Che si tratti di volantini, confezioni di prodotti o manifesti, i codici QR sono indispensabili nel marketing moderno. Ma attenzione: sebbene quasi tutti i principali generatori internazionali di codici QR vantino la “conformità al GDPR”, questi codici violano sistematicamente la normativa vigente quando vengono scansionati da utenti europei.
Per le aziende, le società e gli enti pubblici, ciò comporta un rischio di responsabilità civile incalcolabile. Grazie al nostro strumento gratuito “GDPR Short URL Auditor”, potrete verificare in tempo reale se il vostro attuale fornitore soddisfa realmente i rigorosi requisiti previsti dai responsabili della sicurezza informatica e della protezione dei dati, oppure se correte il rischio di ricevere una lettera di diffida.
Basta inserire lì un URL abbreviato qualsiasi oppure selezionare uno dei provider più noti dall'elenco per avviare il test in tempo reale.
Risultato del test del verificatore di codici QR GDPR Chiunque sia alla ricerca di un generatore di codici QR si imbatterà in banner ben visibili di quasi tutti i principali fornitori internazionali su cui si legge “conforme al DSGVO” o “conforme al GDPR”. Ma se si esamina la realtà tecnica – ovvero il percorso che i dati dell’utente seguono effettivamente nel momento della scansione – emerge un quadro completamente diverso.
Il problema: molti fornitori sostengono di essere conformi perché gestiscono correttamente i dati dei propri clienti. Ciò che spesso omettono di menzionare o ignorano è l’infrastruttura di instradamento. Non appena un utente europeo scansiona un codice QR, il suo indirizzo IP che ai sensi del GDPR costituisce un dato personale viene trasmesso al server di instradamento. Se tale server si trova in un paese terzo privo di un livello adeguato di protezione dei dati, oppure se vengono impostati cookie di tracciamento senza consenso, si è già verificata una violazione della protezione dei dati.
Una panoramica della situazione: i servizi di codici QR più diffusi QR Planet, bit.ly, Uniqode, ecc. vengono sottoposti a una verifica tecnica
| Fornitore / Servizio | Conforme al GDPR | Realtà: Sede centrale dell'azienda | Legge sull'ePrivacy
| Fornitore di hosting
| Reality: Elaborazione dei dati e reindirizzamento |
|---|
| QR Planet | ✅ | Austria UE | ✔ Conforme
| ✔ Hetzner Germania
| Infrastruttura server interamente in Germania Hetzner. Nessun cookie di tracciamento persistente durante il reindirizzamento.
|
| Uniqode precedentemente Beaconstac | ❌
| USA Uniqode Phygital Inc. | ❌ cookie non autorizzati
| ✔ AWS Germania
| L'infrastruttura dati instrada le richieste attraverso server statunitensi senza decisioni di adeguatezza DPF riconosciute |
| QR Code Tiger qr1.be | ❌
| Singapore QRTIGER PTE. LTD. | ✔ Conforme
| ✖ DigitalOcean USA
| I server di reindirizzamento operano in un paese terzo senza specifiche decisioni di adeguatezza dell'UE |
| Bitly | ❌
| USA Bitly, Inc. | ❌ Cookie non autorizzati
| ✖ Bitly USA
| Si affida in larga misura all’infrastruttura statunitense e imposta frequentemente cookie di analisi durante il reindirizzamento degli URL abbreviati prima che l’utente dia il proprio consenso. |
Le due insidie più comuni del GDPR relative agli URL abbreviati e ai codici QR
Nell'analizzare i link delle tue campagne attuali, dovresti prestare particolare attenzione a questi due punti fondamentali, che i provider internazionali quasi sempre trascurano:
- Trasferimento illegale verso paesi terzi giurisdizione del server: se i server che gestiscono il reindirizzamento si trovano al di fuori del SEE Spazio economico europeo e non si applica alcun accordo, come ad esempio il quadro normativo UE-USA sulla protezione dei dati, il trasferimento dell’indirizzo IP dell’utente è vietato senza il previo consenso esplicito dell’utente.
- Cookie senza consenso Direttiva ePrivacy: se uno strumento imposta un cookie di tracciamento o di analisi persistente durante la frazione di secondo necessaria per inoltrare i dati, ciò costituisce una violazione diretta della Direttiva UE sui cookie ePrivacy. Dopotutto, in quel momento l’utente non ha ancora avuto alcuna possibilità di cliccare su un banner relativo ai cookie.
