Niezaleznie od tego, czy chodzi o ulotki, opakowania produktów czy plakaty, kody QR są nieodzownym elementem współczesnego marketingu. Nalezy jednak zachować ostrozność: choć niemal wszystkie największe międzynarodowe serwisy generujące kody QR reklamują się jako „zgodne z RODO”, to w rzeczywistości systematycznie naruszają obowiązujące przepisy, gdy kody te są skanowane przez uzytkowników z Europy.
Dla firm, korporacji i agencji rządowych stanowi to nieocenione ryzyko związane z odpowiedzialnością prawną. Dzięki naszemu bezpłatnemu narzędziu „GDPR Short URL Auditor” mozesz w czasie rzeczywistym sprawdzić, czy Twój obecny dostawca rzeczywiście spełnia rygorystyczne wymagania specjalistów ds. bezpieczeństwa IT i ochrony danych – czy tez grozi Ci otrzymanie upomnienia.
Wystarczy wpisać tam dowolny skrócony adres URL lub wybrać jednego z popularnych dostawców z listy, aby rozpocząć test na zywo.
Wynik testu audytora kodów QR w ramach RODO Dylemat „odznaki zgodności”: dlaczego obietnice marketingowe są często mylące
Kazdy, kto szuka generatora kodów QR, natrafi na widoczne banery niemal wszystkich głównych międzynarodowych dostawców z napisem „zgodny z DSGVO” lub „zgodny z RODO”. Jeśli jednak przyjrzeć się rzeczywistości technicznej – czyli ściezce, jaką faktycznie pokonują dane uzytkownika w momencie skanowania – wyłania się zupełnie inny obraz.
Problem: Wielu dostawców twierdzi, ze przestrzega przepisów, poniewaz właściwie zarządza danymi swoich klientów. Często jednak pomijają oni kwestię infrastruktury routingu lub w ogóle o niej nie wspominają. Gdy tylko uzytkownik z Europy zeskanuje kod QR, jego adres IP który zgodnie z RODO stanowi dane osobowe jest przekazywany do serwera routingu. Jeśli serwer ten znajduje się w państwie trzecim, w którym nie zapewniono odpowiedniego poziomu ochrony danych, lub jeśli pliki cookie słuzące do śledzenia są umieszczane bez zgody uzytkownika, dochodzi juz do naruszenia przepisów o ochronie danych.
Przegląd sytuacji: popularne serwisy oferujące kody QR QR Planet, bit.ly, Uniqode itp. poddane audytowi technicznemu
| Dostawca / Usługa | Zgodność z RODO | Rzeczywistość: Siedziba firmy | Ustawa o prywatności elektronicznej
| Dostawca usług hostingowych
| Reality: Przetwarzanie danych i przekierowanie |
|---|
| QR Planet | ✅ | Austria UE | ✔ Zgodność
| ✔ Hetzner Niemcy
| Infrastruktura serwerowa w całości w Niemczech Hetzner. Brak trwałych plików cookie śledzących podczas przekierowania.
|
| Uniqode dawniej Beaconstac | ❌
| USA Uniqode Phygital Inc. | ❌ nieautoryzowane pliki cookie
| ✔ AWS Niemcy
| Infrastruktura danych przekierowuje ządania przez serwery w USA, dla których nie wydano uznanych decyzji o adekwatności w ramach DPF |
| QR Code Tiger qr1.be | ❌
| Singapur QRTIGER PTE. LTD. | ✔ Zgodny
| ✖ DigitalOcean USA
| Serwery przekierowujące działają w państwie trzecim, w odniesieniu do którego nie wydano konkretnych decyzji UE o adekwatności |
| Bitly | ❌
| USA Bitly, Inc. | ❌ Nieautoryzowane pliki cookie
| ✖ Bitly USA
| W znacznym stopniu opiera się na infrastrukturze w USA i często ustawia analityczne pliki cookie podczas przekierowania skróconych adresów URL, zanim uzytkownik wyrazi zgodę. |
Stan na dzień 15 lipca 2026 r.
Dwie najczęstsze pułapki związane z RODO dotyczące skróconych adresów URL i kodów QR
Analizując linki w swoich biezących kampaniach, nalezy zwrócić szczególną uwagę na te dwa kluczowe aspekty, które międzynarodowi dostawcy niemal zawsze pomijają:
- Nielegalne przekazywanie danych do państw trzecich jurysdykcja serwerów: Jeśli serwery przetwarzające przekierowanie znajdują się poza EOG Europejskim Obszarem Gospodarczym i nie ma zastosowania zadna umowa, taka jak Ramy ochrony danych UE–USA, przekazywanie adresu IP uzytkownika bez wyraźnej, uprzedniej zgody skanera jest zabronione.
- Pliki cookie bez zgody dyrektywa o prywatności i łączności elektronicznej: Jeśli narzędzie ustawia trwały plik cookie słuzący do śledzenia lub analizy w ciągu ułamka sekundy, jaki zajmuje przekazanie danych, stanowi to bezpośrednie naruszenie unijnej dyrektywy w sprawie plików cookie ePrivacy. W końcu w tym momencie uzytkownik nie miał jeszcze mozliwości kliknięcia banera informującego o plikach cookie.
Jak działa audytor? Trzy filary ochrony danych
Nasze narzędzie dokładnie analizuje docelowy adres URL i ocenia dostawcę w oparciu o trzy kluczowe filary przepisów dotyczących ochrony danych:
1. Jurysdykcja dostawcy usług hostingowych Gdzie znajduje się serwer?
Audytor identyfikuje adres IP powiązany z krótkim adresem URL i ustala kraj, w którym znajduje się serwer obsługujący przekierowanie.
