentaire.
- Le système d’exploitation : Android, iOS, Windows, macOS, Linux ou autre.
- Le navigateur : Chrome, Safari, Firefox, Edge, etc.
- Le pays ou la région : déduit de l’adresse IP ou d’autres informations techniques.
- La page de provenance : site internet ou application depuis laquelle le scan a été lancé.
- L’horodatage : date et heure du scan, éventuellement arrondies.
- Les paramètres de campagne : source, support, identifiant de QR code ou règle de redirection.
Ces données sont plus ou moins identifiantes selon leur combinaison. Une page qui enregistre l’adresse IP, le navigateur, la localisation précise, l’heure et un identifiant utilisateur peut permettre de reconnaître une personne ou de retracer son parcours.
À l’inverse, des données agrégées et tronquées, comme un décompte par jour, par pays et par type d’appareil, réduisent la granularité. Elles restent toutefois des données personnelles tant qu’elles peuvent concerner une personne déterminée.
Les journaux techniques ne sont pas les seuls paramètres à considérer. Le comportement de la page après le scan peut ajouter des cookies, des identifiants publicitaires, des paramètres UTM ou des services tiers. La conformité globale dépend donc de toute la chaîne, et pas uniquement du générateur.
La ligne rouge du RGPD : adresse IP brute et profilage individuel
La ligne rouge du RGPD est l’absence de minimisation, de transparence et de contrôle dès lors que les données permettent d’identifier directement une personne, de la suivre systématiquement ou de construire un profil. La présence d’un QR code sur un emballage ou dans un magasin n’exonère pas de ces obligations.
Le RGPD considère comme données personnelles toute information se rapportant à une personne identifiée ou identifiable. L’adresse IP peut donc relever de cette définition, notamment lorsqu’elle permet de déterminer la localisation approximative d’une personne ou de la relier à d’autres informations.
Le profilage ajoute un niveau particulier de vigilance. Il consiste à utiliser des données pour analyser ou prédire des caractéristiques, comportements ou préférences. Suivre les scans d’une même adresse IP, attribuer un historique à un foyer ou associer plusieurs identifiants peut constituer un profilage, même si le nom de la personne n’est jamais demandé.
Le cadre européen distingue plusieurs notions qu’il est utile de ne pas confondre :
- L’anonymisation vise à rendre impossible toute identification ultérieure de la personne ; elle doit être techniquement et organisationnellement solide.
- La pseudonymisation remplace les identifiants directs par des identifiants indirects, mais la réidentification reste possible tant que des informations complémentaires existent.
- L’agrégation réduit la finesse des statistiques et rend plus difficile l’identification d’une personne à partir d’un volume limité de scans.
- Le chiffrement protège les données pendant leur stockage ou leur transfert, mais ne rend pas automatiquement les données anonymes.
Le guide sur le phishing et la sécurité des QR codes complète cette analyse avec les risques qui concernent l’utilisateur, notamment la redirection vers un site trompeur. La sécurité du lien et la minimisation des données sont deux dimensions différentes, mais elles doivent être vérifiées conjointement.
Comment un générateur conforme anonymise les scans (hachage salé)
Un générateur de QR code conforme au RGPD peut appliquer le hachage salé à l’adresse IP : l’adresse est transformée par une fonction mathématique, puis combinée à une valeur secrète propre au service. Le service conserve ensuite cette empreinte, qui ne permet pas de retrouver directement l’adresse.
Le sel distingue cette méthode d’un simple hachage. Sans sel, il est plus facile de calculer une empreinte identique pour une même adresse ; avec un sel secret, la méthode résiste davantage à la recherche exhaustive par correspondance. Il ne faut toutefois pas assimiler automatiquement hachage et anonymisation : d’autres données peuvent encore permettre de réidentifier quelqu’un.
Par exemple, un service peut conserver les éléments suivants pour chaque scan :
- un pays ou une région approximative ;
- un type d’appareil ;
- un système d’exploitation ;
- une page de provenance ;
- un hachage salé de l’adresse IP.
En revanche, il ne conserve ni adresse IP brute, ni profil individuel, ni données de vente. La politique de confidentialité d’Ok1Second confirme que les adresses IP brutes ne sont pas stockées et que le hachage salé ne peut pas être inversé pour retrouver une adresse. Elle précise également que les données de scan ne sont ni profilées ni revendues.
Cette minimisation est le bon principe de départ, mais elle doit être vérifiée dans les faits. Consultez la politique de confidentialité, les paramètres du compte, la durée de conservation et la documentation de tout outil d’analyse ajouté à la page de destination. La conformité d’un service de redirection ne rend pas automatiquement conforme une page qui lui est associée.
Ce qu'un QR code statique change à l'équation RGPD
Un QR code statique ne renvoie pas vers une redirection contrôlée par un service tiers : l’image téléchargée contient directement l’adresse de destination. Après impression, le comportement du code ne dépend plus d’un espace de stockage ni d’une règle de routage.
