Cumplimiento RGPD con Códigos QR: Datos y Legalidad

La mayoría de las guías sobre RGPD tratan los códigos QR como una nota al pie. Se centran en cookies, píxeles de seguimiento y formularios — los puntos de recopilación evidentes. Los códigos QR reciben un párrafo como mucho, algo así como "si recopilas datos mediante QR, aplica las normas habituales del RGPD".

Esa perspectiva pasa por alto cómo funciona realmente el rastreo QR. Un código QR dinámico no recopila datos como un formulario — lo hace como un registro de servidor: automáticamente, de forma invisible, en cada escaneo, antes de que el usuario vea ningún contenido. El escaneo es el evento de recopilación de datos.

La pregunta relevante del RGPD para los códigos QR no es "¿añadiste consentimiento al formulario?" Es "¿qué datos procesa tu infraestructura de redirección, con qué base legal, y cómo los gestionas durante toda la vida de la campaña?"

Qué Datos Recopila Realmente un Código QR Dinámico

Un código QR estático codifica una URL directamente. Cuando alguien lo escanea, su dispositivo abre la URL sin intermediarios ni registros. El único tratamiento de datos es lo que haga el sitio web de destino cuando carga la página.

Un código QR dinámico funciona de forma distinta. El código codifica una URL corta de redirección alojada en la plataforma QR. Cada escaneo llega al servidor de la plataforma antes de ser redirigido al destino final. Esa interacción con el servidor es donde se produce la recopilación de datos, y ocurre antes de que el usuario llegue a tu contenido.

Una plataforma de redirección QR dinámica típica registra lo siguiente en cada escaneo:

• Dirección IP — registrada para identificar país, región y ciudad mediante geolocalización. Bajo el RGPD, las direcciones IP son datos personales (sentencia Breyer del TJUE, 2016).
• Marca de tiempo — fecha y hora del escaneo, a menudo al segundo. Combinada con la IP, crea un evento localizable vinculado a un dispositivo individual.
• Cadena User-Agent — tipo de dispositivo, sistema operativo, nombre y versión del navegador.
• Ubicación aproximada — derivada de la geolocalización IP, generalmente precisa hasta el nivel de ciudad.
• Referrer — registrado ocasionalmente si el escaneo proviene de una aplicación que envía cabecera de referrer.

Cuándo se Aplica el RGPD al Rastreo con QR

El RGPD se aplica al tratamiento de datos personales por responsables establecidos en la UE, y — según el artículo 3(2) — a responsables fuera de la UE cuando tratan datos personales de interesados en la UE en relación con la oferta de bienes o servicios o el seguimiento de su comportamiento dentro de la UE.

Para los códigos QR, el responsable del tratamiento es la organización que opera la plataforma de redirección, generalmente la empresa que despliega la campaña QR. Si tu campaña QR dinámica se dirige a clientes de la UE, el RGPD se aplica a tus analíticas de escaneo independientemente de dónde esté constituida tu empresa.

Factores prácticos que activan el RGPD:

• Tu campaña QR está en materiales físicos distribuidos en la UE (folletos, envases, menús, displays de tienda)
• Tu plataforma de redirección registra direcciones IP de usuarios de la UE
• Tu panel de analíticas muestra datos de escaneo a nivel de ciudad o país de la UE

Bases Legales para el Tratamiento de Datos de Escaneo QR

El RGPD exige una base legal válida antes de tratar datos personales. Para analíticas de escaneo QR, tres bases son relevantes.

Consentimiento (artículo 6(1)(a))

El consentimiento debe ser libre, específico, informado e inequívoco. Para el escaneo QR, obtener el consentimiento previo es estructuralmente difícil: el propio escaneo es el mecanismo a través del cual se mostraría cualquier aviso de consentimiento. No puedes obtener el consentimiento del usuario antes de que escanee, y el escaneo ya es un evento de recopilación de datos en el momento en que llega a tu landing page.

La solución práctica es el consentimiento posterior al escaneo: mostrar un aviso de consentimiento en la página de destino antes de activar cualquier rastreo secundario (cookies, píxeles de remarketing, identificadores persistentes).

Interés Legítimo (artículo 6(1)(f))

El interés legítimo es la base más utilizada para analíticas de campaña. Requiere una evaluación de tres partes:

1. Prueba de finalidad — ¿Existe un interés legítimo genuino? La medición del rendimiento de la campaña es generalmente aceptada.
2. Prueba de necesidad — ¿Es el tratamiento necesario para esa finalidad? Los recuentos agregados de escaneos son necesarios. Los perfiles de usuario individuales persistentes no lo son.
3. Prueba de ponderación — ¿El interés legítimo prevalece sobre los derechos del interesado? Las analíticas contextuales con períodos de retención cortos suelen superar esta prueba.

Documenta tu Evaluación de Interés Legítimo (EIL) por escrito. Las autoridades de protección de datos solicitan cada vez más estas evaluaciones en reclamaciones e investigaciones.

Requisitos del Aviso de Privacidad para Campañas QR

Los artículos 13 y 14 del RGPD exigen informar a los interesados en el momento de la recopilación. Para las campañas QR, esto significa que tu aviso de privacidad debe cubrir específicamente los datos de escaneo.

