Suivi des QR codes et vie privée : ce que vous pouvez collecter
Le suivi des scans de QR code est-il légal ? Aucun des documents de régulateurs que nous avons examinés ne mentionne les QR codes : toute réponse est donc une analogie avec les règles de la mesure d'audience des sites web, et elle varie selon les pays. La Commission européenne cite l'adresse IP parmi ses exemples de données personnelles, tandis que l'ICO britannique et la CNIL décrivent chacun des cas limités où des statistiques agrégées n'exigent pas de consentement. Cet article n'est pas un avis juridique.
Faits vérifiés le 17 octobre 2026.
Quelles données un scan de QR code envoie-t-il ?
Un QR code contient du texte, le plus souvent une adresse web. Le scanner amène le téléphone à demander cette adresse, et le serveur reçoit l'adresse IP du téléphone. La Cour de justice de l'Union européenne le relève dans une note de son communiqué de presse sur l'affaire Breyer. Les lignes directrices du CEPD citent aussi les en-têtes HTTP, comme le user agent, parmi les données de contexte qu'une requête peut transporter.
Avec un code dynamique, cette requête arrive au service de redirection, d'où viennent les statistiques de scan. Avec un code statique, seul le site de destination la voit (ce qui les distingue). Le code ne crée aucune donnée par lui-même ; c'est l'exploitant du serveur qui décide de ce qu'il conserve.
Si vous ne stockez jamais l'adresse IP, est-ce encore une donnée personnelle ?
La page explicative de la Commission cite une adresse IP et un identifiant de cookie comme données personnelles. Elle définit le traitement comme toute opération sur ces données, y compris la collecte, la consultation et l'utilisation, et donne le stockage d'adresses IP en exemple. Elle ajoute qu'une anonymisation ne compte que si elle est irréversible.
Dans l'affaire Breyer (C-582/14), la Cour de justice a jugé qu'une adresse IP dynamique est une donnée personnelle pour l'exploitant d'un site lorsqu'il dispose de moyens légaux d'identifier le visiteur grâce à des informations supplémentaires détenues par le fournisseur d'accès à internet. Nous avons lu le communiqué de presse de la Cour du 19 octobre 2016, pas le texte de l'arrêt, et l'affaire a été tranchée sous une directive de 1995 que, selon les lignes directrices du CEPD, le RGPD a abrogée.
« Nous ne stockons pas d'adresses IP » est donc plus étroit que « nous ne traitons aucune donnée personnelle ». L'adresse arrive toujours avec chaque requête, et un hachage du jour en est toujours dérivé. Aucun des textes que nous avons lus ne dit qu'un service dans cette situation échappe au droit de la protection des données : nous ne l'affirmons donc pas. L'outil d'auto-évaluation de la CNIL décrit une adresse IP privée de son dernier octet comme pseudonymisée.
Le suivi des scans de QR code peut-il se passer d'un bandeau de consentement ?
Deux questions se mélangent ici. La première relève du droit de la protection des données (RGPD, UK GDPR) : la donnée est-elle personnelle, quelle est votre base légale, qu'indiquez-vous aux personnes ? La seconde relève des règles de type ePrivacy sur le stockage ou la lecture d'informations sur l'appareil d'une personne : quand le consentement est-il nécessaire ? Les exemptions ci-dessous ne répondent qu'à la seconde. L'ICO indique que l'UK GDPR s'applique toujours lorsque des statistiques impliquent des données personnelles, et la CNIL précise que son outil d'auto-évaluation n'évalue pas la conformité dans son ensemble.