Cette différence simplifie plusieurs sujets :
- aucun journal de scan n’est transmis au générateur ;
- aucun service tiers ne reçoit l’adresse IP pour le compte du QR code ;
- aucun identifiant de campagne n’est ajouté automatiquement ;
- la suppression ou la migration du compte n’affecte pas le code imprimé ;
- le responsable peut choisir librement les outils d’analyse de sa page de destination.
Cette simplicité ne garantit toutefois pas la conformité de la page d’atterrissage. Un QR code statique peut mener vers un site qui installe des cookies non essentiels, utilise un outil de statistiques ou réalise un profilage. Il faut donc contrôler séparément les traitements réalisés après l’ouverture.
Les codes statiques ont aussi des limites opérationnelles : l’adresse ne peut plus être modifiée depuis le générateur, ce qui complique la gestion d’une campagne ou la correction d’une erreur. L’analyse du risque caché des QR codes statiques compare précisément ce compromis avec les codes dynamiques.
Le choix dépend de la priorité. Si l’objectif prioritaire est la souveraineté sur les données de scan, le statique peut être préférable. Si la priorité est de pouvoir corriger ou rediriger une destination après impression, un code dynamique permet davantage de souplesse, à condition que le responsable de traitement soit clairement documenté.
QR code RGPD : les obligations côté éditeur du site de destination
Le générateur ne porte pas seul la responsabilité : l’éditeur du site de destination doit également encadrer les cookies, les traceurs, les formulaires, les statistiques et les éventuelles finalités marketing. Un QR code peut être conforme tout en menant vers une page dont les traceurs sont disproportionnés, et l’inverse est également possible.
Pour le responsable marketing, le contrôle doit couvrir quatre niveaux :
- Le lien et son contexte — vérifier que la destination est légitime, que le domaine est attendu et que l’utilisateur comprend ce qu’il ouvre.
- Les cookies et traceurs — distinguer les traceurs strictement nécessaires des outils optionnels et recueillir le consentement lorsque celui-ci est requis.
- Les formulaires — limiter les champs demandés, éviter les collectes inutiles et classer clairement les finalités.
- Les statistiques — vérifier si l’adresse IP, les identifiants d’utilisateur ou les événements sont conservés et pendant combien de temps.
Le site de destination doit également fournir une information claire lorsque des données sont traitées. Les bannières de consentement ne suffisent pas si les traceurs sont déposés avant le choix de l’utilisateur, si la finalité annoncée est imprécise ou si le refus n’est pas aussi simple que l’acceptation.
Pour une justification interne, le dossier peut inclure une cartographie du parcours : QR code, redirection éventuelle, page d’atterrissage, cookies, outils tiers et durée de conservation. Il est utile de distinguer les traitements régis par le RGPD de ceux qui relèvent du droit sectoriel applicable à l’activité, notamment la santé, l’assurance ou l’éducation.
Comment choisir un générateur de QR code conforme en pratique
Choisir un générateur de QR code RGPD consiste à vérifier les pratiques de traitement avant de comparer les fonctions ou les tarifs. Une promesse vague de « conformité » ne remplace pas une politique de confidentialité précise, une description des données conservées et des engagements documentés.
Quelles données le générateur conserve-t-il après un scan ?
La première question porte sur le contenu exact des journaux. Recherchez des informations sur l’adresse IP, le hachage, le pays, l’appareil, le navigateur, la page de provenance, la conservation et la suppression. Une formulation comme « statistiques de base » n’est pas suffisamment précise pour une analyse de risque.
Le service permet-il de supprimer les données et les codes ?
La suppression d’un QR code dynamique doit normalement entraîner la suppression de ses règles et de son historique de scans. Cette capacité permet de répondre à une demande d’effacement ou de mettre fin à une campagne. Vérifiez également si la suppression est immédiate et si des copies de sauvegarde existent.
Les redirections sont-elles documentées et minimisées ?
Le service doit expliquer quelles informations sont utilisées pour rediriger vers une destination, notamment selon le pays, l’appareil ou la langue. Ces règles sont utiles, mais elles ne doivent pas devenir un moyen de suivre les personnes au-delà de ce qui est nécessaire.
Les statistiques sont-elles agrégées ou individualisantes ?
Le nombre de scans par jour, par pays ou par type d’appareil présente un risque limité lorsqu’il n’est pas possible de remonter à un individu. À l’inverse, un tableau listant chaque scan avec une adresse, une heure précise et une URL détaillée nécessite une analyse spécifique.
La politique de confidentialité est-elle accessible et durable ?
