¿Son seguros los códigos QR? Seguimiento de QR conforme al RGPD

Los códigos QR, por sí mismos, son seguros: un código QR no es más que un patrón que guarda un fragmento de texto, casi siempre una URL. La cuestión de la privacidad aparece cuando esa URL pasa por un servicio de seguimiento. Un seguimiento de códigos QR conforme al RGPD significa que recoges solo lo necesario para contar y entender los escaneos, que cuentas con una base jurídica clara, que lo explicas en la página de destino y que eliminas o agregas los datos según un calendario fijo. Si lo haces así, la analítica de escaneos y la normativa europea de protección de datos encajan sin banner de cookies ni muro de consentimiento delante de cada redirección.

¿Es seguro escanear códigos QR y dónde está realmente el riesgo para la privacidad?

Un código QR no puede ejecutar código, instalar software ni leer nada del móvil. Es un código de barras bidimensional definido por la norma ISO/IEC 18004, y la app de la cámara simplemente decodifica el texto que contiene. Si ese texto es una URL, el teléfono muestra una vista previa y pregunta antes de abrirla. Todo lo que ocurre después es tráfico web normal.

Eso te deja dos áreas de riesgo distintas, y conviene no mezclarlas:

• Riesgo de seguridad para quien escanea. Un código malicioso, a menudo una pegatina colocada sobre uno legítimo, puede llevar a la gente a una página de phishing. Es un problema de fraude, no de protección de datos, y lo tratamos más abajo.
• Riesgo de privacidad creado por el propietario del código. Un código QR dinámico apunta a una URL corta de redirección. El servidor de redirección recibe la solicitud, la registra y después reenvía al visitante. Qué registra, durante cuánto tiempo y con qué fin es donde entra en juego el RGPD.

Así que la respuesta sincera a si los códigos QR son seguros es que sí, con una condición: la seguridad de un escaneo depende de quién controla el destino y de lo responsablemente que trate los datos que revela cada solicitud.

¿Qué datos personales recoge el escaneo de un código QR dinámico?

Cuando un móvil abre una URL de redirección, el navegador envía una solicitud HTTP estándar. Cualquier servidor web del mundo recibe los mismos campos básicos. Un sistema de analítica de escaneos los convierte en informes.

Dato	De dónde procede	¿Dato personal?
Dirección IP	Conexión de red	Sí, en la mayoría de los casos
País, región, ciudad	Derivado de la dirección IP	Por sí solo, a nivel de ciudad, normalmente no
Tipo de dispositivo, sistema operativo, navegador	Cabecera user-agent	Riesgo bajo por separado, mayor en combinación
Referente	Cabecera Referer, si se envía	Rara vez
Marca de tiempo	Reloj del servidor	Se vuelve identificativa en combinación

La clave está en la combinación. Una versión de navegador no dice nada de una persona. Una dirección IP más una marca de tiempo precisa más un modelo de dispositivo pueden identificar un teléfono concreto. El Tribunal de Justicia de la Unión Europea confirmó en 2016, en la sentencia Breyer, que incluso una dirección IP dinámica puede ser un dato personal cuando su titular dispone de medios legales para vincularla a una persona. Por eso un registro de escaneos se trata como dato personal salvo que lo reduzcas a propósito.

Si quieres profundizar en qué métricas merece la pena medir, consulta nuestra guía de analítica de escaneos QR.

¿Se aplica el RGPD al seguimiento de códigos QR?

Depende del tipo de código. Un código QR estático guarda su contenido directamente en el patrón. No hay nada entre el escaneo y el destino, así que el propietario del código no obtiene ninguna información y el RGPD no tiene nada que regular a nivel del QR. Lo que haga la web de destino es otra cuestión.

Un código QR dinámico es diferente por diseño. Hace pasar cada escaneo por un servidor para que puedas cambiar el destino más adelante y contar los escaneos. Ese servidor trata datos de la solicitud, lo que activa el RGPD siempre que quien escanea esté en la UE o la empresa esté establecida allí. La diferencia entre códigos QR estáticos y dinámicos decide, por tanto, si tienes que pensar en el cumplimiento o no.

En términos del RGPD, los roles suelen estar claros:

• La empresa que imprime el código y lee los informes es el responsable del tratamiento. Decide para qué y cómo se usan los datos de escaneo.
• La plataforma de QR que gestiona la redirección es el encargado del tratamiento. Trata los datos por cuenta del responsable.

El artículo 28 del RGPD exige un contrato de encargo del tratamiento por escrito entre ambos. Si tu proveedor de QR no puede ofrecértelo, eso ya es motivo suficiente para cambiar.

