Varstvo podatkov pri QR kodah: kaj morajo švicarska podjetja upoštevati po DSG
QR kode na splošno veljajo za neškodljive tehnične pripomočke – vzorec iz črnih in belih polj, ki vodi na spletno stran. Takoj ko koda analizira podatke ali vodi do obrazcev, ki zbirajo osebne podatke, pa se z vidika varstva podatkov znajdemo na področju, ki je pomembno tudi za švicarska podjetja.
Revidirani zakon o varstvu podatkov (revDSG) kot osnova
Od septembra 2023 v Švici velja revidirani zakon o varstvu podatkov (revDSG). Od podjetij med drugim zahteva:
- Preglednost: prizadete osebe morajo razumeti, kateri podatki se obdelujejo in za kakšen namen – običajno prek izjave o varstvu podatkov.
- Najmanjši obseg podatkov: zbirati je dovoljeno le toliko podatkov, kot jih je za posamezen namen dejansko treba.
- Ustrezna varnost: tehnični in organizacijski ukrepi morajo obdelane podatke zaščititi pred zlorabo, izgubo ali nepooblaščenim dostopom.
- Obveznost prijave kršitev: nekatere kršitve varstva podatkov je treba prijaviti zveznemu pooblaščencu za varstvo podatkov in javnost (EDÖB).
Kje konkretno pridejo v igro QR kode
Sledenje skeniranj kot obdelava podatkov
Če dinamična QR koda analizira, kdaj, kolikokrat in s katero napravo je bila skenirana, gre za obliko obdelave podatkov. Če je posamezna skeniranja prek naslova IP potencialno mogoče pripisati osebi, je ta postopek priporočljivo omeniti v lastni izjavi o varstvu podatkov – čeprav mnogi ponudniki QR kod naslove IP že obdelujejo anonimizirano in s tem tveganje občutno zmanjšajo.
Obrazci in ciljne strani za kodo
Če QR koda vodi do kontaktnega obrazca, prijave na e-novice ali nagradne igre, ki zahteva osebne podatke, za to ciljno stran veljajo enake zahteve kot za vsak drug obrazec: zagotovljena morata biti jasna informacija o namenu uporabe in veljavna pravna podlaga za obdelavo. V dvomu je poleg tega potrebna izrecna privolitev.
vCard kode s kontaktnimi podatki tretjih oseb
Če vCard QR koda ni ustvarjena za vas, temveč za drugo osebo (na primer za zaposlene na skupnih imenskih ploščicah), je treba preveriti, ali se prizadeta oseba strinja z objavo svojih kontaktnih podatkov.
Lokacija zunaj Švice
Če postopek skeniranja ali obdelavo podatkov za njim izvaja ponudnik s sedežem ali strežniki v tujini, lahko postane pomembno tudi vprašanje čezmejne obdelave podatkov. Ponudniki s sedežem in gostovanjem v Švici ali EU to presojo v praksi bistveno poenostavijo.
Praktičen kontrolni seznam
- Ali vaša izjava o varstvu podatkov omenja, da se skeniranja QR kod lahko analizirajo v statistične namene?
- Ali se naslovi IP pri analizi obdelujejo anonimizirano ali vsaj skrajšano?
- Ali QR koda vodi do obrazca, ki zbira osebne podatke – in ali je ta obrazec sam oblikovan skladno s predpisi o varstvu podatkov?
- Ali se občutljive ali za javnost neprimerne vsebine širijo prek prosto dostopne QR kode, čeprav bi bila zaščita z geslom bolj smiselna?
- Ali veste, kje uporabljeni ponudnik QR kod upravlja svoje strežnike?
Pragmatičen pogled
Za večino vsakdanjih uporab – jedilnik, koda z informacijami o izdelku, povezava do družbenih omrežij – iz zakona o varstvu podatkov ne izhajajo velike ovire, če so izpolnjene osnovne obveznosti glede preglednosti. Bolj kritično postane šele, ko QR koda neposredno ali posredno vodi do osebnih podatkov – na primer prek obrazca, ankete s poljem za ime ali kontaktne kartice. V teh primerih se splača zavestno in na kratko preveriti, preden gre koda v tisk.
Na kaj biti pozoren pri izbiri ponudnika QR kod
Kdor želi sam delovati skladno s predpisi o varstvu podatkov, mora natančno pogledati tudi uporabljeno orodje za QR kode. Kje se podatki gostujejo? Ali se naslovi IP anonimizirajo? In ali je občutljivo vsebino po potrebi mogoče zaščititi z geslom? QRown gostuje v Švici in naslove IP pri skeniranjih privzeto shranjuje le skrajšane – trdna podlaga, da lastne obveznosti glede varstva podatkov izpolnite z mirno vestjo.
Začnite zdaj – dobro obveščeni!
Ustvarite svoje QR kode pri švicarskem ponudniku, ki na varstvo podatkov misli že od začetka.