Les QR codes sont-ils sûrs ? Le suivi des QR codes conforme au RGPD

Un QR code n'a rien de dangereux en soi : ce n'est qu'un motif qui contient un texte, le plus souvent une URL. La question de la vie privée se pose au moment où cette URL passe par un service de suivi. Un suivi de QR code conforme au RGPD signifie que vous ne collectez que ce qui est utile pour compter et comprendre les scans, que vous disposez d'une base légale claire, que vous en informez les personnes sur la page de destination et que vous supprimez ou agrégez les données selon un calendrier défini. Ainsi organisés, l'analyse des scans et le droit européen de la protection des données cohabitent sans bannière cookies ni écran de consentement devant chaque redirection.

Scanner un QR code est-il sûr, et où se situe réellement le risque pour la vie privée ?

Un QR code ne peut ni exécuter de code, ni installer de logiciel, ni lire quoi que ce soit sur un téléphone. Il s'agit d'un code-barres bidimensionnel défini par la norme ISO/IEC 18004, et l'application appareil photo se contente de décoder le texte qu'il contient. Si ce texte est une URL, le téléphone affiche un aperçu et demande avant de l'ouvrir. Tout ce qui suit relève du trafic web ordinaire.

Il existe donc deux zones de risque distinctes :

• Le risque de sécurité pour la personne qui scanne. Un code malveillant, souvent un autocollant posé sur un code légitime, peut renvoyer vers une page d'hameçonnage. Il s'agit d'un problème de fraude, pas de protection des données, et nous l'abordons plus bas.
• Le risque pour la vie privée créé par le propriétaire du code. Un QR code dynamique pointe vers une URL de redirection courte. Le serveur de redirection reçoit la requête, l'enregistre, puis transfère le visiteur. Ce qu'il enregistre, pendant combien de temps et dans quel but : c'est là qu'intervient le RGPD.

La réponse honnête à la question « les QR codes sont-ils sûrs » est donc oui, sous condition : la sécurité d'un scan dépend de la personne qui contrôle la destination et du soin avec lequel elle traite les données que chaque requête révèle.

Quelles données personnelles un scan de QR code dynamique collecte-t-il ?

Lorsqu'un téléphone ouvre une URL de redirection, le navigateur envoie une requête HTTP standard. Tous les serveurs web du monde reçoivent les mêmes champs de base. Un système d'analyse des scans les transforme en rapports.

Donnée	Origine	Donnée personnelle ?
Adresse IP	Connexion réseau	Oui, dans la plupart des cas
Pays, région, ville	Déduits de l'adresse IP	Généralement pas à elle seule au niveau de la ville
Type d'appareil, système d'exploitation, navigateur	En-tête user-agent	Risque faible isolément, plus élevé en combinaison
Référent	En-tête Referer, s'il est transmis	Rarement
Horodatage	Horloge du serveur	Devient identifiant en combinaison

Tout se joue dans la combinaison. Une version de navigateur ne dit rien d'une personne. Une adresse IP, un horodatage précis et un modèle d'appareil réunis peuvent isoler un téléphone. Dans son arrêt Breyer de 2016, la Cour de justice de l'Union européenne a confirmé qu'une adresse IP, même dynamique, peut constituer une donnée personnelle lorsque son détenteur dispose de moyens légaux pour la relier à une personne. C'est pourquoi un journal de scans est considéré comme une donnée personnelle, sauf si vous le réduisez délibérément.

Pour savoir quels indicateurs méritent d'être suivis, consultez notre guide de l'analyse des scans de QR codes.

Le RGPD s'applique-t-il vraiment au suivi des QR codes ?

Tout dépend du type de code. Un QR code statique stocke son contenu directement dans le motif. Rien ne s'intercale entre le scan et la destination : le propriétaire du code n'apprend rien et le RGPD n'a rien à encadrer au niveau du QR code. Le site de destination est une autre question.

Un QR code dynamique fonctionne différemment par conception. Il fait passer chaque scan par un serveur afin que vous puissiez modifier la destination plus tard et compter les scans. Ce serveur traite les données de la requête, ce qui rend le RGPD applicable dès que la personne qui scanne se trouve dans l'UE ou que l'entreprise y est établie. La différence entre QR codes statiques et dynamiques détermine donc si la conformité vous concerne.

Au sens du RGPD, les rôles sont généralement clairs :

• L'entreprise qui imprime le code et consulte les rapports est le responsable du traitement. Elle décide pourquoi et comment les données de scan sont utilisées.
• La plateforme QR qui gère la redirection est un sous-traitant. Elle traite les données pour le compte du responsable du traitement.

L'article 28 du RGPD impose un contrat de sous-traitance écrit entre les deux. Si votre fournisseur de QR codes ne peut pas vous en fournir un, c'est à lui seul une raison d'en changer.

