QR kodlar güvenli mi? GDPR uyumlu QR kod takibi rehberi

QR kodların kendisi güvenlidir: bir QR kod, çoğu zaman bir URL olan küçük bir metin parçasını saklayan bir desenden ibarettir. Gizlilik sorusu, bu URL bir takip hizmetinden geçtiği anda başlar. GDPR (Genel Veri Koruma Tüzüğü) ile uyumlu QR kod takibi, taramaları saymak ve anlamak için yalnızca gerçekten ihtiyaç duyduğun verileri toplaman, bunun için açık bir hukuki dayanağının olması, açılış sayfasında insanları bu konuda bilgilendirmen ve verileri belirli bir takvime göre silmen ya da toplulaştırman anlamına gelir. Bu şekilde ilerlediğinde tarama analitiği ile Avrupa veri koruma hukuku, her yönlendirmenin önüne bir çerez bandı ya da onay duvarı koymana gerek kalmadan birbirine uyum sağlar.

QR kodları taramak güvenli mi ve gizlilik riski aslında nerede yatıyor?

Bir QR kod kod çalıştıramaz, yazılım yükleyemez ve telefondan hiçbir şey okuyamaz. ISO/IEC 18004 standardıyla tanımlanmış iki boyutlu bir barkoddur ve kamera uygulaması yalnızca içindeki metni çözer. Bu metin bir URL ise telefon sana bir önizleme gösterir ve açmadan önce onayını ister. Bundan sonra olan her şey sıradan web trafiğidir.

Bu da karşına birbirinden ayrı iki risk alanı çıkarır ve bunları birbirinden ayırarak düşünmek işini kolaylaştırır:

• Tarayan kişi için güvenlik riski. Çoğu zaman meşru bir kodun üzerine yapıştırılmış bir etiket olan kötü niyetli bir kod, insanları bir oltalama (phishing) sayfasına gönderebilir. Bu bir veri koruma sorunu değil, bir dolandırıcılık sorunudur ve yazının ilerleyen bölümlerinde ele alınıyor.
• Kod sahibinin yarattığı gizlilik riski. Dinamik QR kod (dynamic QR code), kısa bir yönlendirme URL’sine işaret eder. Yönlendirme sunucusu isteği görür, kayda alır ve ardından ziyaretçiyi hedef adrese iletir. Neyi kaydettiği, ne kadar süre sakladığı ve bunu neden yaptığı, GDPR’ın devreye girdiği noktadır.

Dolayısıyla "QR kodlar güvenli mi" sorusunun dürüst cevabı evettir, ama bir koşulla: bir taramanın güvenliği, hedef adresi kimin kontrol ettiğine ve her isteğin ortaya çıkardığı verileri ne kadar sorumlu bir şekilde işlediğine bağlıdır.

Dinamik bir QR kod taraması hangi kişisel verileri toplar?

Bir telefon bir yönlendirme URL’sini açtığında tarayıcı standart bir HTTP isteği gönderir. Dünyadaki her web sunucusu aynı temel alanları alır. Bir tarama analitiği sistemi ise bu alanları raporlara dönüştürür.

Veri noktası	Nereden geliyor	Kişisel veri mi?
IP adresi	Ağ bağlantısı	Evet, çoğu durumda
Ülke, bölge, şehir	IP adresinden türetilir	Şehir düzeyinde tek başına genellikle hayır
Cihaz türü, işletim sistemi, tarayıcı	User-agent başlığı	Tek başına düşük risk, birleştirildiğinde daha yüksek
Yönlendiren kaynak (referrer)	Gönderildiyse Referer başlığı	Nadiren
Zaman damgası	Sunucu saati	Başka verilerle birleşince tanımlayıcı hale gelir

Burada kilit nokta, verilerin birleştirilmesidir. Bir tarayıcı sürümü sana bir kişi hakkında hiçbir şey söylemez. Ancak bir IP adresi, kesin bir zaman damgası ve bir cihaz modeli bir araya geldiğinde tek bir telefonu ayırt etmek mümkün hale gelebilir. Avrupa Birliği Adalet Divanı, 2016 tarihli Breyer kararında, veriyi elinde tutan tarafın bunu bir kişiyle ilişkilendirmek için yasal araçlara sahip olması durumunda dinamik bir IP adresinin bile kişisel veri olabileceğini teyit etti. Bir tarama kaydının, sen onu bilinçli olarak sadeleştirmediğin sürece kişisel veri olarak kabul edilmesinin nedeni budur.

Hangi metrikleri takip etmenin gerçekten anlamlı olduğuna daha derinlemesine bakmak istersen QR kod tarama analitiği rehberimize göz atabilirsin.

