Ochrona danych a kody QR: o czym szwajcarskie firmy muszą pamiętać zgodnie z DSG
Kody QR uchodzą zwykle za niegroźne narzędzia techniczne – wzór czarnych i białych kwadratów, który prowadzi do strony internetowej. Gdy jednak kod przetwarza dane albo prowadzi do formularzy zbierających dane osobowe, wkracza w obszar prawa ochrony danych, który ma znaczenie także dla szwajcarskich firm.
Uwaga: Ten artykuł zawiera ogólny przegląd i nie zastępuje porady prawnej. W konkretnych sprawach dotyczących twojej sytuacji warto zwrócić się do specjalisty.
Znowelizowana ustawa o ochronie danych (revDSG) jako podstawa prawna
Znowelizowana ustawa o ochronie danych (revDSG) obowiązuje w Szwajcarii od września 2023 r. Wymaga od firm między innymi:
- Przejrzystości: osoby, których dane dotyczą, muszą móc zrozumieć, jakie dane są przetwarzane i w jakim celu – zazwyczaj dzięki polityce prywatności.
- Minimalizacji danych: wolno zbierać tylko tyle danych, ile faktycznie jest potrzebne do konkretnego celu.
- Odpowiedniego bezpieczeństwa: środki techniczne i organizacyjne muszą chronić przetwarzane dane przed nadużyciem, utratą lub nieuprawnionym dostępem.
- Obowiązku zgłaszania naruszeń: niektóre naruszenia ochrony danych trzeba zgłaszać Federalnemu Komisarzowi ds. Ochrony Danych i Informacji (FDPIC).
Gdzie konkretnie pojawiają się kody QR
Śledzenie skanów jako przetwarzanie danych
Jeśli dynamiczny kod QR rejestruje, kiedy, jak często i z jakiego urządzenia został zeskanowany, jest to forma przetwarzania danych. Jeśli pojedyncze skany można potencjalnie powiązać z konkretną osobą przez adres IP, proces ten powinien zostać wymieniony w polityce prywatności – nawet jeśli wielu dostawców kodów QR już przetwarza adresy IP w formie zanonimizowanej, co znacznie zmniejsza ryzyko.
Formularze i strony docelowe za kodem
Jeśli kod QR prowadzi do formularza kontaktowego, zapisu do newslettera albo konkursu, który wymaga danych osobowych, do takiej strony docelowej stosuje się te same wymogi co do każdego innego formularza: potrzebna jest jasna informacja o celu wykorzystania oraz ważna podstawa prawna przetwarzania. W razie wątpliwości wymagana jest też wyraźna zgoda.
Kody vCard z danymi kontaktowymi innych osób
Jeśli kod QR vCard tworzysz nie dla siebie, lecz dla innej osoby (na przykład dla pracowników na wspólnych identyfikatorach), warto sprawdzić, czy ta osoba zgadza się na publikację swoich danych kontaktowych.
Lokalizacja poza Szwajcarią
Jeśli skanowanie lub związane z nim przetwarzanie danych obsługuje dostawca z siedzibą lub serwerami za granicą, istotna może stać się także kwestia transgranicznego przetwarzania danych. Dostawcy z siedzibą i hostingiem w Szwajcarii lub UE w praktyce znacznie ułatwiają tę ocenę.
Praktyczna checklista
- Czy twoja polityka prywatności informuje, że skany kodów QR mogą być analizowane w celach statystycznych?
- Czy adresy IP są przy analizie anonimizowane lub przynajmniej skracane?
- Czy kod QR prowadzi do formularza zbierającego dane osobowe – i czy sam formularz jest zgodny z przepisami o ochronie danych?
- Czy wrażliwe treści albo treści nieprzeznaczone dla publiczności są udostępniane przez ogólnie dostępny kod QR, choć bardziej odpowiednia byłaby ochrona hasłem?
- Czy wiadomo, gdzie dostawca kodów QR utrzymuje swoje serwery?
Pragmatyczne spojrzenie
W większości codziennych zastosowań – menu, kod z informacjami o produkcie, link do mediów społecznościowych – przepisy o ochronie danych nie stanowią dużej przeszkody, o ile spełnione są podstawowe wymogi przejrzystości. Sytuacja staje się poważniejsza, gdy kod QR prowadzi bezpośrednio lub pośrednio do danych osobowych – na przykład przez formularz, ankietę z polem na imię i nazwisko albo kartę kontaktową. W takich przypadkach warto przed wysłaniem kodu do druku zrobić krótką, ale dokładną kontrolę.
Na co zwrócić uwagę przy wyborze dostawcy kodów QR
Jeśli chcesz, by twoja działalność była zgodna z przepisami o ochronie danych, przyjrzyj się też dokładnie narzędziu do kodów QR, z którego korzystasz. Gdzie hostowane są dane? Czy adresy IP są anonimizowane? I czy w razie potrzeby można chronić wrażliwe treści hasłem? QRown jest hostowany w Szwajcarii i domyślnie zapisuje adresy IP ze skanów wyłącznie w skróconej formie – to solidna podstawa, by z czystym sumieniem wypełniać swoje obowiązki w zakresie ochrony danych.
Zacznij już dziś!
Twórz swoje kody QR u szwajcarskiego dostawcy, który od samego początku stawia na ochronę danych.