Personvern og QR-koder: Dette må sveitsiske bedrifter tenke på etter DSG

QR-koder regnes som regel som harmløse tekniske hjelpemidler – et mønster av svarte og hvite ruter som lenker til et nettsted. Men så snart en kode behandler data eller fører til skjemaer som samler inn personopplysninger, beveger den seg inn i et område av personvernretten som også er relevant for sveitsiske bedrifter.

Merk: Denne artikkelen gir en generell oversikt og erstatter ikke juridisk rådgivning. Har du konkrete spørsmål om din egen situasjon, anbefales det å kontakte en fagperson.

Den reviderte personvernloven (revDSG) som rettslig grunnlag

Den reviderte personvernloven (revDSG) har gjeldt i Sveits siden september 2023. Den krever blant annet at bedrifter sørger for:

1. Åpenhet: De registrerte må kunne forstå hvilke data som behandles og til hvilket formål – vanligvis gjennom en personvernerklæring.
2. Dataminimering: Det skal bare samles inn så mye data som faktisk er nødvendig for det konkrete formålet.
3. Tilstrekkelig sikkerhet: Tekniske og organisatoriske tiltak må beskytte de behandlede dataene mot misbruk, tap eller uautorisert tilgang.
4. Meldeplikt ved brudd: Visse brudd på datasikkerheten må meldes til den sveitsiske føderale personvernombudsmannen (FDPIC).

Her kommer QR-koder konkret inn

Skannesporing som databehandling

Hvis en dynamisk QR-kode registrerer når, hvor ofte og via hvilken enhet den ble skannet, er dette en form for databehandling. Kan enkelte skanninger potensielt spores tilbake til en bestemt person via IP-adressen, bør dette nevnes i personvernerklæringen din – selv om mange QR-kodeleverandører allerede behandler IP-adresser anonymisert og dermed reduserer risikoen betydelig.

Skjemaer og landingssider bak koden

Fører en QR-kode til et kontaktskjema, en nyhetsbrevpåmelding eller en konkurranse som ber om personopplysninger, gjelder de samme kravene for denne landingssiden som for ethvert annet skjema: Det må finnes tydelig informasjon om formålet og et gyldig rettslig grunnlag for behandlingen. I tvilstilfeller kreves også uttrykkelig samtykke.

vCard-koder med andres kontaktinformasjon

Lages en vCard-QR-kode ikke for deg selv, men for en annen person (for eksempel for ansatte på felles navneskilt), bør det sjekkes om den det gjelder, samtykker til at kontaktinformasjonen publiseres.

Plassering utenfor Sveits

Håndteres skanningen eller den underliggende databehandlingen av en leverandør med hovedkontor eller serverplassering i utlandet, kan også spørsmålet om grenseoverskridende databehandling bli aktuelt. Leverandører med hovedkontor og hosting i Sveits eller EU gjør denne vurderingen mye enklere i praksis.

En praktisk sjekkliste

1. Står det i personvernerklæringen din at skanninger av QR-koder kan analyseres for statistiske formål?
2. Blir IP-adresser anonymisert eller i det minste avkortet ved analysen?
3. Fører en QR-kode til et skjema som samler inn personopplysninger – og er selve skjemaet utformet i tråd med personvernreglene?
4. Blir sensitivt innhold eller innhold som ikke er ment for offentligheten, delt via en åpent tilgjengelig QR-kode, selv om passordbeskyttelse ville vært mer passende?
5. Vet du hvor QR-kodeleverandøren driver serverne sine?

Et pragmatisk perspektiv

For de fleste hverdagsbruk – en meny, en kode med produktinformasjon, en lenke til sosiale medier – byr personvernlovgivningen ikke på store hindringer, så lenge de grunnleggende kravene til åpenhet er oppfylt. Det blir mer kritisk så snart en QR-kode direkte eller indirekte fører til personopplysninger – for eksempel via et skjema, en undersøkelse med navnefelt eller et kontaktkort. I slike tilfeller lønner det seg med en rask, grundig sjekk før koden går til trykk.

Dette bør du se etter når du velger QR-kodeleverandør

Vil du sikre at din egen drift følger personvernreglene, bør du også se nøye på QR-kodeverktøyet du bruker. Hvor ligger dataene? Blir IP-adresser anonymisert? Og kan sensitivt innhold passordbeskyttes ved behov? QRown er hostet i Sveits og lagrer IP-adresser fra skanninger bare i avkortet form som standard – et solid grunnlag for å oppfylle personvernforpliktelsene dine med god samvittighet.

Kom i gang i dag!

Lag QR-kodene dine hos en sveitsisk leverandør som prioriterer personvern helt fra starten.