Quelle base légale pour l'analyse des scans : consentement ou intérêt légitime ?

Tout traitement doit reposer sur l'une des six bases légales de l'article 6. Pour le suivi des QR codes, deux sont réalistes.

L'intérêt légitime (article 6, paragraphe 1, point f) convient aux analyses simples et agrégées. Vous avez un intérêt raisonnable à savoir combien de personnes ont scanné une affiche, dans quelle ville et avec quel type d'appareil. La personne qui scanne s'attend raisonnablement à ce qu'un lien qu'elle a choisi d'ouvrir soit enregistré par un serveur. La mise en balance penche en votre faveur tant que vous ne créez pas de profils, ne suivez pas les personnes d'un site à l'autre et conservez les données peu de temps. Documentez cette mise en balance en quelques paragraphes : les autorités de contrôle la demandent.

Le consentement (article 6, paragraphe 1, point a) devient nécessaire dès que vous allez au-delà. Les déclencheurs typiques sont :

• le dépôt de cookies ou la lecture du stockage local du téléphone à des fins de suivi,
• l'empreinte numérique de l'appareil pour reconnaître les personnes qui scannent à nouveau,
• le rattachement des scans à des comptes clients, des adresses e-mail ou des identifiants de fidélité,
• la transmission des données de scan à des régies publicitaires à des fins de reciblage.

Une redirection ne peut pas afficher de fenêtre de consentement sans ruiner l'expérience de scan. La règle pratique est donc simple : gardez la redirection elle-même minimale et sans consentement, et déplacez tout ce qui en requiert un vers la page de destination, où une véritable bannière de consentement peut jouer son rôle.

Faut-il une bannière cookies pour la redirection d'un QR code ?

Non, si la redirection ne stocke ni ne lit rien sur l'appareil. La règle sur les cookies découle de l'article 5, paragraphe 3, de la directive ePrivacy, et non du RGPD lui-même. Elle vise le stockage d'informations sur l'équipement terminal d'un utilisateur ou l'accès à des informations qui s'y trouvent. Un serveur qui lit les en-têtes de requête standard et répond par une redirection HTTP ne fait ni l'un ni l'autre au sens classique.

Le Comité européen de la protection des données a publié en 2023 des lignes directrices qui interprètent largement l'article 5, paragraphe 3, en y incluant les pixels de suivi, les liens de suivi et les techniques similaires lorsqu'ils servent à accéder à des informations sur l'appareil. Une redirection qui se contente d'enregistrer ce que le navigateur envoie de toute façon reste du bon côté. Une redirection qui dépose un cookie, exécute un script d'empreinte numérique ou enchaîne plusieurs traceurs tiers ne l'est pas.

La configuration la plus propre ressemble à ceci : le scan atteint une redirection côté serveur, le serveur écrit une entrée de journal minimale et le visiteur arrive sur votre page en bien moins d'une seconde. Pas de cookies, pas de JavaScript, pas de tiers à l'étape de redirection.

Comment mettre en place un suivi de QR code conforme au RGPD, étape par étape ?

L'essentiel se résume à quelques décisions prises une fois pour toutes les campagnes.

1. Choisissez le bon type de code. Si vous n'avez besoin ni d'analyses ni de modifications ultérieures, utilisez un code statique et la question disparaît. Pour les campagnes que vous souhaitez mesurer, utilisez un QR code dynamique.
2. Choisissez un fournisseur qui traite les données dans l'UE. Un hébergement dans l'UE vous épargne les formalités supplémentaires exigées par le chapitre V du RGPD pour les transferts internationaux.
3. Signez un contrat de sous-traitance. L'article 28 le rend obligatoire. Vérifiez qu'il mentionne les sous-traitants ultérieurs et les lieux d'hébergement.
4. Réduisez ce qui est stocké. Demandez si les adresses IP sont conservées en entier ou tronquées, et si la localisation est déterminée uniquement au niveau du pays ou de la ville.
5. Fixez une durée de conservation. Décidez combien de temps les journaux de scans bruts sont gardés avant d'être supprimés ou agrégés. Une campagne de trois mois a rarement besoin de lignes de scan individuelles pendant deux ans.
6. Mettez à jour votre politique de confidentialité. L'article 13 vous oblige à indiquer ce que vous collectez, pourquoi, sur quelle base légale et pour combien de temps. Ajoutez-y un lien sur chaque page de destination atteinte via un QR code.
7. Consignez-le. Inscrivez l'analyse des scans de QR codes dans votre registre des activités de traitement au titre de l'article 30, avec votre évaluation de l'intérêt légitime.

Une fois ces sept points réglés, chaque nouveau code hérite de cette configuration. Inutile de refaire une évaluation pour chaque affiche : seulement lorsque la finalité ou les données changent.

Que se passe-t-il si le suivi des QR codes enfreint le RGPD ?

