Suivre les scans d'un QR code sans cookies : ce qu'un scan révèle

Un scan est une requête web, et une requête web parle

Un QR code statique contient la destination elle-même, aucun serveur n'intervient donc au moment du scan. Un code dynamique contient une URL courte, comme qreu.eu/x7k2, et le téléphone demande cette URL à un serveur de redirection, qui répond avec la vraie destination. Suivre les scans d'un QR code se joue entièrement dans cette seule requête. Ni le code, ni le papier, ni l'appareil photo n'ajoutent quoi que ce soit ; tout vient de ce qu'un téléphone envoie quand il demande une page à un serveur.

Prenez le flyer d'une boulangerie de Gand. Une cliente pointe l'appareil photo sur le code, touche la notification, et pendant une centaine de millisecondes son téléphone et le serveur de redirection échangent une poignée d'en-têtes. Puis elle arrive sur la page de commande de la boulangerie et le serveur de redirection sort du jeu. Ce que contenaient ces en-têtes décide de ce que la boulangerie peut apprendre.

Ce qu'un scan envoie au serveur de redirection

Une requête HTTP pour une URL courte transporte en gros cinq éléments qu'un serveur de redirection peut exploiter. L'adresse IP du téléphone, ou du réseau sur lequel il se trouve, arrive avec la connexion elle-même. L'en-tête User-Agent nomme le navigateur, le système d'exploitation et souvent la famille d'appareil. L'en-tête Accept-Language liste les langues configurées sur le téléphone. Le serveur note l'heure à laquelle il a reçu la requête. Un en-tête Referer est généralement absent pour un scan de QR, parce que l'application appareil photo ouvre l'URL directement et non depuis une page web, ce qui est en soi un petit signal que la visite vient d'un scan.

C'est toute la matière première. Pas de nom, pas d'adresse e-mail, pas de numéro de téléphone et pas de localisation au-delà de ce que l'adresse IP suggère. Un tableau de bord qui prétend en savoir plus l'a demandé au visiteur, a déposé un cookie ou a chargé un script tiers sur la page de destination. Ce sont des choix, pas des propriétés du QR code.

Ce que cela devient dans un tableau de bord

Chaque en-tête correspond à un graphique familier. L'adresse IP est recherchée dans une base de géolocalisation et devient un pays, parfois une région ou une ville. Le User-Agent devient un type d'appareil, un système d'exploitation et un navigateur. Accept-Language devient une répartition par langue, souvent plus utile que le pays dans une zone touristique : la boulangerie peut voir 40 pour cent de scans en français et 25 pour cent en anglais sur un flyer posé dans le hall d'un hôtel. L'horodatage devient la série temporelle qui montre le pic du marché du samedi.

L'étape qui compte intervient avant tout cela : le serveur conserve-t-il la requête brute, ou seulement les comptages dérivés ? Un serveur qui stocke chaque ligne de requête avec son adresse IP détient un journal de visites identifiables. Un serveur qui incrémente "Belgique, Android, néerlandais, samedi 11h00" et jette la requête détient un tableau de chiffres. Les deux produisent les mêmes graphiques. Un seul des deux conserve des données personnelles.

Pourquoi une adresse IP est une donnée personnelle

Cette distinction compte parce que l'adresse IP est une donnée personnelle dans l'UE, même dynamique et même quand l'exploitant du site ne peut pas identifier la personne à lui seul. La Cour de justice de l'Union européenne a jugé dans l'affaire C-582/14, Breyer contre Allemagne, le 19 octobre 2016 qu'une adresse IP dynamique enregistrée par l'exploitant d'un site constitue une donnée personnelle à l'égard de cet exploitant s'il dispose de moyens légaux lui permettant d'identifier le visiteur grâce aux informations supplémentaires détenues par le fournisseur d'accès. C'est le communiqué de presse 112/16, et ce raisonnement a façonné depuis tout le débat européen sur l'analytique.

La conséquence pratique : un journal de scans avec adresses IP est un fichier de données personnelles, avec tout ce qui en découle, dont des durées de conservation, une base légale et une place dans votre registre des traitements. Un tableau de comptages sans adresses IP n'en est pas un. La checklist juridique des campagnes QR est traitée dans notre guide sur la conformité RGPD des codes QR ; cet article reste du côté technique de cette ligne. Ceci n'est pas un conseil juridique.

Le régulateur français offre un repère utile pour définir un outil qui ne fait que compter. La page de la CNIL sur les solutions de mesure d'audience pouvant être exemptées de consentement énumère les conditions : l'outil sert strictement à la mesure d'audience, ne produit que des statistiques anonymes, ne permet pas le suivi d'une personne sur différents sites ou applications, et ne conduit ni à un recoupement avec d'autres traitements ni à la transmission de données non anonymes à des tiers. Lisez ces quatre conditions comme un cahier des charges technique et vous avez le plan pour suivre les scans d'un QR code sans cookies.

