Ochrana osobních údajů u QR kódů: na co musí švýcarské firmy dbát podle DSG

QR kódy jsou obecně považovány za neškodné technické pomůcky – vzor z černých a bílých polí, který vede na web. Jakmile však kód vyhodnocuje data nebo vede k formulářům, které shromažďují osobní údaje, pohybujete se z hlediska ochrany osobních údajů v oblasti, která je relevantní i pro švýcarské firmy.

Revidovaný zákon o ochraně osobních údajů (revDSG) jako základ

Od září 2023 platí ve Švýcarsku revidovaný zákon o ochraně osobních údajů (revDSG). Od firem mimo jiné vyžaduje:

1. Transparentnost: Dotčené osoby musí mít možnost pochopit, jaké údaje se zpracovávají a za jakým účelem – obvykle prostřednictvím prohlášení o ochraně osobních údajů.
2. Minimalizace údajů: Smí se shromažďovat jen tolik údajů, kolik je pro daný účel skutečně nutné.
3. Přiměřená bezpečnost: Technická a organizační opatření musí chránit zpracovávané údaje před zneužitím, ztrátou nebo neoprávněným přístupem.
4. Ohlašovací povinnost při porušení: Určitá porušení ochrany osobních údajů musí být ohlášena Spolkovému pověřenci pro ochranu údajů a veřejnost informací (EDÖB).

Kde konkrétně přicházejí do hry QR kódy

Sledování skenů jako zpracování údajů

Pokud dynamický QR kód vyhodnocuje, kdy, jak často a jakým zařízením byl naskenován, jde o formu zpracování údajů. Pokud lze jednotlivé skeny prostřednictvím IP adresy potenciálně přiřadit konkrétní osobě, měl by být tento proces uveden ve vašem prohlášení o ochraně osobních údajů – i když mnoho poskytovatelů QR kódů zpracovává IP adresy již anonymizovaně, a tím riziko výrazně snižuje.

Formuláře a vstupní stránky za kódem

Pokud QR kód vede ke kontaktnímu formuláři, přihlášení k newsletteru nebo soutěži, která vyžaduje osobní údaje, platí pro tuto cílovou stránku stejné požadavky jako pro jakýkoli jiný formulář: musí existovat jasná informace o účelu použití a platný právní základ pro zpracování. V případě pochybností je navíc nutný výslovný souhlas.

Kódy vCard s kontaktními údaji třetích osob

Pokud se QR kód vCard nevytváří pro vás, ale pro jinou osobu (například pro zaměstnance na společných jmenovkách), mělo by se ověřit, zda dotčená osoba souhlasí se zveřejněním svých kontaktních údajů.

Umístění mimo Švýcarsko

Pokud skenování nebo navazující zpracování údajů zajišťuje poskytovatel se sídlem nebo servery v zahraničí, může být navíc relevantní otázka přeshraničního zpracování údajů. Poskytovatelé se sídlem a hostingem ve Švýcarsku nebo v EU toto posouzení v praxi výrazně zjednodušují.

Praktický kontrolní seznam

1. Uvádí vaše prohlášení o ochraně osobních údajů, že skeny QR kódů mohou být vyhodnocovány pro statistické účely?
2. Zpracovávají se IP adresy při vyhodnocení anonymizovaně, nebo alespoň zkráceně?
3. Vede QR kód k formuláři, který shromažďuje osobní údaje – a je tento formulář sám navržen v souladu s ochranou osobních údajů?
4. Šíří se citlivý obsah nebo obsah, který není určen veřejnosti, prostřednictvím volně přístupného QR kódu, i když by byla vhodnější ochrana heslem?
5. Víte, kde používaný poskytovatel QR kódů provozuje své servery?

Pragmatický pohled

U většiny běžných použití – jídelní lístek, kód s informacemi o produktu, odkaz na sociální sítě – nevyplývají ze zákona o ochraně osobních údajů žádné velké překážky, pokud jsou dodrženy základní povinnosti transparentnosti. Kritičtější je to teprve tehdy, když QR kód přímo či nepřímo vede k osobním údajům – například přes formulář, anketu s polem pro jméno nebo kontaktní kartu. V těchto případech se vyplatí vědomá krátká kontrola, než kód půjde do tisku.

Na co dbát při výběru poskytovatele QR kódů

Kdo chce sám pracovat v souladu s ochranou osobních údajů, měl by si pozorně prohlédnout i používaný nástroj pro QR kódy. Kde jsou data hostována? Anonymizují se IP adresy? A lze citlivý obsah v případě potřeby chránit heslem? QRown je hostován ve Švýcarsku a IP adresy při skenech standardně ukládá jen zkrácené – solidní základ pro to, abyste své povinnosti v oblasti ochrany osobních údajů plnili s čistým svědomím.

Začněte informovaně!

Vytvářejte své QR kódy u švýcarského poskytovatele, který na ochranu osobních údajů myslí od samého začátku.