Le risque n'a rien de théorique. Selon l'article 83 du RGPD, les infractions les plus graves peuvent être sanctionnées par une amende pouvant atteindre 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les petites entreprises s'exposent à des montants bien inférieurs, mais ce plafond montre le sérieux avec lequel le règlement traite les traitements illicites.

Les sanctions sont régulières, pas ponctuelles. D'après le DLA Piper GDPR Fines and Data Breach Survey (janvier 2026), les autorités de contrôle européennes ont infligé environ 1,2 milliard d'euros d'amendes en 2025, portant le total depuis mai 2018 à quelque 7,1 milliards d'euros, tandis que les notifications de violations de données atteignaient en moyenne 443 par jour.

Les amendes ne représentent qu'une partie du coût. Une plainte commence généralement par une seule personne qui a scanné un code, est arrivée sur une page sans politique de confidentialité et a demandé ce qu'il était advenu de ses données. Répondre à une demande d'accès dans le délai d'un mois est bien plus simple lorsque vos données de scan sont minimales et documentées.

Il y a aussi un enjeu commercial. Dans le Cisco 2025 Data Privacy Benchmark Study, qui a interrogé 2 600 professionnels de la vie privée et de la sécurité dans 12 pays, 86 pour cent estiment que les lois sur la protection de la vie privée ont un impact positif sur leur organisation et 96 pour cent déclarent que les investissements dans ce domaine rapportent plus qu'ils ne coûtent.

Comment protéger les utilisateurs contre les QR codes malveillants ?

La conformité protège les données des personnes qui scannent vos codes. Les bonnes pratiques de sécurité protègent les personnes elles-mêmes. Les deux conditionnent la confiance de vos clients.

• Utilisez votre propre domaine ou un domaine court reconnaissable. Les gens vérifient de plus en plus l'aperçu de l'URL avant de toucher l'écran. Un domaine familier les rassure.
• Contrôlez les codes placés dans des lieux publics. Vérifiez régulièrement affiches, horodateurs et chevalets de table pour repérer d'éventuels autocollants posés sur le code d'origine.
• Ne demandez jamais d'identifiants ou de paiement juste après un scan, sauf si le contexte le justifie de manière évidente. C'est précisément ce schéma que copient les fraudeurs.
• Utilisez HTTPS partout. La redirection comme la page de destination doivent être servies via une connexion chiffrée.
• Utilisez des dates d'expiration et des limites de scans pour les codes qui ne doivent fonctionner que pendant une campagne, afin que d'anciens imprimés ne mènent pas à des pages obsolètes ou détournées.

Un code dynamique offre ici un avantage de sécurité supplémentaire : si vous découvrez un emplacement falsifié ou une destination obsolète, vous pouvez modifier ou désactiver la cible instantanément, sans rien réimprimer.

Questions fréquentes

Un QR code peut-il collecter des données par lui-même ?

Non. Un QR code est un motif statique qui contient du texte. Des données ne sont collectées que lorsque l'URL scannée mène à un serveur qui enregistre les requêtes, ce que font les QR codes dynamiques et les sites web ordinaires.

Un QR code statique est-il conforme au RGPD par défaut ?

Au niveau du code, oui, car rien n'est suivi entre le scan et la destination. Le site ouvert par le code a toutefois besoin de sa propre politique de confidentialité et, s'il utilise des cookies, de sa propre bannière de consentement.

Faut-il un consentement pour compter les scans de QR codes ?

En général non pour des comptages agrégés par période, pays et type d'appareil, qui peuvent reposer sur l'intérêt légitime. Un consentement est en revanche nécessaire si vous ajoutez des cookies, une empreinte numérique, un suivi intersites ou si vous rattachez les scans à des fiches clients identifiables.

Combien de temps conserver les données de scan ?

Le RGPD ne fixe pas de durée précise ; il exige de ne pas conserver les données plus longtemps que nécessaire. Alignez la conservation sur la finalité, par exemple la durée de la campagne plus une période d'évaluation, et agrégez les données plus anciennes en statistiques.

L'emplacement des serveurs de votre fournisseur de QR codes a-t-il de l'importance ?

Oui. Un hébergement dans l'UE maintient les données de scan dans le cadre du RGPD et évite les garanties exigées pour les transferts vers des pays tiers, ce qui simplifie considérablement votre documentation.

Suivez vos QR codes de manière responsable avec QRiety

QRiety est développé par une équipe basée dans l'UE et vous propose des QR codes dynamiques dont vous pouvez modifier la destination à tout moment, avec une analyse des scans par lieu, appareil et période. Les codes statiques sont illimités et n'expirent jamais, quel que soit votre forfait : vous pouvez donc choisir l'option la plus légère dès que le suivi n'est pas nécessaire. Créez votre premier QR code gratuitement et gardez le contrôle de vos données de scan.