Rastrear escaneos de código QR sin cookies: qué revela un escaneo

Un escaneo es una petición web, y una petición web habla

Un código QR estático contiene el destino en sí, así que al escanearlo no interviene ningún servidor. Un código dinámico contiene una URL corta, como qreu.eu/x7k2, y el teléfono pide esa URL a un servidor de redirección, que responde con el destino real. Rastrear escaneos de código QR ocurre por completo en esa única petición. Ni el código, ni el papel, ni la cámara añaden nada; todo procede de lo que un teléfono envía cuando pide una página a un servidor.

Tome el folleto de una panadería de Gante. Una clienta apunta la cámara al código, toca la notificación y, durante unos cien milisegundos, su teléfono y el servidor de redirección intercambian un puñado de cabeceras. Después aterriza en la página de pedidos de la panadería y el servidor de redirección desaparece de la escena. Lo que había en esas cabeceras decide lo que la panadería puede aprender.

Qué envía un escaneo al servidor de redirección

Una petición HTTP de una URL corta lleva aproximadamente cinco cosas que un servidor de redirección puede usar. La dirección IP del teléfono, o de la red en la que está, llega con la propia conexión. La cabecera User-Agent indica el navegador, el sistema operativo y a menudo la familia del dispositivo. La cabecera Accept-Language enumera los idiomas configurados en el teléfono. El servidor anota la hora en que recibió la petición. La cabecera Referer suele faltar en un escaneo de QR, porque la aplicación de la cámara abre la URL directamente y no desde una página web, lo que en sí mismo es una pequeña señal de que la visita vino de un escaneo.

Ese es todo el material en bruto. No hay nombre, ni correo electrónico, ni número de teléfono, ni ubicación más allá de lo que implica la IP. Un panel que afirma saber más se lo ha pedido al visitante, ha instalado una cookie o ha cargado un script de terceros en la página de destino. Eso son decisiones, no propiedades del código QR.

En qué se convierte eso en un panel

Cada cabecera se traduce en un gráfico familiar. La dirección IP se busca en una base de datos de geolocalización y se convierte en un país, a veces en una región o ciudad. El User-Agent se convierte en tipo de dispositivo, sistema operativo y navegador. Accept-Language se convierte en un desglose por idioma, que en una zona turística suele ser más útil que el país: la panadería puede ver un 40 por ciento de escaneos en francés y un 25 por ciento en inglés en un folleto colocado en el vestíbulo de un hotel. La marca de tiempo se convierte en la serie temporal que muestra el pico del mercado del sábado.

El paso que importa ocurre antes de todo eso: ¿el servidor conserva la petición en bruto o solo los recuentos derivados? Un servidor que guarda cada línea de petición con su IP mantiene un registro de visitas identificables. Un servidor que suma uno a "Bélgica, Android, neerlandés, sábado 11:00" y descarta la petición mantiene una tabla de números. Ambos producen los mismos gráficos. Solo uno de ellos conserva datos personales.

Por qué una dirección IP es un dato personal

La distinción importa porque la IP es un dato personal en la UE, incluso cuando es dinámica y aunque el operador del sitio no pueda identificar a la persona por sí solo. El Tribunal de Justicia de la Unión Europea dictaminó en el asunto C-582/14, Breyer contra Alemania, el 19 de octubre de 2016 que una dirección IP dinámica registrada por el operador de un sitio web constituye un dato personal respecto a ese operador si dispone de medios legales para identificar al visitante con la ayuda de información adicional que posee el proveedor de acceso a internet. Es el comunicado de prensa 112/16, y ese razonamiento ha marcado desde entonces todo el debate europeo sobre analítica.

La consecuencia práctica: un registro de escaneos con direcciones IP es un fichero de datos personales, con todo lo que ello implica, incluidos plazos de conservación, una base jurídica y un lugar en su registro de actividades de tratamiento. Una tabla de recuentos sin IP no lo es. La lista de comprobación legal para campañas con QR está en nuestra guía sobre el generador de códigos QR respetuoso con el RGPD; este artículo se queda en el lado técnico de esa línea. Esto no es asesoramiento jurídico.

La autoridad francesa ofrece una referencia útil de cómo es una herramienta que solo cuenta. La página de la CNIL sobre herramientas de medición de audiencia que pueden quedar exentas de consentimiento enumera las condiciones: la herramienta se usa estrictamente para medir audiencia, produce únicamente estadísticas anónimas, no sigue a una persona por distintos sitios o aplicaciones, y no cruza los datos con otros tratamientos ni transmite datos no anónimos a terceros. Lea esas cuatro condiciones como una especificación técnica y tendrá el diseño para rastrear escaneos de código QR sin cookies.