GDPR, QR kod takibi için gerçekten geçerli mi?

Bu, kodun türüne bağlıdır. Statik bir QR kod içeriğini doğrudan desenin içinde saklar. Tarama ile hedef adres arasında hiçbir şey bulunmaz; bu yüzden kod sahibi hiçbir şey öğrenmez ve GDPR’ın QR kod düzeyinde düzenleyeceği bir şey kalmaz. Hedef web sitesinin kendi yaptıkları ise ayrı bir konudur.

Dinamik bir QR kod ise tasarımı gereği farklıdır. Hedef adresi daha sonra değiştirebilmen ve taramaları sayabilmen için her taramayı bir sunucu üzerinden geçirir. Bu sunucu istek verilerini işler; tarayan kişi AB’de bulunduğunda ya da işletme orada yerleşik olduğunda bu durum GDPR’ı devreye sokar. Bu nedenle statik ve dinamik QR kodlar arasındaki fark, uyum konusunu düşünmen gerekip gerekmediğini belirler.

GDPR açısından roller genellikle nettir:

• Kodu bastıran ve raporları okuyan işletme veri sorumlusudur (controller). Tarama verilerinin neden ve nasıl kullanılacağına o karar verir.
• Yönlendirmeyi çalıştıran QR platformu ise veri işleyendir (processor). Verileri veri sorumlusu adına işler.

GDPR’ın 28. maddesi, bu iki taraf arasında yazılı bir veri işleme sözleşmesi (data processing agreement) yapılmasını zorunlu kılar. QR kod sağlayıcın sana böyle bir sözleşme sunamıyorsa, bu tek başına sağlayıcı değiştirmen için yeterli bir sebeptir.

QR tarama analitiği hangi hukuki dayanağa oturur: açık rıza mı, meşru menfaat mi?

Her veri işleme faaliyeti, 6. maddede sayılan altı hukuki dayanaktan birine ihtiyaç duyar. QR kod takibi söz konusu olduğunda bunlardan ikisi gerçekçidir.

Meşru menfaat (madde 6(1)(f)), temel ve toplu analitik için uygundur. Bir afişi kaç kişinin, hangi şehirde ve ne tür bir cihazla taradığını bilmekte makul bir menfaatin vardır. Tarayan kişi de açmayı kendisinin seçtiği bir bağlantının bir sunucu tarafından kayda alınacağını makul olarak bekler. Profil oluşturmadığın, insanları siteler arasında takip etmediğin ve verileri kısa ömürlü tuttuğun sürece denge senin lehine işler. Bu dengeleme testini birkaç paragrafla belgelemelisin; denetim makamları bunu talep ediyor.

Açık rıza (madde 6(1)(a)) ise bunun ötesine geçtiğin anda gerekli hale gelir. Tipik tetikleyiciler şunlardır:

• takip amacıyla telefona çerez yerleştirmek ya da yerel depolamayı (local storage) okumak,
• geri dönen tarayıcıları tanımak için cihaz parmak izi çıkarmak (device fingerprinting),
• taramaları müşteri hesaplarıyla, e-posta adresleriyle ya da sadakat programı kimlikleriyle ilişkilendirmek,
• yeniden hedefleme (retargeting) için tarama verilerini reklam ağlarına aktarmak.

Bir yönlendirme, tarama deneyimini mahvetmeden bir onay penceresi gösteremez. Bu yüzden pratik kural basittir: yönlendirmenin kendisini rıza gerektirmeyen ve minimal tut, rıza gerektiren her şeyi ise düzgün bir onay bandının işini yapabileceği açılış sayfasına taşı.

Bir QR kod yönlendirmesi için çerez bandına ihtiyacın var mı?

Yönlendirme cihaza hiçbir şey kaydetmiyor ve cihazdan hiçbir şey okumuyorsa hayır. Çerez kuralı GDPR’ın kendisinden değil, ePrivacy Direktifi’nin (ePrivacy Directive) 5(3). maddesinden gelir. Bu kural, kullanıcının uç cihazına bilgi kaydedilmesini ya da o cihazdaki bilgilere erişilmesini kapsar. Standart istek başlıklarını okuyan ve bir HTTP yönlendirmesiyle yanıt veren bir sunucu, klasik anlamda bunların hiçbirini yapmaz.

