Seguimiento de códigos QR y privacidad: qué puedes recopilar
¿Es legal medir los escaneos de un código QR? Ninguno de los documentos de reguladores que revisamos menciona los códigos QR, así que cualquier respuesta es una analogía con las normas para la analítica web, y varía según el país. La Comisión Europea incluye la dirección IP entre sus ejemplos de datos personales, mientras que el ICO del Reino Unido y la CNIL francesa describen cada uno casos acotados en los que las estadísticas agregadas no necesitan consentimiento. Este artículo no es asesoramiento jurídico.
Datos comprobados el 17 de octubre de 2026.
¿Qué datos envía el escaneo de un código QR?
Un código QR contiene texto, normalmente una dirección web. Al escanearlo, el teléfono solicita esa dirección y el servidor recibe la dirección IP del teléfono. El Tribunal de Justicia de la Unión Europea lo señala en una nota a pie de su comunicado de prensa sobre el caso Breyer. Las directrices del CEPD también citan las cabeceras HTTP, como el user agent, entre los datos de contexto que puede llevar una petición.
Con un código dinámico, esa petición llega al servicio de redirección, que es de donde salen las estadísticas de escaneo. Con un código estático, solo la ve el sitio de destino (en qué se diferencian). El código no crea datos por sí mismo; quien gestiona el servidor decide qué conservar.
Si nunca guardas la dirección IP, ¿sigue siendo un dato personal?
La explicación de la Comisión cita la dirección IP y el identificador de una cookie como datos personales. Define el tratamiento como cualquier operación sobre esos datos, incluidas la recogida, la consulta y el uso, y pone como ejemplo guardar direcciones IP. Añade que la anonimización solo cuenta si es irreversible.
En el asunto Breyer (C-582/14), el Tribunal de Justicia declaró que una dirección IP dinámica es un dato personal para el operador de un sitio web cuando este dispone de medios legales para identificar al visitante con información adicional que tiene el proveedor de acceso a internet. Leímos el comunicado de prensa del Tribunal del 19 de octubre de 2016, no el texto de la sentencia, y el caso se resolvió con una directiva de 1995 que, según las directrices del CEPD, el RGPD derogó.
Así que «no guardamos direcciones IP» es más limitado que «no tratamos datos personales». La dirección sigue llegando con cada petición, y un hash diario de ella sigue derivando de ella. Ninguno de los textos que leímos dice que un servicio en esa situación quede fuera de la ley de protección de datos, así que no lo afirmamos. La herramienta de autoevaluación de la CNIL describe una dirección IP sin su último octeto como seudonimizada.
¿Se puede medir el escaneo de un código QR sin banner de consentimiento?
Aquí se mezclan dos preguntas. La primera, según la ley de protección de datos (RGPD, RGPD del Reino Unido): ¿son datos personales, cuál es tu base legal, qué informas a la gente? La segunda, según las normas de tipo ePrivacy sobre almacenar o leer información en el dispositivo de una persona: ¿cuándo hace falta consentimiento? Las exenciones de abajo solo responden a la segunda. El ICO dice que el RGPD del Reino Unido sigue aplicándose cuando las estadísticas implican datos personales, y la CNIL dice que su herramienta de autoevaluación no evalúa el cumplimiento en su conjunto.
Una redirección de escaneo plantea claramente la primera pregunta. Que active la segunda depende de lo que recoja el servicio y de cómo lo use: las directrices del CEPD dicen que recoger direcciones IP o cabeceras HTTP como el user agent puede hacer entrar en juego la norma ePrivacy (apartados 42, 43 y 55), sin decir que siempre lo haga. Ninguno de estos documentos trata los códigos QR.
| Autoridad | Qué dice sobre las estadísticas | Fecha |
|---|---|---|
| Reino Unido, guía del ICO | No hace falta consentimiento PECR si el único fin son estadísticas agregadas sobre cómo se usa un servicio, para mejorarlo, con información clara y una forma «sencilla y gratuita» de oponerse. Seguir a visitantes individuales, por ejemplo por dirección IP, necesita consentimiento. | Última actualización: 29 de abril de 2026 |
| Francia, página de la CNIL (en francés) | Exento si se limita a la medición de audiencia propia del editor y a estadísticas anónimas, sin cruce de datos ni seguimiento entre sitios. Aconseja informar a los usuarios y conservar los datos 25 meses como máximo. | 4 de julio de 2025 |
| UE, CEPD | Solo el ámbito técnico. Las exenciones quedan en manos de la ley y las autoridades nacionales; que la norma se aplique no significa automáticamente que haga falta consentimiento. | Adoptadas el 7 de octubre de 2024 |
El criterio del ICO: la excepción trata «de cómo se usa tu servicio, no de quién lo usa». Sus ejemplos de actividad que probablemente cuenta como estadística agregada incluyen tipos de dispositivo, versiones de navegador o de sistema, la URL de referencia y una ubicación aproximada, a nivel de ciudad o región, que no identifique a las personas.
Una línea de la herramienta de la CNIL importa para los códigos QR: incluye la medición de canales de captación y del rendimiento de campañas publicitarias entre los fines que deben estar desactivados por defecto en su configuración exenta. Mucha gente cuenta escaneos precisamente para comparar ubicaciones como folletos y carteles. La herramienta no menciona los códigos QR, así que comprueba cómo se te aplica. Estos documentos son del Reino Unido, de Francia y del nivel de la UE; no revisamos otros países.
¿Cómo se compara un registro de escaneo real?