- Dlaczego ma to znaczenie: Jeśli serwer znajduje się poza UE np. w Stanach Zjednoczonych, metadane uzytkownika takie jak adres IP są natychmiast przekazywane do państwa trzeciego w momencie zeskanowania kodu QR. Bez odpowiednich zabezpieczeń prawnych stanowi to powazne naruszenie RODO.
- Wyjątek: Jeśli serwer jest obsługiwany przez firmę amerykańską, firma ta musi być stroną Ramy Ochrony Danych UE–USA DPF, aby móc legalnie otrzymywać dane z Europy.
2. Status firmy Gdzie znajduje się siedziba dostawcy?
W tym miejscu narzędzie sprawdza, gdzie dostawca zarejestrował swoją główną siedzibę.
- Dlaczego ma to znaczenie: Najlepiej , aby dostawca miał siedzibę w UE. Jeśli ma siedzibę poza UE, sprawa się komplikuje. Ma to szczególne znaczenie w przypadku dostawców z USA.
- Problem związany ze Stanami Zjednoczonymi ustawa CLOUD Act: Amerykańskie firmy są prawnie zobowiązane do udzielenia amerykańskim organom takim jak FBI czy NSA dostępu do swoich danych na ządanie – na całym świecie, niezaleznie od tego, czy serwer fizycznie znajduje się we Frankfurcie, Dublinie czy w Oregonie. Ta mozliwość potajemnego dostępu do danych stoi w bezpośredniej sprzeczności z rozporządzeniem RODO.
3. Dyrektywa UE w sprawie plików cookie / Dyrektywa o prywatności i łączności elektronicznej Czy pliki cookie są zapisywane bez pytania o zgodę?
Ten test sprawdza, czy serwer umieszcza pliki cookie w przeglądarce uzytkownika lub ładuje skrypty śledzące bez zgody uzytkownika podczas procesu przekierowania.
- Dlaczego ma to znaczenie: Zgodnie z dyrektywą o prywatności i łączności elektronicznej przechowywanie informacji na urządzeniu uzytkownika bez jego uprzedniej, wyraźnej zgody opt-in jest surowo zabronione. Jeśli dostawca umieszcza plik cookie słuzący do śledzenia, po prostu przekazując dane bez zgody uzytkownika, stanowi to bezpośrednie naruszenie prawa.
Jak interpretować wyniki testu: Kiedy uznaje się, ze test został zaliczony
Po przeprowadzeniu analizy audytor przedstawi Państwu jednoznaczny wynik. Mozliwe są dwa wyniki:
- Zielone światło 100% zgodności: Dostawca spełnia wszystkie trzy kryteria.
- Czerwone światło kryterium dyskwalifikujące: Co najmniej jeden z trzech testów zakończył się niepowodzeniem. W takim przypadku nalezy pilnie sprawdzić, czy mozna korzystać z usług tego dostawcy w ramach swoich kampanii w sposób zgodny z prawem.
Scenariusze wyników: zgodność z RODO lub ryzyko
1. Jurysdykcja dostawcy usług hostingowych
✅ Infrastruktura serwera routingu znajduje się na terenie Europejskiego Obszaru Gospodarczego EOG.
❌ Serwer routingu przetwarza ządania poza terytorium Unii Europejskiej bez uznanych zabezpieczeń.
2. Status spółki
✅ Dostawca ma siedzibę w UE lub firma spoza Europy posiada wazny certyfikat w ramach ram ochrony danych UE–USA DPF albo stosuje uznane standardowe klauzule umowne SCC.
❌ Poniewaz firma ma siedzibę w Stanach Zjednoczonych, podlega przepisom ustawy CLOUD Act ryzyko uzyskania dostępu przez władze amerykańskie lub prowadzi działalność w krajach trzecich takich jak Singapur bez uzgodnienia z klientami niezbędnych zabezpieczeń umownych SCC.
3. Dyrektywa UE w sprawie plików cookie / Dyrektywa o prywatności i łączności elektronicznej
✅ Podczas przekierowania nie wykryto zadnych nieautoryzowanych plików cookie ani skryptów śledzących.
❌ Niezgodność z przepisami. Podjęto próbę umieszczenia pliku cookie słuzącego do śledzenia na urządzeniu uzytkownika przed uzyskaniem jego zgody.
Dlaczego z QR Planet jesteś w dobrych rękach
Jako europejski dostawca z siedzibą w Austrii tworzymy i obsługujemy naszą infrastrukturę kodów QR zgodnie z zasadą „Privacy by Design ”:
- Wszystkie nasze serwery bez wyjątku znajdują się w europejskich centrach danych o wysokim poziomie bezpieczeństwa.
- Jesteśmy firmą austriacką, dlatego nie podlegamy amerykańskiej ustawie CLOUD Act. Nie udostępniamy zadnych danych zagranicznym agencjom wywiadowczym.
- Nasze standardowe śledzenie przekierowań jest w 100% wolne od plików cookie. Szanujemy prywatność Państwa klientów od pierwszej sekundy.
Zrób test juz teraz i sprawdź, na co stać Twojego obecnego dostawcę usług związanych z kodami QR:
Sprawdź, czy Twój kod QR jest zgodny z RODO! Źródła