Yine de ayrıntılara dikkat etmen gerekir. Avrupa Veri Koruma Kurulu (European Data Protection Board), 2023 yılında 5(3). maddeyi geniş yorumlayan yönergeler yayımladı; bu yönergeler takip pikselleri, takip bağlantıları ve benzeri tekniklerin cihazdaki bilgilere erişmek için kullanıldığı durumları da kapsıyor. Yalnızca tarayıcının zaten gönderdiği bilgileri kaydeden bir yönlendirme güvenli taraftadır. Çerez bırakan, parmak izi çıkaran bir betik çalıştıran ya da birden fazla üçüncü taraf takipçi üzerinden zincirleme ilerleyen bir yönlendirme ise güvenli tarafta değildir.

En temiz kurulum şöyle görünür: tarama sunucu tarafındaki bir yönlendirmeye ulaşır, sunucu minimal bir kayıt girdisi yazar ve ziyaretçi bir saniyenin çok altında bir sürede senin sayfana varır. Yönlendirme adımında çerez yok, JavaScript yok, üçüncü taraf yok.

GDPR uyumlu QR kod takibini adım adım nasıl kurarsın?

İşin büyük bölümü, bir kez verdiğin ve ardından her kampanyaya uyguladığın birkaç karardan oluşur.

1. Doğru kod türünü seç. Analitiğe ya da sonradan düzenleme yapmaya ihtiyacın yoksa statik bir kod kullan; bu durumda soru tamamen ortadan kalkar. Ölçmek istediğin kampanyalar için ise bir dinamik QR kod kullan.
2. Verileri AB içinde işleyen bir sağlayıcı seç. AB içinde barındırma, GDPR’ın V. Bölümü’nün uluslararası veri aktarımları için gerektirdiği ek evrak işinden seni kurtarır.
3. Bir veri işleme sözleşmesi imzala. 28. madde bunu zorunlu kılar. Sözleşmede alt işleyicilerin (subprocessors) ve barındırma konumlarının belirtildiğini kontrol et.
4. Saklanan verileri en aza indir. IP adreslerinin tamamının mı saklandığını yoksa kısaltılıp kısaltılmadığını, konumun yalnızca ülke ya da şehir düzeyinde mi çözümlendiğini sor.
5. Bir saklama süresi belirle. Ham tarama kayıtlarının silinmeden ya da toplulaştırılmadan önce ne kadar süre tutulacağına karar ver. Üç ay süren bir kampanya, tek tek tarama satırlarına nadiren iki yıl boyunca ihtiyaç duyar.
6. Gizlilik bildirimini güncelle. 13. madde, insanlara neyi topladığını, neden topladığını, hangi hukuki dayanağa göre ve ne kadar süreyle sakladığını söylemeni gerektirir. Bir QR kod üzerinden ulaşılan her açılış sayfasına bu bildirime giden bir bağlantı koy.
7. Kayda geçir. QR tarama analitiğini, meşru menfaat değerlendirmenle birlikte 30. madde kapsamındaki işleme faaliyetleri kaydına ekle.

Bu yedi nokta bir kez netleştiğinde her yeni kod bu kurulumu devralır. Her afiş için yeni bir değerlendirme yapman gerekmez; yalnızca amaç ya da veriler değiştiğinde yeniden değerlendirme yaparsın.

QR kod takibi GDPR’ı ihlal ederse ne olur?

Bu risk teorik değildir. GDPR’ın 83. maddesi uyarınca en ciddi ihlaller için 20 milyon euroya ya da dünya genelindeki yıllık cironun yüzde 4’üne kadar, hangisi daha yüksekse, para cezası verilebilir. Küçük işletmeler genellikle çok daha düşük tutarlarla karşılaşır; ancak bu üst sınır, tüzüğün hukuka aykırı veri işlemeyi ne kadar ciddiye aldığını gösteriyor.

Uygulama da ara sıra değil, istikrarlı bir şekilde sürüyor. DLA Piper GDPR Para Cezaları ve Veri İhlali Araştırması’na (Ocak 2026) göre Avrupa denetim makamları 2025 yılında yaklaşık 1,2 milyar euro para cezası verdi; böylece Mayıs 2018’den bu yana toplam tutar kabaca 7,1 milyar euroya ulaştı. Aynı dönemde ihlal bildirimleri günde ortalama 443 oldu.

Para cezaları maliyetin yalnızca bir parçasıdır. Bir şikâyet genellikle bir kodu tarayan, gizlilik bildirimi olmayan bir sayfaya ulaşan ve verilerine ne olduğunu soran tek bir kişiyle başlar. Tarama verilerin minimal ve belgelenmiş olduğunda, bir ilgili kişi erişim talebini (data subject access request) bir ay içinde yanıtlamak çok daha kolaydır.