¿Qué base jurídica cubre la analítica de escaneos QR: consentimiento o interés legítimo?

Toda actividad de tratamiento necesita una de las seis bases jurídicas del artículo 6. Para el seguimiento de QR, dos son realistas.

El interés legítimo (artículo 6, apartado 1, letra f) encaja con una analítica básica y agregada. Tienes un interés razonable en saber cuántas personas escanearon un cartel, en qué ciudad y con qué tipo de dispositivo. Quien escanea espera razonablemente que un servidor registre un enlace que ha decidido abrir. La ponderación se inclina a tu favor siempre que no crees perfiles, no sigas a las personas entre sitios y conserves los datos poco tiempo. Documenta esta prueba de ponderación en unos pocos párrafos; las autoridades de control la piden.

El consentimiento (artículo 6, apartado 1, letra a) pasa a ser necesario en cuanto vas más allá. Los desencadenantes típicos son:

• instalar cookies o leer el almacenamiento local del móvil con fines de seguimiento,
• el fingerprinting del dispositivo para reconocer a quien vuelve a escanear,
• vincular escaneos a cuentas de clientes, direcciones de correo o identificadores de fidelización,
• ceder datos de escaneo a redes publicitarias para hacer retargeting.

Una redirección no puede mostrar un diálogo de consentimiento sin arruinar la experiencia de escaneo, así que la regla práctica es sencilla: mantén la redirección mínima y sin consentimiento, y lleva todo lo que lo requiera a la página de destino, donde un banner de consentimiento adecuado puede hacer su trabajo.

¿Necesitas un banner de cookies para la redirección de un código QR?

No, si la redirección no almacena ni lee nada en el dispositivo. La norma sobre cookies procede del artículo 5, apartado 3, de la Directiva ePrivacy, no del propio RGPD. Abarca el almacenamiento de información en el equipo terminal del usuario o el acceso a ella. Un servidor que lee las cabeceras estándar de la solicitud y responde con una redirección HTTP no hace ninguna de las dos cosas en sentido clásico.

Aun así, cuidado con los detalles. El Comité Europeo de Protección de Datos publicó en 2023 unas directrices que interpretan el artículo 5, apartado 3, de forma amplia e incluyen píxeles de seguimiento, enlaces de seguimiento y técnicas similares cuando se usan para acceder a información del dispositivo. Una redirección que solo registra lo que el navegador envía de todos modos está en el lado seguro. Una redirección que instala una cookie, ejecuta un script de fingerprinting o encadena varios rastreadores de terceros no lo está.

La configuración más limpia es esta: el escaneo llega a una redirección en el servidor, el servidor escribe una entrada de registro mínima y el visitante aterriza en tu página en mucho menos de un segundo. Sin cookies, sin JavaScript y sin terceros en el paso de redirección.

¿Cómo configuras paso a paso un seguimiento de códigos QR conforme al RGPD?

La mayor parte del trabajo consiste en unas pocas decisiones que tomas una vez y aplicas luego a cada campaña.

1. Elige el tipo de código adecuado. Si no necesitas analítica ni ediciones posteriores, usa un código estático y la cuestión desaparece. Para las campañas que quieras medir, usa un código QR dinámico.
2. Elige un proveedor que trate los datos en la UE. El alojamiento dentro de la UE te ahorra el papeleo adicional que exige el capítulo V del RGPD para las transferencias internacionales.
3. Firma un contrato de encargo del tratamiento. El artículo 28 lo hace obligatorio. Comprueba que mencione los subencargados y las ubicaciones de alojamiento.
4. Minimiza lo que se almacena. Pregunta si se guardan las direcciones IP completas o truncadas, y si la ubicación se resuelve solo a nivel de país o de ciudad.
5. Fija un plazo de conservación. Decide cuánto tiempo se conservan los registros de escaneo en bruto antes de eliminarlos o agregarlos. Una campaña de tres meses rara vez necesita filas de escaneos individuales durante dos años.
6. Actualiza tu aviso de privacidad. El artículo 13 te obliga a informar de qué recoges, por qué, con qué base jurídica y durante cuánto tiempo. Enlázalo en cada página de destino a la que se llegue mediante un código QR.
7. Déjalo registrado. Añade la analítica de escaneos QR a tu registro de actividades de tratamiento según el artículo 30, junto con tu evaluación del interés legítimo.

Una vez resueltos estos siete puntos, cada código nuevo hereda la configuración. No necesitas una nueva evaluación para cada cartel, solo cuando cambien la finalidad o los datos.

¿Qué pasa si el seguimiento de QR incumple el RGPD?