Une redirection de scan soulève clairement la première question. Qu'elle engage la seconde dépend de ce que le service collecte et de l'usage qu'il en fait : les lignes directrices du CEPD indiquent que la collecte d'adresses IP ou d'en-têtes HTTP comme le user agent peut faire jouer la règle ePrivacy (paragraphes 42, 43 et 55), sans dire que c'est toujours le cas. Aucun de ces documents ne traite des QR codes.
| Autorité | Ce qu'elle dit des statistiques | Date |
|---|---|---|
| Royaume-Uni, lignes directrices de l'ICO | Pas de consentement PECR si la seule finalité est d'établir des statistiques agrégées sur l'usage d'un service pour l'améliorer, avec une information claire et un moyen « simple et gratuit » de s'y opposer. Suivre des visiteurs individuels, par exemple par adresse IP, exige un consentement. | Dernière mise à jour le 29 avril 2026 |
| France, page de la CNIL | Exempté si limité à la mesure d'audience propre à l'éditeur et à des statistiques anonymes, sans recoupement ni suivi entre sites. Conseille d'informer les utilisateurs et de conserver les données 25 mois au plus. | 4 juillet 2025 |
| UE, CEPD | Champ technique uniquement. Les exemptions relèvent du droit et des autorités nationales ; que la règle s'applique ne signifie pas automatiquement qu'un consentement est requis. | Adoptées le 7 octobre 2024 |
Le critère de l'ICO : l'exception porte « sur la manière dont votre service est utilisé, pas sur qui l'utilise ». Ses exemples d'activités susceptibles de relever des statistiques agrégées incluent les types d'appareils, les versions de navigateur ou de système, l'URL de provenance et une localisation approximative, au niveau de la ville ou de la région, qui n'identifie personne.
Une ligne de l'outil de la CNIL compte pour les QR codes : il range la mesure des canaux d'acquisition et de la performance des campagnes publicitaires parmi les finalités à désactiver par défaut dans sa configuration exemptée. On compte souvent les scans précisément pour comparer des emplacements comme des prospectus et affiches. L'outil ne mentionne pas les QR codes : vérifiez comment cela s'applique à vous. Ces documents viennent du Royaume-Uni, de France et de l'échelon européen ; nous n'avons pas examiné d'autres pays.
Comment se situe un véritable enregistrement de scan ?
La politique de confidentialité de QR Maker AI liste ce que contient chaque enregistrement de scan. Face aux exemples ci-dessus :
| Élément | Exemples de l'ICO et de la CNIL | Enregistrement de scan de QR Maker AI |
|---|---|---|
| Adresse IP | ICO : suivre des individus par IP exige un consentement. Outil de la CNIL : si elle est utilisée, pour une localisation au niveau de la ville, puis pseudonymisée en retirant au moins le dernier octet | Non stockée, ni complète ni tronquée ; gardée en mémoire uniquement pour calculer le hachage du jour |
| Localisation | ICO : niveau ville ou région. Outil de la CNIL : niveau ville | Pays, État ou province, et le fuseau horaire qui en découle ; pas de ville |
| Appareil et navigateur | ICO : types d'appareils, versions de navigateur et de système. Outil de la CNIL : minimiser, par exemple aux versions majeures | Type d'appareil, navigateur, système et versions majeures, tels que le navigateur les déclare |
| Provenance et balises | L'ICO cite l'URL de provenance. Outil de la CNIL : domaine seulement, pas d'identifiants de campagne dans les URL | L'en-tête Referer tel qu'envoyé, plus une balise d'emplacement facultative que vous ajoutez, comme ?s=poster |
| Comptage des visiteurs | ICO et outil de la CNIL : pas de suivi des visiteurs individuels | Un hachage à clé de l'adresse et de la date compte les visiteurs uniques du jour et ne peut pas être relié d'un jour à l'autre ; pseudonyme, pas anonyme |
| Conservation | ICO : ne stocker les données individuelles que le temps nécessaire, et il cite leur conservation après agrégation comme dépassant l'exception. CNIL : conseille 25 mois au plus | Les enregistrements de scan sont conservés avec le code et la politique de confidentialité ne fixe pas de durée : sur cette ligne, nous ne sommes donc pas plus stricts que les exemples de l'ICO et de la CNIL |
Pour l'adresse IP, cet enregistrement est plus prudent que ces exemples. Sa localisation n'est pas plus fine que le niveau régional cité par l'ICO. Pour la provenance, les balises et la conservation, il n'est pas plus strict que tous les exemples. La comparaison est la nôtre, pas l'évaluation d'un régulateur, et aucun texte que nous avons lu ne recommande « ne pas stocker l'IP » comme norme. Les statistiques de scan exigent un code dynamique, qui demande un compte vérifié ; en octobre 2026, l'offre gratuite en inclut trois actifs. Créez-en un pour voir ces catégories sur vos propres codes.