Bir de işin ticari tarafı var. 12 ülkede 2.600 gizlilik ve güvenlik uzmanıyla yapılan Cisco 2025 Veri Gizliliği Kıyaslama Araştırması’nda katılımcıların yüzde 86’sı gizlilik yasalarının kurumları üzerinde olumlu bir etkisi olduğunu, yüzde 96’sı ise gizlilik yatırımlarının maliyetinden daha fazlasını geri kazandırdığını söyledi.

Tarayan kişileri kötü niyetli QR kodlardan nasıl korursun?

Gizlilik uyumu, kodlarını tarayan kişilerin verilerini korur. Güvenlik uygulamaları ise doğrudan insanların kendisini korur. Müşterilerin kodlarına onları tarayacak kadar güvenip güvenmeyeceğini her ikisi birlikte belirler.

• Kendi alan adını ya da tanınabilir bir kısa alan adını kullan. İnsanlar dokunmadan önce URL önizlemesini giderek daha sık kontrol ediyor. Tanıdık bir alan adı onlara güven verir.
• Halka açık yerlerdeki kodları denetle. Afişleri, otopark ödeme makinelerini ve masa kartlarını, orijinal kodun üzerine yapıştırılmış etiketler açısından düzenli olarak kontrol et.
• Bir taramanın hemen ardından asla giriş bilgisi ya da ödeme isteme, bağlam bunun nedenini açıkça ortaya koymuyorsa. Dolandırıcılar tam olarak bu kalıbı taklit ediyor.
• Her yerde HTTPS kullan. Hem yönlendirme hem de açılış sayfası şifreli bir bağlantı üzerinden sunulmalı.
• Son kullanma tarihleri ve tarama limitleri kullan; yalnızca bir kampanya dönemi boyunca çalışması gereken kodlarda bu sayede eski baskılar güncelliğini yitirmiş ya da ele geçirilmiş sayfalara yönlendirmez.

Dinamik bir kodun burada ek bir güvenlik avantajı vardır: kurcalanmış bir konum ya da güncelliğini yitirmiş bir hedef adres fark edersen, hiçbir şeyi yeniden bastırmadan hedefi anında değiştirebilir ya da devre dışı bırakabilirsin.

Sık sorulan sorular

Bir QR kod kendi başına veri toplayabilir mi?

Hayır. Bir QR kod, metin saklayan sabit bir desendir. Veri yalnızca taranan URL, istekleri kaydeden bir sunucuya götürdüğünde toplanır; dinamik QR kodların ve sıradan web sitelerinin yaptığı da tam olarak budur.

Statik bir QR kod varsayılan olarak GDPR’a uygun mu?

Kod düzeyinde evet, çünkü tarama ile hedef adres arasında hiçbir şey takip edilmez. Yine de kodun açtığı web sitesinin kendi gizlilik bildirimine ve çerez kullanıyorsa kendi onay bandına ihtiyacı vardır.

QR kod taramalarını saymak için açık rıza almam gerekir mi?

Zamana, ülkeye ve cihaz türüne göre yapılan toplu sayımlar için genellikle gerekmez; bunlar meşru menfaate dayanabilir. Ancak çerez, parmak izi çıkarma, siteler arası takip eklersen ya da taramaları kimliği belirlenebilir müşteri kayıtlarıyla ilişkilendirirsen açık rıza alman gerekir.

QR tarama verilerini ne kadar süre saklamalıyım?

GDPR sabit bir süre belirlemez; verileri gerekli olandan daha uzun süre saklamamanı ister. Saklama süresini amaca göre belirle, örneğin kampanya süresi artı bir değerlendirme dönemi, ve daha eski verileri istatistiklere dönüştürerek toplulaştır.

QR kod sağlayıcımın sunucularını nerede barındırdığı önemli mi?

Evet. AB içinde barındırma, tarama verilerini GDPR çerçevesi içinde tutar ve üçüncü ülkelerde yapılan veri işleme için gereken aktarım güvencelerine ihtiyaç bırakmaz; bu da belgeleme işini önemli ölçüde kolaylaştırır.

QR kodlarını QRiety ile sorumlu bir şekilde takip et

QRiety, AB merkezli bir ekip tarafından geliştirildi ve sana hedef adresini istediğin zaman değiştirebileceğin dinamik QR kodlar sunar; konuma, cihaza ve zamana göre tarama analitiği de buna dahildir. Statik kodlar her planda sınırsızdır ve hiçbir zaman süresi dolmaz; böylece takibe ihtiyaç duymadığın her durumda daha hafif seçeneği tercih edebilirsin. İlk QR kodunu ücretsiz oluştur ve tarama verilerini kontrol altında tut.