Come funziona il revisore? I tre pilastri della protezione dei dati
Il nostro strumento analizza attentamente l'URL di destinazione e valuta il fornitore sulla base dei tre pilastri fondamentali della normativa sulla protezione dei dati:
1. Giurisdizione di hosting Dove si trova il server?
Il revisore identifica l'indirizzo IP associato all'URL abbreviato e individua il Paese in cui si trova il server che gestisce il reindirizzamento.
- Perché è importante: se il server si trova al di fuori dell’UE ad esempio, negli Stati Uniti, i metadati dell’utente come l’indirizzo IP vengono immediatamente trasferiti verso un paese terzo al momento della scansione del codice QR. In assenza di garanzie giuridiche, ciò costituisce una grave violazione del GDPR.
- L’eccezione: se il server è gestito da un’azienda statunitense, tale azienda deve aver aderito al Quadro UE-USA sulla protezione dei dati DPF per poter ricevere legalmente dati dall’Europa.
2. Sede della società Dove ha sede il fornitore?
In questo caso, lo strumento verifica dove il fornitore abbia registrato la propria sede principale.
- Perché è importante: idealmente , il fornitore dovrebbe avere sede nell’UE. Se ha sede al di fuori dell’UE, la situazione si complica. Ciò è particolarmente critico quando si tratta di fornitori statunitensi.
- Il problema degli Stati Uniti CLOUD Act: le aziende statunitensi sono tenute per legge a concedere alle autorità statunitensi come l’FBI o la NSA l’accesso ai propri dati su richiesta, in tutto il mondo, indipendentemente dal fatto che il server si trovi fisicamente a Francoforte, Dublino o nell’Oregon. Questa possibilità di accedere ai dati in modo segreto è in diretto conflitto con il GDPR.
3. Direttiva UE sui cookie / Direttiva e-privacy Vengono impostati cookie senza previa richiesta?
Questo test verifica se, durante il processo di reindirizzamento, il server inserisce cookie nel browser dell'utente o carica script di tracciamento senza autorizzazione.
- Perché è importante: secondo la direttiva ePrivacy, è severamente vietato memorizzare informazioni sul dispositivo di un utente senza il suo previo consenso attivo opt-in. Se un fornitore imposta un cookie di tracciamento semplicemente inoltrando dati senza il consenso dell’utente, ciò costituisce una violazione diretta della legge.
Comprendere i risultati del test: quando il test è considerato superato
Al termine dell'analisi, il revisore vi fornirà un risultato chiaro. Sono possibili due esiti:
- Via libera conformità al 100%: il fornitore supera tutti e tre i test.
- Semaforo rosso criterio di esclusione: almeno uno dei tre test non viene superato. In questo caso, è necessario verificare con urgenza se è possibile utilizzare questo fornitore per le proprie campagne nel rispetto della normativa vigente.
1. Giurisdizione competente in materia di hosting
✅ L'infrastruttura del server di routing si trova all'interno dello Spazio economico europeo SEE.
❌ Il server di routing elabora le richieste al di fuori dell'Unione europea senza garanzie riconosciute.
2. Situazione aziendale
✅ Il fornitore ha sede nell’UE, oppure la società non europea è in possesso di una certificazione attiva ai sensi del Quadro UE-USA sulla protezione dei dati DPF o utilizza le Clausole Contrattuali Standard SCC riconosciute.
❌ Poiché la società ha sede negli Stati Uniti, è soggetta al CLOUD Act rischio di accesso da parte delle autorità statunitensi oppure opera in paesi terzi come Singapore senza aver concordato con i propri clienti le necessarie garanzie contrattuali SCC.
3. Direttiva UE sui cookie / Direttiva ePrivacy
✅ Durante il reindirizzamento non sono stati rilevati cookie o script di tracciamento non autorizzati.
❌ Non conforme. È stato effettuato un tentativo di inserire un cookie di tracciamento sul dispositivo dell'utente prima che questi avesse prestato il proprio consenso.
Perché con QR Planet sei in buone mani
In qualità di fornitore europeo con sede in Austria, sviluppiamo e gestiamo la nostra infrastruttura di codici QR nel rispetto del principio del “Privacy by Design ”:
- Senza eccezioni, i nostri server sono ospitati in data center europei altamente sicuri.
- Siamo un'azienda austriaca e pertanto non siamo soggetti al CLOUD Act statunitense. Non condividiamo alcun dato con agenzie di intelligence straniere.
- Il nostro sistema standard di tracciamento dei reindirizzamenti è al 100% privo di cookie. Rispettiamo la privacy dei vostri clienti fin dal primo istante.
Fai subito il test e metti alla prova il tuo attuale fornitore di servizi di codici QR:
Verifica la conformità del tuo codice QR al GDPR! Fonti