Compter ou reconnaître : la ligne qui compte

Tout système d'analytique se situe d'un côté d'une ligne simple. Compter répond à "combien de scans venaient de Belgique samedi". Reconnaître répond à "est-ce le même téléphone qui a scanné l'affiche mardi". Reconnaître, c'est la fonction d'un cookie : un petit identifiant stocké sur l'appareil pour que la deuxième visite soit reliée à la première. C'est aussi ce qui rend un bandeau cookies nécessaire, car stocker et lire un identifiant sur le téléphone de quelqu'un relève des règles de consentement ePrivacy, sauf si c'est strictement nécessaire au service demandé par l'utilisateur. Une redirection n'en a pas besoin.

La tentation de reconnaître est réelle, car elle débloque les visiteurs uniques, les taux de retour et les audiences de retargeting. Le prix, c'est que chacune de ces fonctions entraîne la campagne QR en territoire de consentement et transforme un tableau de chiffres en registre de personnes. Pour un flyer imprimé, la question est de savoir si "scanneurs uniques" changerait l'une de vos décisions. En général non ; vous déplaceriez quand même le flyer vers le meilleur emplacement.

Comment EUQR permet de suivre les scans d'un QR code sans cookies

Les statistiques EUQR sont conçues pour rester du côté du comptage. La redirection ne dépose aucun cookie et ne stocke aucun identifiant sur le téléphone, il n'y a donc rien à consentir au moment de la redirection. Les données de scan et de liens courts sont hébergées à Amsterdam. EUQR ne stocke jamais d'adresses IP brutes : le pays et l'appareil sont dérivés au moment de la requête, et seuls les comptages agrégés sont conservés. Les statistiques proviennent de hachages respectueux de la vie privée qui changent chaque jour. Concrètement, le hachage ne peut pas être inversé en adresse et ne correspond plus au même téléphone le lendemain, si bien que le système garde des comptages journaliers cohérents sans jamais pouvoir dire qui a scanné.

Le résultat de votre côté est un tableau de bord avec les scans par QR code dynamique et les clics par lien court, en série temporelle et ventilés par pays, appareil, navigateur et langue, toujours sous forme de comptages agrégés. Comme aucun cookie n'est déposé et qu'aucun traceur tiers n'est chargé par la redirection, vos propres pages de destination n'ont pas besoin de bandeau cookies à cause du QR code. Qu'elles en aient besoin pour d'autres raisons, comme une balise Google Analytics ou une vidéo intégrée, est une question distincte qui concerne votre page, et le générateur respectueux du RGPD explique où passe cette ligne.

Ce que vous abandonnez, et pourquoi les campagnes print s'en passent

L'honnêteté sur le compromis fait partie de la conception. Des statistiques sans cookies ne peuvent pas montrer des parcours de scan individuels, ne peuvent pas dire qu'une même personne a scanné trois codes différents, ne peuvent pas constituer une audience de retargeting et ne peuvent pas attribuer un achat deux semaines plus tard à un scan précis. Si votre modèle économique dépend de l'un de ces points, il vous faudra un suivi avec consentement sur la page de destination elle-même, et c'est une décision à prendre avec votre délégué à la protection des données, pas avec un outil QR.

Pour la plupart des campagnes imprimées, aucun de ces points n'est la question posée. La boulangerie veut savoir si le flyer de l'hôtel ou celui du marché fonctionne, quelle langue imprimer la prochaine fois, et si le pic du samedi justifie un second tirage. Les comptages par emplacement répondent aux trois. Ce que les comptages ne peuvent pas faire, c'est transformer un visiteur anonyme en client connu, et pour le papier c'est généralement la bonne limite à accepter.

Lire les scans par code et par emplacement

L'habitude qui transforme les comptages en décisions, c'est un code par emplacement. La boulangerie imprime un code pour le hall de l'hôtel, un pour l'étal du marché et un pour la vitrine, tous trois pointant vers la même page de commande. Le tableau de bord compare alors directement les emplacements : hôtel 412 scans, marché 1 180, vitrine 96. Ajoutez la répartition par langue et la série temporelle, et vous avez un rapport imprimable qui n'a demandé ni cookie ni consentement.

La conservation suit votre offre : 30 jours de statistiques sur Starter, 90 jours sur Pro, 365 jours sur Business et 730 jours sur Agency, les totaux agrégés étant toujours conservés. L'export CSV est disponible à partir de Pro, un extrait mensuel peut donc vivre dans votre propre tableur aussi longtemps que vous le souhaitez. Les limites et les prix figurent sur la page des tarifs, avec des scans illimités sur chaque offre, si bien qu'une campagne qui marche mieux que prévu ne coûte rien de plus à mesurer.