Un QR code statico contiene solo il suo contenuto e non raccoglie dati su chi lo scansiona. Un QR code dinamico passa invece da un servizio che registra ogni scansione: quei dati, dall’indirizzo IP al tipo di dispositivo, possono essere dati personali ai sensi del GDPR. Chi crea il codice è di norma il titolare del trattamento e deve informare chi scansiona; il fornitore del servizio agisce in genere come responsabile, con un accordo scritto.
Questa guida è informazione generale, costruita sul testo del GDPR e sulle linee guida del Garante italiano elencate in fondo. Non è consulenza legale: per il tuo caso specifico rivolgiti a un professionista della protezione dei dati.
Un QR code raccoglie dati personali?
Dipende dal tipo di codice. Un QR code statico contiene direttamente le informazioni, per esempio un indirizzo web o i dati di una rete Wi-Fi, e non passa da un server che registri la lettura. Quando qualcuno lo scansiona, la fotocamera legge il contenuto e basta.
Un QR code dinamico contiene invece un indirizzo breve che rimanda a un servizio, il quale reindirizza la persona alla destinazione e di solito registra la scansione per produrre le statistiche. È in quel passaggio che nascono i dati.
Il GDPR definisce dato personale qualsiasi informazione riguardante una persona fisica identificata o identificabile, con riferimento anche a “un identificativo online”. Il considerando 30 cita espressamente gli indirizzi IP e i cookie come identificativi online che, combinati con altre informazioni, possono servire a creare profili e identificare le persone. Per questo i dati di una scansione vanno trattati con attenzione, anche se non contengono un nome.
Quali dati registra una scansione dinamica
Ogni servizio decide cosa registrare, e dovresti saperlo prima di sceglierlo. Le voci più comuni sono queste:
- data e ora della scansione;
- indirizzo IP, in forma completa o abbreviata;
- paese e città approssimati, ricavati dall’IP;
- tipo di dispositivo, browser e sistema operativo;
- sito o app di provenienza, se disponibile.
Ciò che conta è la combinazione: più dati raccogli e più a lungo li conservi, più cresce la possibilità di risalire a una persona. Il principio di minimizzazione dell’articolo 5 chiede dati “adeguati, pertinenti e limitati a quanto necessario” rispetto alle finalità.
Chi è titolare e chi è responsabile
Il GDPR chiama titolare del trattamento chi “determina le finalità e i mezzi” del trattamento e responsabile del trattamento chi tratta i dati “per conto del titolare” (articolo 4). Se un ristorante stampa un QR dinamico sul tavolo per sapere quante persone lo scansionano, è il ristorante a decidere perché raccogliere quei dati: è il titolare. Il fornitore del generatore, che registra le scansioni e mostra le statistiche, tratta i dati per suo conto.
Quando un trattamento è affidato a un responsabile, l’articolo 28 richiede un contratto o altro atto giuridico che lo vincoli al titolare. Il contratto deve prevedere, fra l’altro, che il responsabile tratti i dati solo su istruzione documentata del titolare e che il titolare autorizzi per iscritto eventuali altri responsabili. Il titolare deve scegliere responsabili che presentino “garanzie sufficienti”.
Attenzione
Il contratto con il fornitore non ti solleva
Avere un accordo ex articolo 28 con il fornitore del generatore non basta per essere a posto. Restano a carico del titolare, tra l’altro, l’informativa a chi scansiona, la scelta della base giuridica e le risposte alle richieste degli interessati.
L’informativa per chi scansiona
L’articolo 13 impone al titolare di fornire l’informativa “nel momento in cui i dati personali sono ottenuti”. Deve includere, fra l’altro:
- identità e contatti del titolare;
- finalità del trattamento e base giuridica, con i legittimi interessi se è questa la base;
- destinatari o categorie di destinatari e, se ci sono, i trasferimenti verso Paesi terzi;
- periodo di conservazione, o i criteri per stabilirlo;
- i diritti dell’interessato e il diritto di proporre reclamo a un’autorità di controllo.
Con un QR code la difficoltà è pratica: i dati vengono raccolti nel momento della scansione, prima che compaia qualsiasi pagina. Un’impostazione ragionevole è rendere l’informativa raggiungibile da un indirizzo indicato vicino al codice o dalla pagina di destinazione, scritta in modo semplice. Come impostarla nel tuo caso conviene concordarlo con chi si occupa di privacy per la tua organizzazione.
Cookie e consenso: cosa cambia
Il consenso per i cookie non discende dal GDPR in senso stretto ma dalle regole sui tracciatori nel dispositivo dell’utente, che in Italia sono nell’articolo 122 del Codice privacy. Le linee guida del Garante del 10 giugno 2021 (provvedimento n. 231) distinguono due casi principali:
- cookie tecnici, usati per trasmettere una comunicazione o strettamente necessari a un servizio richiesto: bastano l’informativa, senza consenso;
- altri strumenti, come i cookie di profilazione: possono essere usati solo con il consenso informato dell’utente.
Per i cookie di analisi (analytics), le linee guida spiegano che possono essere trattati come tecnici a determinate condizioni: non devono permettere l’identificazione diretta (il Garante suggerisce di mascherare almeno la quarta componente di un indirizzo IPv4), devono servire a statistiche aggregate riferite a un solo sito e, se li fornisce un terzo, quest’ultimo non deve incrociare i dati con altri trattamenti.
