Un QR code collecte-t-il vos données ? Ce que dit le RGPD

Scanner un QR code, c'est cliquer sur un lien

Le point de départ est plus rassurant qu'on ne le croit : un QR code ne collecte rien. C'est une image contenant du texte, généralement une adresse web. Il n'a ni mémoire, ni connexion, ni capacité d'observation. Tout ce qui peut être collecté l'est par la page qui s'ouvre ensuite — exactement comme si vous aviez tapé l'adresse à la main.

La bonne question n'est donc pas « que collecte ce QR code ? » mais « que collecte le site vers lequel il mène ? ». Et la réponse est la même que pour n'importe quelle page visitée sur le web.

Ce qu'un scan révèle — et ce qu'il ne révèle pas

Quand un QR code est dynamique, votre téléphone passe par un relais avant d'arriver à destination. Ce relais voit passer une requête web ordinaire, avec les informations qu'un navigateur transmet toujours.

Ce qui est observable est donc modeste, et surtout : rien de tout cela ne vous identifie. Un compteur de scans sait qu'un visiteur est passé, pas lequel. Il ne connaît ni votre nom, ni votre e-mail, ni votre numéro, et ne peut pas vous suivre d'un site à l'autre.

Statique ou dynamique : seul le second peut compter

La distinction technique a une conséquence directe sur la vie privée. Avec un QR statique, l'adresse est encodée dans le dessin : votre téléphone ouvre la page sans intermédiaire. Personne, pas même celui qui a créé le code, ne sait qu'un scan a eu lieu.

Avec un QR dynamique, le relais voit passer chaque scan, et c'est précisément ce qui permet à un commerçant de savoir si son affiche fonctionne. Le compromis est donc simple à énoncer : le dynamique échange un peu de mesure contre beaucoup de souplesse. Et cette mesure porte sur des passages, pas sur des personnes.

Ce que dit le RGPD, en français

Le Règlement général sur la protection des données, applicable dans l'Union européenne depuis le 25 mai 2018, encadre le traitement des données à caractère personnel — c'est-à-dire toute information se rapportant à une personne identifiée ou identifiable. Quatre principes suffisent à comprendre ce qui s'applique aux QR codes.

• Minimisation : on ne collecte que ce qui est nécessaire à la finalité annoncée. Compter des scans n'exige pas de savoir qui scanne.
• Base légale : tout traitement doit reposer sur un fondement — le consentement, mais aussi l'intérêt légitime, qui suffit généralement à une mesure d'audience simple et non intrusive.
• Transparence : les personnes doivent pouvoir savoir ce qui est collecté et pourquoi, via une politique de confidentialité accessible.
• Limitation de conservation : les données ne se gardent pas indéfiniment ; une durée doit être définie, et tenue.

Un point mérite d'être connu : l'adresse IP est considérée comme une donnée à caractère personnel, y compris lorsqu'elle est dynamique, dès lors qu'un recoupement permettrait d'identifier la personne. La Cour de justice de l'Union européenne l'a établi dans son arrêt Breyer, en octobre 2016. Concrètement, un service qui stocke les IP de ses visiteurs en clair traite des données personnelles, avec toutes les obligations qui en découlent.

Le rôle de l'adresse IP, et pourquoi le hachage change tout

Pour compter des scans sans compter deux fois le même visiteur, un service a besoin d'un repère. L'adresse IP est le repère le plus évident — et le plus problématique, puisqu'elle est une donnée personnelle.

Une solution existe, et elle est technique plutôt que contractuelle : ne jamais stocker l'IP elle-même, mais son empreinte. On applique une fonction de hachage (SHA-256) à l'adresse, additionnée d'un sel secret, et on ne conserve que le résultat — une suite de caractères dont on ne peut pas revenir à l'adresse d'origine. En faisant tourner ce sel chaque mois, on empêche même de relier les passages d'un mois sur l'autre.

L'intérêt est qu'il ne s'agit pas d'une promesse mais d'une propriété : même en cas de fuite de la base, il n'y a pas d'adresse IP à faire fuiter. C'est le principe de protection des données dès la conception, inscrit à l'article 25 du RGPD, appliqué littéralement. C'est le choix retenu par QRyx : les adresses IP ne sont jamais écrites en clair.

Faut-il un bandeau cookies pour un QR code ?

C'est la question la plus fréquente côté commerçant, et la réponse est plus nuancée qu'un oui ou un non. Le bandeau ne relève pas directement du RGPD mais de la directive ePrivacy — en France, l'article 82 de la loi Informatique et Libertés. Ce texte vise une opération précise : déposer ou lire des informations sur le terminal du visiteur.

Autrement dit, ce qui déclenche l'obligation de consentement, c'est le cookie ou le traceur déposé sur le téléphone — pas la mesure côté serveur. Un compteur de scans qui n'écrit rien sur l'appareil du visiteur ne relève donc pas de cette obligation. En revanche, dès qu'un outil d'analyse tiers dépose un identifiant, ou qu'un pixel publicitaire est présent sur la page de destination, le bandeau redevient nécessaire.

La CNIL admet par ailleurs une exemption pour les traceurs de mesure d'audience strictement nécessaires, sous conditions : finalité limitée à la statistique, pas de recoupement avec d'autres traitements, pas de suivi de navigation entre sites, et données conservées de façon proportionnée. C'est cette voie que suivent les analytics sans cookie.

Côté commerçant : vos obligations en pratique

Si vous affichez des QR codes et mesurez les scans, vous êtes responsable de traitement pour cette mesure, et votre prestataire est votre sous-traitant. Cela implique quelques gestes concrets, dont aucun n'est lourd :

1. Mentionnez la mesure des scans dans votre politique de confidentialité, avec sa finalité et sa durée de conservation.
2. Inscrivez le traitement à votre registre — obligatoire même pour une petite structure, et il tient en quelques lignes.
3. Signez un contrat de sous-traitance avec votre prestataire : c'est l'article 28 du RGPD, et un service sérieux vous le fournit sans que vous ayez à le demander.
4. Vérifiez où sont hébergées les données. Un hébergement dans l'Union européenne évite d'avoir à justifier un transfert international.
5. N'associez pas les scans à des données d'identification (nom, e-mail) sans base légale claire et information des personnes.

Les bonnes questions à poser à un prestataire

Toutes les solutions de QR dynamique ne se valent pas sur ce terrain. Cinq questions permettent de trancher rapidement, et leurs réponses devraient être publiques :

• Les adresses IP sont-elles stockées en clair ? Si oui, passez votre chemin ; si elles sont hachées, demandez avec quel algorithme et si le sel est rotaté.
• Où sont hébergées les données ? Un hébergement européen évite tout un pan de formalités.
• Des cookies ou des traceurs sont-ils déposés sur le terminal du visiteur ? La réponse détermine votre obligation de bandeau.
• Quelle est la durée de conservation des données de scan, et que se passe-t-il ensuite ?
• Un contrat de sous-traitance conforme à l'article 28 est-il fourni, et accessible sans démarche ?

Un prestataire qui répond clairement à ces cinq questions, documentation à l'appui, vous fait gagner bien plus de temps qu'un euro d'écart sur l'abonnement mensuel.