Zaštita podataka kod QR kodova: što švicarske tvrtke moraju poštovati prema DSG-u

QR kodovi općenito se smatraju bezazlenim tehničkim pomagalima – uzorkom crnih i bijelih polja koji vodi na web stranicu. No čim kod analizira podatke ili vodi do obrazaca koji prikupljaju osobne podatke, s gledišta zaštite podataka ulazite u područje koje je relevantno i za švicarske tvrtke.

Revidirani Zakon o zaštiti podataka (revDSG) kao temelj

Od rujna 2023. u Švicarskoj je na snazi revidirani Zakon o zaštiti podataka (revDSG). On od tvrtki, među ostalim, zahtijeva:

1. Transparentnost: osobe na koje se podaci odnose moraju moći razumjeti koji se podaci obrađuju i u koju svrhu – obično putem izjave o zaštiti privatnosti.
2. Smanjenje količine podataka: smije se prikupljati samo onoliko podataka koliko je za određenu svrhu zaista potrebno.
3. Primjerena sigurnost: tehničke i organizacijske mjere moraju štititi obrađene podatke od zlouporabe, gubitka ili neovlaštenog pristupa.
4. Obveza prijave povreda: određene povrede zaštite podataka moraju se prijaviti Saveznom povjereniku za zaštitu podataka i javnost (EDÖB).

Gdje QR kodovi konkretno dolaze u igru

Praćenje skeniranja kao obrada podataka

Ako dinamički QR kod bilježi kada je, koliko često i kojim uređajem skeniran, riječ je o obliku obrade podataka. Ako se pojedina skeniranja putem IP adrese potencijalno mogu povezati s osobom, taj bi postupak trebalo navesti u vlastitoj izjavi o zaštiti privatnosti – čak i ako mnogi pružatelji usluga QR kodova IP adrese već obrađuju anonimizirano i tako znatno smanjuju rizik.

Obrasci i odredišne stranice iza koda

Ako QR kod vodi do kontaktnog obrasca, prijave na newsletter ili nagradne igre koja traži osobne podatke, za tu odredišnu stranicu vrijede isti zahtjevi kao i za svaki drugi obrazac: mora postojati jasna informacija o svrsi uporabe i valjana pravna osnova za obradu. U slučaju dvojbe potrebna je i izričita privola.

vCard kodovi s kontaktnim podacima trećih osoba

Ako se vCard QR kod ne izrađuje za vas same, nego za drugu osobu (primjerice za zaposlenike na zajedničkim identifikacijskim karticama), trebalo bi provjeriti slaže li se ta osoba s objavom svojih kontaktnih podataka.

Lokacija izvan Švicarske

Ako postupak skeniranja ili obradu podataka iza njega provodi pružatelj usluge sa sjedištem ili poslužiteljima u inozemstvu, dodatno može postati relevantno pitanje prekogranične obrade podataka. Pružatelji sa sjedištem i hostingom u Švicarskoj ili EU-u u praksi znatno pojednostavljuju tu procjenu.

Praktični kontrolni popis

1. Navodi li vaša izjava o zaštiti privatnosti da se skeniranja QR kodova mogu analizirati u statističke svrhe?
2. Obrađuju li se IP adrese pri analizi anonimizirano ili barem skraćeno?
3. Vodi li QR kod do obrasca koji prikuplja osobne podatke – i je li taj obrazac sa svoje strane usklađen s propisima o zaštiti podataka?
4. Šire li se osjetljivi sadržaji ili sadržaji koji nisu namijenjeni javnosti putem javno dostupnog QR koda, iako bi zaštita lozinkom bila smislenija?
5. Je li poznato gdje korišteni pružatelj usluga QR kodova drži svoje poslužitelje?

Pragmatičan pogled

Za većinu svakodnevnih primjena – jelovnik, kod s informacijama o proizvodu, poveznicu na društvene mreže – iz Zakona o zaštiti podataka ne proizlaze velike prepreke, pod uvjetom da se poštuju osnovne obveze transparentnosti. Kritičnije postaje tek kada QR kod izravno ili neizravno vodi do osobnih podataka – primjerice putem obrasca, ankete s poljem za ime ili kontaktne kartice. U tim se slučajevima isplati svjesna, kratka provjera prije nego što kod ode u tisak.

Na što paziti pri odabiru pružatelja usluga QR kodova

Tko i sam želi raditi u skladu sa zaštitom podataka, trebao bi pozorno pogledati i alat za QR kodove koji koristi. Gdje se podaci hostaju? Anonimiziraju li se IP adrese? Može li se osjetljiv sadržaj po potrebi zaštititi lozinkom? QRown se hosta u Švicarskoj i pri skeniranjima IP adrese standardno pohranjuje samo skraćene – solidan temelj za ispunjavanje vlastitih obveza zaštite podataka mirne savjesti.

Započnite sada, dobro informirani!

Izradite svoje QR kodove kod švicarskog pružatelja usluga koji o zaštiti podataka razmišlja od samog početka.