La política de privacidad de QR Maker AI enumera lo que contiene cada registro de escaneo. Frente a los ejemplos de arriba:
| Elemento | Ejemplos del ICO y la CNIL | Registro de escaneo de QR Maker AI |
|---|---|---|
| Dirección IP | ICO: seguir a individuos por IP necesita consentimiento. Herramienta de la CNIL: si se usa, para ubicación a nivel de ciudad, y luego seudonimizada quitando al menos el último octeto | No se guarda, ni completa ni truncada; solo se mantiene en memoria para calcular el hash diario |
| Ubicación | ICO: nivel de ciudad o región. Herramienta de la CNIL: nivel de ciudad | País, estado o provincia, y la zona horaria que implican; sin ciudad |
| Dispositivo y navegador | ICO: tipos de dispositivo, versiones de navegador y sistema. Herramienta de la CNIL: minimizar, por ejemplo versiones principales | Tipo de dispositivo, navegador, sistema y versiones principales, tal como los indica el navegador |
| Referencia y etiquetas | El ICO cita la URL de referencia. Herramienta de la CNIL: solo el dominio, sin identificadores de campaña en las URL | La cabecera Referer tal como llega, más una etiqueta de ubicación opcional que tú añades, como ?s=poster |
| Recuento de visitantes | ICO y herramienta de la CNIL: sin seguimiento de visitantes individuales | Un hash con clave de la dirección y la fecha cuenta los visitantes únicos del día y no se puede enlazar entre días; seudónimo, no anónimo |
| Conservación | ICO: guardar datos individuales solo el tiempo necesario, e incluye conservarlos después de agregarlos como algo que va más allá de la excepción. CNIL: aconseja 25 meses como máximo | Los registros de escaneo se guardan con el código y la política de privacidad no fija un plazo, así que en esta fila no somos más estrictos que los ejemplos del ICO y la CNIL |
En la dirección IP, este registro es más conservador que esos ejemplos. Su ubicación no es más precisa que el nivel de región que cita el ICO. En referencias, etiquetas y conservación no es más estricto que todos los ejemplos. La comparación es nuestra, no la evaluación de un regulador, y ningún texto que leímos recomienda «no guardar la IP» como norma. Las estadísticas de escaneo necesitan un código dinámico, que requiere una cuenta verificada; a octubre de 2026, el plan gratuito incluye tres activos. Crea uno para ver estas categorías en tus propios códigos.
¿Qué debes contarle a tu público?
Nuestra política de privacidad dice que el propietario del código suele ser el responsable del tratamiento de los datos de escaneo y que le corresponde tener una base legal e informar a quienes escanean. Pon estos puntos en un aviso de privacidad enlazado desde la página que abre el código, porque un código impreso deja poco espacio para texto:
- Finalidad. Los datos de escaneo se usan para ver cómo funciona el código, por ejemplo qué ubicación se escanea, y para nada más. La excepción del ICO depende de esa finalidad única.
- Categorías. Enumera lo que registra tu proveedor, copiado de su política, no supuesto.
- Agregado o individual. Di si solo ves totales y si existe un identificador de visitante, como un hash diario. Afirma que no se puede enlazar entre días solo si tu proveedor lo documenta.
- Conservación. Indica cuánto tiempo guardas los registros de escaneo.
- Oposición y contacto. Da una dirección que funcione. El ICO pide una forma «sencilla y gratuita» de oponerse, y la herramienta de la CNIL sitúa la vía de oposición en la política de privacidad.
- Proveedores de servicios. Nombra a tu proveedor de QR.
- Extras. Describe aparte las cookies o el seguimiento por visitante de tu propia página; cuatro formas de medir escaneos compara las opciones.
Esto resume documentos públicos; no es asesoramiento jurídico. Consulta el texto original de cada país donde viva tu público.
Preguntas frecuentes
¿Es legal medir los escaneos de un código QR?
No encontramos ningún texto de un regulador escrito para los escaneos de QR. El ICO y la CNIL tratan con más indulgencia las estadísticas acotadas, agregadas y de finalidad única, pero las normas varían según el país y según lo que recojas. Consulta a un abogado que conozca tu mercado.
¿Necesito consentimiento de cookies para la analítica de escaneos QR?
Depende de lo que se almacene o se lea en el dispositivo de la persona y de las normas nacionales. El CEPD deja las exenciones a las autoridades nacionales.
¿Es anónima una dirección IP con hash o truncada?
No lo des por hecho. La Comisión dice que la anonimización debe ser irreversible, y la herramienta de la CNIL llama seudonimizada a una dirección IP sin su último octeto.
Fuentes
- European Commission — Data protection explained. Undated. Accessed 17 October 2026.
- Information Commissioner's Office (UK) — What are the exceptions? (Guidance on the use of storage and access technologies). Guidance last updated 29 April 2026. Accessed 17 October 2026.
- CNIL (France) — Cookies : solutions pour les outils de mesure d'audience. French; paraphrases are ours. Published 4 July 2025. Accessed 17 October 2026.
- Court of Justice of the European Union — Press Release No 112/16, Judgment in Case C-582/14 Patrick Breyer v Bundesrepublik Deutschland. Published 19 October 2016. Accessed 17 October 2026.
- European Data Protection Board — Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2.0. Adopted 7 October 2024. Accessed 17 October 2026.
- CNIL (France) — Outil d'auto-évaluation relatif à la mise en œuvre d'une solution de mesure d'audience exemptée de consentement. French; paraphrases are ours. July 2025. Accessed 17 October 2026.