Databeskyttelse og QR-koder: Hvad schweiziske virksomheder skal være opmærksomme på efter DSG
QR-koder bliver generelt betragtet som harmløse tekniske værktøjer – et mønster af sorte og hvide firkanter, der linker til en hjemmeside. Men så snart en kode behandler data eller fører til formularer, der indsamler personoplysninger, bevæger den sig ind på databeskyttelsesrettens område, og det er også relevant for schweiziske virksomheder.
Bemærk: Denne artikel giver et generelt overblik og erstatter ikke juridisk rådgivning. Har du konkrete spørgsmål om din egen situation, anbefales det at kontakte en fagperson.
Den reviderede databeskyttelseslov (revDSG) som retsgrundlag
Den reviderede schweiziske databeskyttelseslov (revDSG) har været i kraft siden september 2023. Den kræver blandt andet, at virksomheder sikrer:
- Gennemsigtighed: De registrerede skal kunne forstå, hvilke data der behandles og til hvilket formål – som regel via en privatlivspolitik.
- Dataminimering: Der må kun indsamles så mange data, som faktisk er nødvendige til det konkrete formål.
- Passende sikkerhed: Tekniske og organisatoriske foranstaltninger skal beskytte de behandlede data mod misbrug, tab eller uautoriseret adgang.
- Pligt til at anmelde brud: Visse brud på datasikkerheden skal anmeldes til den schweiziske føderale databeskyttelses- og informationskommissær (FDPIC).
Hvor QR-koder konkret kommer i spil
Scanningssporing som databehandling
Hvis en dynamisk QR-kode registrerer, hvornår, hvor ofte og med hvilken enhed den er blevet scannet, er det en form for databehandling. Hvis enkelte scanninger potentielt kan føres tilbage til en bestemt person via IP-adressen, bør det nævnes i din privatlivspolitik – også selv om mange QR-kodeudbydere allerede behandler IP-adresser anonymiseret og dermed reducerer risikoen markant.
Formularer og landingssider bag koden
Hvis en QR-kode fører til en kontaktformular, en nyhedsbrevstilmelding eller en konkurrence, der beder om personoplysninger, gælder de samme krav for landingssiden som for enhver anden formular: Der skal være klar information om formålet og et gyldigt retsgrundlag for behandlingen. I tvivlstilfælde kræves der også udtrykkeligt samtykke.
vCard-koder med andres kontaktoplysninger
Hvis en vCard-QR-kode ikke oprettes til en selv, men til en anden person (for eksempel til medarbejdere på fælles navneskilte), bør det afklares, om den pågældende accepterer, at kontaktoplysningerne offentliggøres.
Placering uden for Schweiz
Hvis scanningen eller den underliggende databehandling håndteres af en udbyder med hovedsæde eller serverplacering i udlandet, kan spørgsmålet om grænseoverskridende databehandling også blive relevant. Udbydere med hovedsæde og hosting i Schweiz eller EU gør denne vurdering væsentligt lettere i praksis.
En praktisk tjekliste
- Står der i din privatlivspolitik, at scanninger af QR-koder kan analyseres til statistiske formål?
- Bliver IP-adresser anonymiseret eller i det mindste afkortet ved analysen?
- Fører en QR-kode til en formular, der indsamler personoplysninger – og er selve formularen udformet i overensstemmelse med databeskyttelsesreglerne?
- Bliver følsomt indhold eller indhold, der ikke er beregnet til offentligheden, delt via en frit tilgængelig QR-kode, selv om adgangskodebeskyttelse ville være mere passende?
- Ved du, hvor QR-kodeudbyderen har sine servere?
Et pragmatisk perspektiv
Til de fleste hverdagsanvendelser – et menukort, en kode med produktinformation, et link til sociale medier – udgør databeskyttelsesreglerne ingen store forhindringer, så længe de grundlæggende krav til gennemsigtighed er opfyldt. Det bliver mere kritisk, så snart en QR-kode direkte eller indirekte fører til personoplysninger – for eksempel via en formular, en spørgeundersøgelse med navnefelt eller et kontaktkort. I de tilfælde kan det betale sig at lave et hurtigt, grundigt tjek, før koden går i trykken.
Det skal du se efter, når du vælger en QR-kodeudbyder
Vil du sikre, at din egen drift overholder databeskyttelsesreglerne, bør du også se nærmere på det QR-kodeværktøj, du bruger. Hvor er dataene hostet? Bliver IP-adresser anonymiseret? Og kan følsomt indhold beskyttes med adgangskode, hvis der er brug for det? QRown er hostet i Schweiz og gemmer som standard kun IP-adresser fra scanninger i afkortet form – et solidt grundlag for at opfylde dine databeskyttelsesforpligtelser med god samvittighed.
Kom i gang i dag!
Opret dine QR-koder hos en schweizisk udbyder, der prioriterer databeskyttelse fra starten.