Tietosuoja ja QR-koodit: mitä sveitsiläisten yritysten on huomioitava DSG:n mukaan

QR-koodeja pidetään yleensä harmittomina teknisinä apuvälineinä – mustavalkoisena ruutukuviona, joka vie verkkosivulle. Heti kun koodi kuitenkin käsittelee dataa tai johtaa lomakkeisiin, jotka keräävät henkilötietoja, liikutaan tietosuojalainsäädännön alueella, joka koskee myös sveitsiläisiä yrityksiä.

Huomautus: Tämä artikkeli tarjoaa yleiskatsauksen eikä korvaa oikeudellista neuvontaa. Jos sinulla on omaa tilannettasi koskevia tarkempia kysymyksiä, kannattaa kääntyä asiantuntijan puoleen.

Uudistettu tietosuojalaki (revDSG) oikeudellisena perustana

Uudistettu tietosuojalaki (revDSG) on ollut Sveitsissä voimassa syyskuusta 2023. Se edellyttää yrityksiltä muun muassa:

1. Läpinäkyvyyttä: Rekisteröityjen on voitava ymmärtää, mitä tietoja käsitellään ja mihin tarkoitukseen – yleensä tietosuojaselosteen avulla.
2. Tietojen minimointia: Tietoja saa kerätä vain sen verran kuin tiettyyn tarkoitukseen todella tarvitaan.
3. Asianmukaista tietoturvaa: Teknisten ja organisatoristen toimenpiteiden on suojattava käsiteltyjä tietoja väärinkäytöltä, häviämiseltä ja luvattomalta pääsyltä.
4. Tietoturvaloukkausten ilmoitusvelvollisuutta: Tietyistä tietoturvaloukkauksista on ilmoitettava liittovaltion tietosuoja- ja julkisuusvaltuutetulle (FDPIC).

Missä QR-koodit tulevat erityisesti kuvaan

Skannausseuranta tietojenkäsittelynä

Jos dynaaminen QR-koodi seuraa, milloin, kuinka usein ja millä laitteella se on skannattu, kyse on tietojenkäsittelystä. Jos yksittäiset skannaukset voidaan mahdollisesti jäljittää IP-osoitteen kautta tiettyyn henkilöön, tämä käsittely kannattaa mainita tietosuojaselosteessa – vaikka monet QR-koodipalvelut käsittelevät IP-osoitteet jo anonymisoituina ja pienentävät näin riskiä merkittävästi.

Lomakkeet ja laskeutumissivut koodin takana

Jos QR-koodi vie yhteydenottolomakkeeseen, uutiskirjeen tilaukseen tai kilpailuun, jossa pyydetään henkilötietoja, tähän laskeutumissivuun pätevät samat vaatimukset kuin mihin tahansa muuhun lomakkeeseen: käyttötarkoituksesta on kerrottava selkeästi, ja käsittelylle on oltava pätevä oikeusperuste. Epäselvissä tapauksissa tarvitaan myös nimenomainen suostumus.

vCard-koodit, joissa on toisen henkilön yhteystietoja

Jos vCard-QR-koodi luodaan jollekulle toiselle eikä itselle (esimerkiksi työntekijöille yhteisiin nimikyltteihin), kannattaa varmistaa, että asianomainen suostuu yhteystietojensa julkaisemiseen.

Sijainti Sveitsin ulkopuolella

Jos skannauksen tai sen taustalla olevan tietojenkäsittelyn hoitaa palveluntarjoaja, jonka kotipaikka tai palvelinsijainti on ulkomailla, myös rajat ylittävä tietojenkäsittely voi tulla ajankohtaiseksi. Palveluntarjoajat, joiden kotipaikka ja hosting ovat Sveitsissä tai EU:ssa, helpottavat tätä arviointia käytännössä huomattavasti.

Käytännön tarkistuslista

1. Kerrotaanko tietosuojaselosteessasi, että QR-koodien skannauksia voidaan analysoida tilastollisiin tarkoituksiin?
2. Anonymisoidaanko IP-osoitteet tai lyhennetäänkö ne ainakin analyysin aikana?
3. Vieekö QR-koodi lomakkeeseen, joka kerää henkilötietoja – ja onko tämä lomake itsessään toteutettu tietosuojasäännösten mukaisesti?
4. Jaetaanko arkaluonteista tai muuta kuin julkiseksi tarkoitettua sisältöä avoimesti saatavilla olevan QR-koodin kautta, vaikka salasanasuojaus olisi sopivampi?
5. Tiedetäänkö, missä QR-koodipalvelun palvelimet sijaitsevat?

Käytännönläheinen näkökulma

Useimmissa arkisissa käyttötarkoituksissa – ruokalista, tuotetietokoodi, linkki sosiaaliseen mediaan – tietosuojalait eivät aseta suuria esteitä, kunhan läpinäkyvyyden perusvaatimukset täyttyvät. Tilanne muuttuu kriittisemmäksi heti, kun QR-koodi johtaa suoraan tai välillisesti henkilötietoihin – esimerkiksi lomakkeen, nimikentällisen kyselyn tai yhteystietokortin kautta. Näissä tapauksissa kannattaa tehdä lyhyt mutta huolellinen tarkistus ennen kuin koodi menee painoon.

Mihin kiinnittää huomiota QR-koodipalvelua valitessa

Jos haluat varmistaa, että oma toimintasi noudattaa tietosuojasäännöksiä, kannattaa tarkastella tarkasti myös käyttämääsi QR-koodityökalua. Missä data on tallennettu? Anonymisoidaanko IP-osoitteet? Ja voiko arkaluonteisen sisällön tarvittaessa suojata salasanalla? QRown on sijoitettu Sveitsiin ja tallentaa skannausten IP-osoitteet oletuksena vain lyhennettyinä – vankka pohja tietosuojavelvoitteiden täyttämiseen hyvällä omallatunnolla.

Aloita jo tänään!

Luo QR-koodisi sveitsiläisellä palveluntarjoajalla, jolle tietosuoja on ollut tärkeää alusta asti.