Que devez-vous dire à votre public ?
Notre politique de confidentialité indique que le propriétaire du code est en général le responsable du traitement des données de scan, et qu'il lui revient de disposer d'une base légale et d'informer les personnes qui scannent. Mettez ces points dans une notice de confidentialité liée depuis la page qu'ouvre le code, car un code imprimé laisse peu de place au texte :
- Finalité. Les données de scan servent à voir comment le code fonctionne, par exemple quel emplacement est scanné, et à rien d'autre. L'exception de l'ICO dépend de cette finalité unique.
- Catégories. Listez ce qu'enregistre votre fournisseur, recopié de sa politique, pas supposé.
- Agrégé ou individuel. Dites si vous ne voyez que des totaux et s'il existe un identifiant de visiteur, comme un hachage quotidien. N'affirmez qu'il ne peut pas être relié d'un jour à l'autre que si votre fournisseur le documente.
- Conservation. Indiquez combien de temps vous gardez les enregistrements de scan.
- Opposition et contact. Donnez une adresse qui fonctionne. L'ICO demande un moyen « simple et gratuit » de s'opposer, et l'outil de la CNIL place la voie d'opposition dans la politique de confidentialité.
- Prestataires. Nommez votre fournisseur de QR codes.
- Compléments. Décrivez à part les cookies ou le suivi par visiteur sur votre propre page ; quatre façons de suivre les scans compare les options.
Ceci résume des documents publics ; ce n'est pas un avis juridique. Vérifiez le texte original pour chaque pays où vit votre public.
FAQ
Le suivi des scans de QR code est-il légal ?
Nous n'avons trouvé aucun texte de régulateur écrit pour les scans de QR code. L'ICO et la CNIL traitent avec le plus d'indulgence les statistiques limitées, agrégées et à finalité unique, mais les règles varient selon le pays et selon ce que vous collectez. Consultez un avocat qui connaît votre marché.
Faut-il un consentement aux cookies pour l'analyse des scans de QR code ?
Cela dépend de ce qui est stocké sur l'appareil de la personne ou lu depuis celui-ci, et des règles nationales. Le CEPD laisse les exemptions aux autorités nationales.
Une adresse IP hachée ou tronquée est-elle anonyme ?
Ne le supposez pas. La Commission indique que l'anonymisation doit être irréversible, et l'outil de la CNIL qualifie de pseudonymisée une adresse IP privée de son dernier octet.
Sources
- European Commission — Data protection explained. Undated. Accessed 17 October 2026.
- Information Commissioner's Office (UK) — What are the exceptions? (Guidance on the use of storage and access technologies). Guidance last updated 29 April 2026. Accessed 17 October 2026.
- CNIL (France) — Cookies : solutions pour les outils de mesure d'audience. French; paraphrases are ours. Published 4 July 2025. Accessed 17 October 2026.
- Court of Justice of the European Union — Press Release No 112/16, Judgment in Case C-582/14 Patrick Breyer v Bundesrepublik Deutschland. Published 19 October 2016. Accessed 17 October 2026.
- European Data Protection Board — Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2.0. Adopted 7 October 2024. Accessed 17 October 2026.
- CNIL (France) — Outil d'auto-évaluation relatif à la mise en œuvre d'une solution de mesure d'audience exemptée de consentement. French; paraphrases are ours. July 2025. Accessed 17 October 2026.