El riesgo no es teórico. Según el artículo 83 del RGPD, las infracciones más graves pueden sancionarse con hasta 20 millones de euros o el 4 por ciento de la facturación anual mundial, la cantidad que sea mayor. Las empresas pequeñas suelen enfrentarse a importes muy inferiores, pero el límite muestra la seriedad con la que el reglamento trata el tratamiento ilícito.

La aplicación de la norma es constante, no esporádica. Según el informe de DLA Piper sobre multas del RGPD y brechas de datos (enero de 2026), las autoridades de control europeas impusieron multas por unos 1200 millones de euros durante 2025, lo que eleva el total desde mayo de 2018 a aproximadamente 7100 millones de euros, mientras que las notificaciones de brechas promediaron 443 al día.

Las multas son solo una parte del coste. Una reclamación suele empezar con una sola persona que escaneó un código, llegó a una página sin aviso de privacidad y preguntó qué había pasado con sus datos. Responder a una solicitud de acceso del interesado en el plazo de un mes es mucho más fácil cuando tus datos de escaneo son mínimos y están documentados.

También hay una vertiente comercial. En el estudio Cisco 2025 Data Privacy Benchmark, que encuestó a 2600 profesionales de privacidad y seguridad en 12 países, el 86 por ciento afirmó que las leyes de privacidad tienen un impacto positivo en sus organizaciones y el 96 por ciento dijo que las inversiones en privacidad aportan más de lo que cuestan.

¿Cómo proteges a quien escanea frente a códigos QR maliciosos?

El cumplimiento en privacidad protege los datos de quienes escanean tus códigos. Las prácticas de seguridad protegen a las propias personas. Ambas cosas influyen en si tus clientes confían lo suficiente en tus códigos como para escanearlos.

• Usa tu propio dominio o un dominio corto reconocible. Cada vez más gente revisa la vista previa de la URL antes de tocarla. Un dominio conocido les da tranquilidad.
• Revisa los códigos en espacios públicos. Comprueba con regularidad carteles, parquímetros y tarjetas de mesa por si hay pegatinas sobre el código original.
• Nunca pidas credenciales ni pagos justo después de un escaneo, salvo que el contexto deje claro por qué. Los estafadores copian exactamente ese patrón.
• Usa HTTPS en todas partes. Tanto la redirección como la página de destino deben servirse mediante una conexión cifrada.
• Usa fechas de caducidad y límites de escaneo en los códigos que solo deban funcionar durante una campaña, para que los impresos antiguos no lleven a páginas desactualizadas o secuestradas.

Aquí un código dinámico tiene una ventaja de seguridad adicional: si descubres una ubicación manipulada o un destino desactualizado, puedes cambiar o desactivar el destino al instante sin reimprimir nada.

Preguntas frecuentes

¿Puede un código QR recoger datos por sí solo?

No. Un código QR es un patrón estático que guarda texto. Solo se recogen datos cuando la URL escaneada lleva a un servidor que registra las solicitudes, que es lo que hacen los códigos QR dinámicos y las webs normales.

¿Un código QR estático cumple el RGPD por defecto?

A nivel de código, sí, porque no se hace ningún seguimiento entre el escaneo y el destino. La web que abre el código sigue necesitando su propio aviso de privacidad y, si usa cookies, su propio banner de consentimiento.

¿Necesito consentimiento para contar los escaneos de un código QR?

Normalmente no para recuentos agregados por hora, país y tipo de dispositivo, que pueden basarse en el interés legítimo. Sí lo necesitas si añades cookies, fingerprinting o seguimiento entre sitios, o si vinculas escaneos a registros de clientes identificables.

¿Cuánto tiempo debo conservar los datos de escaneo QR?

El RGPD no fija un plazo concreto; exige que no conserves los datos más tiempo del necesario. Ajusta la conservación a la finalidad, por ejemplo la duración de la campaña más un periodo de revisión, y agrega los datos antiguos en estadísticas.

¿Importa dónde aloja sus servidores mi proveedor de códigos QR?

Sí. El alojamiento dentro de la UE mantiene los datos de escaneo en el marco del RGPD y evita las garantías de transferencia exigidas para el tratamiento en terceros países, lo que simplifica mucho tu documentación.

Haz un seguimiento responsable de tus códigos QR con QRiety

QRiety lo desarrolla un equipo con sede en la UE y te ofrece códigos QR dinámicos cuyo destino puedes cambiar en cualquier momento, con analítica de escaneos por ubicación, dispositivo y hora. Los códigos estáticos son ilimitados y nunca caducan en ningún plan, así que puedes elegir la opción más ligera cuando no necesites seguimiento. Crea gratis tu primer código QR y mantén el control de tus datos de escaneo.