Contar frente a reconocer: la línea que importa

Todo sistema de analítica se sitúa a un lado de una línea sencilla. Contar responde a "cuántos escaneos llegaron de Bélgica el sábado". Reconocer responde a "es este el mismo teléfono que escaneó el cartel el martes". Reconocer es para lo que sirve una cookie: un pequeño identificador guardado en el dispositivo para que la segunda visita pueda vincularse a la primera. Es también lo que hace necesario un aviso de cookies, porque guardar y leer un identificador en el teléfono de alguien entra en las reglas de consentimiento de la ePrivacy, salvo que sea estrictamente necesario para el servicio que el usuario pidió. Una redirección no lo necesita.

La tentación de reconocer es real, porque desbloquea visitantes únicos, tasas de retorno y audiencias de retargeting. El coste es que cada una de esas funciones arrastra la campaña de QR al terreno del consentimiento y convierte una tabla de números en un registro de personas. Para un folleto impreso, la pregunta es si "escaneadores únicos" cambiaría alguna decisión suya. Normalmente no; seguiría moviendo el folleto al mejor sitio.

Cómo EUQR permite rastrear escaneos de código QR sin cookies

Las estadísticas de EUQR están construidas para quedarse en el lado de contar. La redirección no instala ninguna cookie ni guarda ningún identificador en el teléfono, así que no hay nada que consentir en la redirección. Los datos de escaneo y de enlaces cortos se alojan en Ámsterdam. EUQR nunca guarda direcciones IP en bruto: el país y el dispositivo se derivan en el momento de la petición y solo se conservan los recuentos agregados. Las estadísticas proceden de hashes respetuosos con la privacidad que rotan cada día. En la práctica, eso significa que el hash no puede revertirse a una dirección y deja de coincidir con el mismo teléfono al día siguiente, de modo que el sistema mantiene recuentos diarios coherentes sin poder decir nunca quién escaneó.

El resultado en su lado es un panel con escaneos por código QR dinámico y clics por enlace corto, como serie temporal y desglosados por país, dispositivo, navegador e idioma, siempre como recuentos agregados. Como no se instala ninguna cookie ni se carga ningún rastreador de terceros en la redirección, sus propias páginas de destino no necesitan un aviso de cookies por causa del código QR. Que su página lo necesite por otros motivos, como una etiqueta de Google Analytics o un vídeo incrustado, es una cuestión aparte sobre su página, no sobre el código.

A qué renuncia, y por qué las campañas impresas rara vez lo echan de menos

La honestidad sobre el compromiso forma parte del diseño. Las estadísticas sin cookies no pueden mostrar recorridos individuales de escaneo, no pueden decirle que una persona escaneó tres códigos distintos, no pueden construir una audiencia de retargeting y no pueden atribuir una compra dos semanas después a un escaneo concreto. Si su modelo de negocio depende de algo de eso, necesitará seguimiento con consentimiento en la propia página de destino, y esa es una decisión para su delegado de protección de datos, no para una herramienta de QR.

En la mayoría de las campañas impresas, ninguna de esas cosas es la pregunta que se plantea. La panadería quiere saber si funciona el folleto del hotel o el del mercado, en qué idioma imprimir la próxima vez y si el pico del sábado justifica una segunda tirada. Los recuentos por ubicación responden a las tres. Lo que los recuentos no pueden hacer es convertir a un visitante anónimo en un cliente conocido, y para el papel esa suele ser la limitación correcta que aceptar.

Leer los escaneos por código y por ubicación

El hábito que convierte recuentos en decisiones es un código por ubicación. La panadería imprime un código para el vestíbulo del hotel, otro para el puesto del mercado y otro para el escaparate, los tres apuntando a la misma página de pedidos. Ahora el panel compara las ubicaciones directamente: hotel 412 escaneos, mercado 1.180, escaparate 96. Combine eso con el desglose por idioma y la serie temporal y tendrá un informe imprimible que no necesitó cookies ni consentimiento.

La conservación sigue el plan que tenga: 30 días de estadísticas en Starter, 90 días en Pro, 365 días en Business y 730 días en Agency, con totales agregados que se conservan siempre. La exportación a CSV está disponible desde Pro, así que un extracto mensual puede vivir en su propia hoja de cálculo el tiempo que quiera. Los límites de cada plan y los precios están en la página de precios, con escaneos ilimitados en todos los planes, de modo que una campaña que funcione mejor de lo esperado no cuesta nada más medir.