Elementos requeridos para datos de escaneo QR:

• Identidad del responsable — tu organización, no el proveedor de la plataforma QR
• Identificación del encargado — el proveedor de la plataforma QR, nombrado explícitamente, con referencia a tu Acuerdo de Tratamiento de Datos (ATD)
• Categorías de datos recopilados — dirección IP, marca de tiempo, tipo de dispositivo, ubicación aproximada
• Base legal — cuál base utilizas y, para el interés legítimo, descripción del mismo
• Plazo de conservación — plazo específico, no "el tiempo necesario"
• Derechos de los interesados — acceso, rectificación, supresión, limitación, portabilidad y cómo ejercerlos

QR Estáticos vs. Dinámicos: La Diferencia Clave en Privacidad

La exposición al RGPD derivada de los códigos QR está determinada casi en su totalidad por una variable: si el código es estático o dinámico.

Un código QR estático que codifica una URL directamente no tiene implicaciones RGPD en la capa QR. Si el sitio web de destino trata datos personales (analíticas, cookies), se aplican las reglas RGPD habituales del sitio web, pero eso es independiente del formato QR.

Un código QR dinámico introduce un intermediario obligatorio que trata datos personales en cada escaneo. Ese tratamiento requiere base legal, un Acuerdo de Tratamiento de Datos con la plataforma QR, entradas en tu Registro de Actividades de Tratamiento (RAT) y divulgación en tu aviso de privacidad.

Para campañas donde el objetivo principal es simplemente dirigir a la gente a una URL que no va a cambiar, un código QR estático elimina la capa de redirección y su tratamiento de datos asociado.

Derechos de los Interesados y Analíticas QR

El RGPD otorga a los interesados derechos ejecutables sobre los datos personales recopilados sobre ellos. Para las analíticas de escaneo QR, estos derechos crean requisitos técnicos específicos.

Derecho de Acceso (artículo 15)

Un interesado puede solicitar una copia de todos los datos personales que tienes sobre él, incluidos los registros de escaneo QR vinculados a su dirección IP o dispositivo. Si tu plataforma almacena registros individuales de escaneo, debes poder recuperarlos y proporcionarlos en el plazo de un mes.

Derecho de Supresión (artículo 17)

Si un interesado solicita la eliminación de sus registros de escaneo, debes poder eliminarlos. Tu ATD con la plataforma QR debe exigir al proveedor que elimine los datos personales a tu instrucción. Verifica que esto sea contractualmente ejecutable.

Derecho de Oposición (artículo 21)

Si tu base legal es el interés legítimo, los interesados pueden oponerse al tratamiento. Debes dejar de tratar los datos a menos que puedas demostrar motivos legítimos imperiosos que prevalezcan sobre sus intereses.

Acuerdos de Tratamiento de Datos con Plataformas QR

Cuando usas una plataforma QR dinámica, ese proveedor trata datos personales por cuenta tuya. El artículo 28 del RGPD exige un Acuerdo de Tratamiento de Datos por escrito. Sin él, ambas partes son potencialmente responsables del tratamiento.

Un ATD conforme al RGPD con una plataforma QR debe cubrir: tratamiento solo según tus instrucciones documentadas, obligaciones de confidencialidad, medidas de seguridad técnicas y organizativas, divulgación de subencargados, asistencia con solicitudes de derechos de interesados, eliminación de datos en caso de rescisión y derechos de auditoría.

Checklist de Cumplimiento RGPD para Campañas QR

Antes de desplegar una campaña QR dinámica dirigida a usuarios de la UE:

1. Identifica al responsable — confirma que tu organización es el responsable del tratamiento de las analíticas de escaneo
2. Establece la base legal — documenta el consentimiento o completa una Evaluación de Interés Legítimo escrita
3. Firma un ATD — Acuerdo de Tratamiento de Datos firmado con tu proveedor de plataforma QR que cubra todos los requisitos del artículo 28
4. Actualiza el aviso de privacidad — añade explícitamente los datos de escaneo QR: categorías, base legal, período de retención, identidad del encargado
5. Establece límites de retención — configura tu plataforma para eliminar o anonimizar los datos brutos de escaneo dentro del período declarado (normalmente 6-12 meses para analíticas)
6. Verifica el cumplimiento de los derechos — confirma que puedes recuperar, exportar y eliminar registros individuales de escaneo si es necesario
7. Revisa los mecanismos de transferencia — si los datos de escaneo se transfieren fuera del EEE, confirma que existen CCT u otro mecanismo válido
8. Considera QR estáticos para casos sin rastreo — si no necesitas contar escaneos, un código estático elimina completamente la capa de cumplimiento

Cómo Gestiona QR Nova el Cumplimiento del RGPD

Los códigos QR estáticos generados con QR Nova son archivos de imagen independientes: ningún servidor recibe petición cuando alguien los escanea, no se registran datos, no se requiere ATD para la capa QR. Genera un código QR estático permanente — gratis, sin cuenta, sin rastreo.

Para campañas que necesiten analíticas de escaneo, los QR dinámicos de QR Nova incluyen un Acuerdo de Tratamiento de Datos estándar. Los datos de escaneo se conservan durante 12 meses y se eliminan automáticamente. No se vende ni se comparte ningún dato con redes publicitarias. Los registros individuales de escaneo son exportables y eliminables a petición. La plataforma almacena eventos de escaneo con país y ciudad derivados de IP, no direcciones IP completas en las analíticas, para reducir el impacto de datos personales manteniendo los agregados útiles para campañas.

La herramienta adecuada para el cumplimiento es la que recopila solo los datos que puedes justificar. Para muchas campañas físicas, lo que necesitas saber es cuántos escaneos se produjeron y en qué país — no el rastreo individual. Los códigos estáticos con una URL de destino que tenga sus propias analíticas gestionan eso sin ninguna recopilación de datos en la capa de redirección.

---