Une politique de confidentialité doit être rédigée dans une langue compréhensible et expliquer quand les données sont collectées, leur finalité, leur base légale, les destinataires, la durée de conservation et les droits. Elle doit également évoluer lorsque les pratiques changent. Les tarifs publics du service indiquent notamment un prix fixe et des scans illimités, mais le prix seul ne constitue pas une preuve de conformité.
Ok1Second est l’un des outils qui peuvent être comparés à ce stade. Son approche consiste à limiter les statistiques aux données techniques décrites dans sa politique de confidentialité, à hacher l’adresse IP avec un sel et à ne pas conserver d’adresse brute. La page de création de compte permet de tester ce fonctionnement, mais ce service ne s’adresse pas aux organisations qui exigent un SLA négocié ou qui ont besoin d’une infrastructure connective leurs propres processus.
Les mesures de sécurité sont-elles proportionnées ?
La question n’est pas de rechercher une promesse marketing, mais de vérifier les protections réellement mises en œuvre : chiffrement des échanges, gestion des mots de passe, contrôle des accès et protection contre les abus. Le chiffrement ne rend pas les scans anonymes ; il protège surtout les données pendant leur circulation et leur stockage.
Checklist rapide avant d'imprimer un QR code en Europe
Avant de commander une impression, la validation finale peut reposer sur une liste courte et vérifiable. Cette checklist ne remplace pas une analyse de risque, mais elle permet d’éviter les écarts les plus fréquents.
- Définir la finalité : pourquoi mesurer les scans et quelle décision commerciale la statistique doit-elle éclairer ?
- Recenser les données : adresse IP, pays, appareil, navigateur, provenance, horodatage, identifiant de campagne, cookies.
- Vérifier les journaux : confirmer si l’adresse IP brute est conservée ou si un hachage salé est utilisé.
- Exclure le profilage : ne pas relier les scans à un profil individuel, à une adresse électronique ou à un historique marketing persistant.
- Limiter les traceurs : vérifier les cookies et scripts du site de destination, notamment avant le consentement.
- Fixer une durée de conservation : définir quand les statistiques et journaux seront supprimés.
- Documenter les rôles : déterminer qui agit comme responsable de traitement, sous-traitant ou personne qui fournit les données.
- Prévoir l’information : expliquer au public, de manière claire, l’utilisation des données et ses conséquences.
- Tester la suppression : vérifier que la suppression du code et de son historique fonctionne comme annoncé.
- Sécuriser le lien : contrôler la destination et éviter les redirections trompeuses.
- Vérifier l’accessibilité : prévoir une alternative lisible et une URL accessible aux personnes qui ne peuvent pas scanner le code. Le guide sur l’accessibilité des QR codes détaille les précautions de placement et de contenu.
- Conserver la preuve : archiver la politique, les captures des paramètres et la justification des traitements au moment de la campagne.
En cas de doute sur la minimisation, le premier réflexe consiste à réduire les données demandées, pas à rechercher une autorisation plus large. Un service peut être utilisable tout en étant mal conçu. La conformité se construit donc dans le choix des paramètres, la rédaction de l’information et la surveillance des pratiques réelles.
Questions fréquentes
Un QR code avec statistiques de scan est-il légal en Europe ?
Oui, un QR code dynamique peut être utilisé conformément au RGPD si le service collecte des données limitées, informe les utilisateurs et respecte les règles applicables aux cookies et traceurs. Le scan lui-même ne rend pas le dispositif illégal ; ce sont les traitements, leurs finalités et leur durée qui doivent être encadrés.
L’adresse IP est-elle toujours une donnée personnelle ?
L’adresse IP peut être considérée comme une donnée personnelle lorsqu’elle permet d’identifier directement ou indirectement une personne, notamment par sa localisation approximative. Une adresse IP brute conservée dans les journaux doit donc être traitée comme une donnée personnelle, sauf démonstration solide du contraire.
Peut-on anonymiser les scans avec un simple hachage ?
Un hachage seul ne suffit pas toujours à garantir l’anonymat, notamment s’il est réversible, non salé ou accompagné de données permettant une réidentification. Le hachage salé réduit le risque de correspondance directe, mais l’ensemble du dispositif doit encore être évalué, notamment les identifiants, les cookies et les événements collectés.
Un QR code statique est-il automatiquement conforme au RGPD ?
Un QR code statique ne transmet pas automatiquement de statistiques de scan au générateur, ce qui réduit les traitements liés à la redirection. Il ne rend cependant pas la page de destination automatiquement conforme : ses cookies, traceurs, formulaires et outils d’analyse doivent aussi être contrôlés.
Comment vérifier qu’un générateur de QR code est conforme ?
Consultez sa politique de confidentialité et vérifiez les informations concrètes sur les données conservées, l’adresse IP, les cookies, la durée de conservation et la suppression. Exigez des réponses précises, testez le comportement du service et complétez cet examen par une analyse des traitements réalisés sur la page de destination.