Il punto pratico: il QR code in sé non ha cookie. Ma la pagina di destinazione può averne, per esempio se incorpora uno strumento di analisi o di pubblicità. In quel caso valgono le regole sul consenso, come per qualsiasi altra pagina del tuo sito.
Base giuridica e diritti di chi scansiona
Il GDPR consente di trattare dati personali solo con una base giuridica dell’articolo 6. Per le statistiche di scansione molti titolari si appoggiano al legittimo interesse (lettera f), cioè misurare l’efficacia dei propri materiali, a condizione che non prevalgano i diritti e le libertà dell’interessato. La scelta e la sua valutazione spettano al titolare.
Se il trattamento si basa sul legittimo interesse, la persona ha il diritto di opporsi (articolo 21): il titolare deve smettere di trattare i dati, salvo che dimostri motivi legittimi cogenti che prevalgono. Vale inoltre il diritto di accesso, rettifica, cancellazione e limitazione. Prevedi come risponderai: chi riceve la richiesta, dove si trovano i dati, come si cerca una singola scansione.
Come QRevely tratta i dati di scansione
Quanto segue riprende ciò che dicono le pagine pubbliche di QRevely, senza aggiungere altro. Sono l’informativa per chi scansiona, la Privacy Policy e l’accordo sul trattamento dei dati (versione del 5 ottobre 2026).
- Ruoli. Chi crea il QR dinamico è il titolare dei dati di chi scansiona. BULLET GROUP S.R.L. (QRevely) li tratta per suo conto come responsabile, per fornire reindirizzamento e statistiche. Per una parte limitata (contare le scansioni rispetto ai limiti del piano, prevenire gli abusi, garantire la sicurezza) QRevely è titolare, sulla base del proprio legittimo interesse.
- Dati registrati. Data e ora, indirizzo IP abbreviato (per IPv4 l’ultimo ottetto azzerato, per IPv6 ridotto ai primi 64 bit), un codice cifrato ricavato dall’IP per contare le scansioni uniche, paese e città, tipo di dispositivo, browser e sistema operativo, identificativo del browser e sito di provenienza.
- Cosa vede il cliente. Data e ora, paese, città, dispositivo, browser, sistema operativo e numero di scansioni uniche. Non vede l’IP, il codice cifrato, l’identificativo del browser né il sito di provenienza.
- Cookie. Le pagine che si aprono scansionando non installano cookie e non salvano nulla nella memoria del browser.
- Conservazione. Le singole scansioni fino a 37 mesi e comunque non oltre la cancellazione del QR o dell’account; i riepiloghi giornalieri finché esistono QR e account; le copie di sicurezza al massimo 60 giorni.
- Profilazione e vendita. Nessuna profilazione, nessuna decisione automatizzata, nessuna pubblicità; i dati non vengono venduti.
- Luogo. Server in Germania e database a Francoforte; file e copie di sicurezza nell’Unione europea.
- Accordo ex articolo 28. È allegato ai Termini e Condizioni: accettando i Termini si accetta anche l’accordo. Riguarda i dati di chi scansiona e i dati personali che il cliente inserisce nei contenuti dei QR.
Due precisazioni di trasparenza. L’informativa dice che per i dati delle scansioni non sono previsti trasferimenti fuori dallo Spazio economico europeo; l’accordo, nell’Allegato C, elenca invece i sub-responsabili e le garanzie previste e, per il database gestito di DigitalOcean, cita possibili accessi dagli Stati Uniti per assistenza, coperti da Data Privacy Framework UE-USA e clausole contrattuali tipo. E restano fuori dall’accordo i QR statici, che non generano dati di scansione, e l’uso a fini esclusivamente personali o domestici.
Checklist prima di stampare
- Decidi se ti serve davvero un QR dinamico o se basta uno statico.
- Chiedi al fornitore quali dati registra, per quanto tempo e dove.
- Verifica che ci sia un accordo ex articolo 28 e leggi l’elenco dei sub-responsabili.
- Prepara un’informativa breve e raggiungibile da chi scansiona.
- Controlla che la pagina di destinazione non imposti cookie non necessari senza consenso.
- Stabilisci chi risponde alle richieste degli interessati e come.
- Rivedi tutto con un professionista, se tratti dati sensibili o su larga scala.
Domande frequenti.
Un QR code statico è soggetto al GDPR?
Il QR statico in sé non registra nulla di chi lo scansiona. Il GDPR può comunque riguardare il contenuto, se contiene dati personali, e la pagina a cui porta, se raccoglie dati.
Devo mettere un banner cookie su un QR code?
Il QR non installa cookie. Un banner serve se la pagina di destinazione usa cookie o strumenti non tecnici. Per i cookie tecnici basta l’informativa.
L’indirizzo IP abbreviato è un dato personale?
Può esserlo: dipende da cosa lo accompagna. Il considerando 30 cita gli indirizzi IP tra gli identificativi online. Abbreviarlo riduce il rischio, ma non lo elimina in automatico.
Quanto posso conservare i dati delle scansioni?
Il GDPR non fissa un numero: i dati vanno conservati per il tempo necessario alle finalità (articolo 5). Scegli un periodo che sai giustificare e comunicalo nell’informativa.
Vuoi sapere quali dati registra il tuo QR?
Leggi informativa, Privacy Policy e accordo sul trattamento dei dati di QRevely, poi crea il tuo QR dinamico dal tuo account.
Approfondimenti QRevely
- Informativa per chi scansiona un QR Code
- Privacy Policy
- Accordo sul trattamento dei dati
- Analytics
- QR code dinamici