QRコードのスキャン計測とプライバシー：何を収集してよいか
QRコードのスキャン計測は合法でしょうか。私たちが確認した規制当局の文書は、どれもQRコードに触れていません。ですから、どんな答えもウェブサイトのアクセス解析のルールからの類推で、国によっても異なります。欧州委員会はIPアドレスを個人データの例に挙げており、英国のICOとフランスのCNILは、それぞれ集計統計に同意が不要となる限られたケースを示しています。この記事は法的助言ではありません。
2026年10月17日に事実確認。
QRコードのスキャンで送られるデータは？
QRコードが持つのはテキストで、多くはウェブアドレスです。スキャンするとスマートフォンがそのアドレスにリクエストを送り、サーバーはスマートフォンのIPアドレスを受け取ります。欧州連合司法裁判所は、Breyer事件のプレスリリースの脚注でこの点に触れています。EDPBのガイドラインも、リクエストが運ぶ可能性のあるコンテキストデータとして、ユーザーエージェントなどのHTTPヘッダーを挙げています。
動的コードの場合、このリクエストはリダイレクトサービスに届き、スキャン統計はそこから得られます。静的コードの場合、リクエストを見るのは行き先のサイトだけです（両者の違い）。コード自体はデータを生みません。何を保存するかは、サーバーを運用する側が決めます。
IPアドレスを一切保存しなくても、個人データになる？
欧州委員会の解説は、IPアドレスとCookie IDを個人データとして挙げています。処理を、そうしたデータに対するあらゆる操作（収集、参照、利用を含む）と定義し、IPアドレスの保存をその一例にしています。また、匿名化と認められるのは不可逆な場合だけだとしています。
Breyer事件（C-582/14）で司法裁判所は、ウェブサイト運営者がインターネット接続事業者の持つ追加情報を使って訪問者を特定する法的手段を持つ場合、動的IPアドレスはその運営者にとって個人データであると判断しました。私たちが読んだのは判決文ではなく、裁判所の2016年10月19日のプレスリリースです。また、この事件は1995年の指令のもとで判断されたもので、EDPBのガイドラインによれば、その指令はGDPRによって廃止されています。
つまり「IPアドレスは保存しない」は「個人データを一切処理しない」よりも狭い主張です。アドレスはリクエストのたびに届きますし、その日のうちに作るハッシュもアドレスから派生したものです。読んだ文書のどれも、そうした立場のサービスがデータ保護法の対象外だとは言っていないので、私たちもそうは主張しません。CNILの自己評価ツールは、最後のオクテットを削ったIPアドレスを「仮名化」されたものと説明しています。
QRコードのスキャン計測で同意バナーを省ける？
ここでは2つの問いが混同されがちです。1つ目はデータ保護法（GDPR、英国GDPR）の問いで、そのデータは個人データか、法的根拠は何か、人々に何を伝えるか、です。2つ目は、本人の端末に情報を保存したり端末から読み取ったりすることに関するePrivacy型のルールの問いで、いつ同意が必要か、です。以下の適用除外は2つ目にしか答えていません。ICOによると、統計が個人データを含む場合は英国GDPRが引き続き適用され、CNILも、その自己評価ツールは法令遵守全体を評価するものではないとしています。
スキャンのリダイレクトは、明らかに1つ目の問いに関わります。2つ目に関わるかどうかは、サービスが何を収集し、どう使うかによります。EDPBのガイドラインは、IPアドレスやユーザーエージェントなどのHTTPヘッダーの収集がePrivacyのルールの適用につながり得る（第42、43、55段落）としていますが、常にそうなるとは言っていません。これらの文書はどれもQRコードを扱っていません。
| 当局 | 統計について述べていること | 日付 |
|---|---|---|
| 英国、ICOのガイダンス | 唯一の目的が、サービスの使われ方に関する集計統計でサービスを改善することであり、明確な情報と「簡単で無料の」異議申し立て手段があれば、PECRの同意は不要。IPアドレスなどで個々の訪問者を追跡するには同意が必要。 | 最終更新2026年4月29日 |
| フランス、CNILのページ（フランス語） | 発行者自身の利用者数測定と匿名の統計に限り、突き合わせやサイト横断の追跡をしなければ適用除外。利用者への通知と、データ保存を最長25か月とすることを推奨。 | 2025年7月4日 |
| EU、EDPB | 技術的な適用範囲のみ。適用除外は各国の法律と当局に委ねられる。ルールが適用されても、自動的に同意が必要になるわけではない。 | 2024年10月7日採択 |
ICOの判断基準は、この例外は「サービスがどう使われているかに関するもので、誰が使っているかに関するものではない」というものです。集計統計に該当しそうな例として、端末の種類、ブラウザやOSのバージョン、参照元URL、人を特定しない市区町村や地域レベルの大まかな位置を挙げています。
CNILのツールの1行は、QRコードにとって重要です。適用除外となる設定では、集客チャネルや広告キャンペーンの効果測定を、初期状態でオフにしておく目的に挙げています。スキャン数を数えるのは、チラシやポスターのような掲示場所を比べるためであることが多いものです。このツールはQRコードに触れていないので、自分にどう当てはまるかを確認してください。これらの文書は英国、フランス、EUレベルのもので、他の国は確認していません。
実際のスキャン記録と比べると？
QR Maker AIのプライバシーポリシーは、各スキャン記録に含まれる内容を列挙しています。上の例と並べると次のとおりです。
| 項目 | ICOとCNILの例 | QR Maker AIのスキャン記録 |
|---|---|---|
| IPアドレス | ICO：IPで個人を追跡するには同意が必要。CNILのツール：使う場合は市区町村レベルの位置のためで、その後少なくとも最後のオクテットを削って仮名化 | 完全なものも切り詰めたものも保存しない。その日のハッシュを作るためにメモリ上で保持するだけ |
| 位置 | ICO：市区町村か地域レベル。CNILのツール：市区町村レベル | 国、州または省、そこから導かれるタイムゾーン。市区町村はなし |
| 端末とブラウザ | ICO：端末の種類、ブラウザとOSのバージョン。CNILのツール：最小限に、たとえばメジャーバージョン | 端末の種類、ブラウザ、OS、メジャーバージョン（ブラウザの申告どおり） |
| 参照元とタグ | ICOは参照元URLを挙げる。CNILのツール：ドメインのみ、URLにキャンペーン識別子を含めない | 送られてきたRefererヘッダーそのまま、加えて任意で付ける掲示場所タグ（例：?s=poster） |
| 訪問者数 | ICOとCNILのツール：個々の訪問者を追跡しない | アドレスと日付の鍵付きハッシュでその日のユニーク訪問者を数え、日をまたいで結び付けることはできない。匿名ではなく仮名 |
| 保存期間 | ICO：個人単位のデータは必要な間だけ保存し、集計後もそのデータを保持することは例外の範囲を超えるとする。CNIL：最長25か月を推奨 | スキャン記録はコードとともに保存され、プライバシーポリシーに固定の期間はない。この行では、ICOやCNILの例より厳しくはない |
IPアドレスについては、この記録はこれらの例より慎重です。位置はICOが挙げる地域レベルより細かくありません。参照元、タグ、保存期間については、すべての例より厳しいわけではありません。この比較は私たち自身によるもので、規制当局の評価ではありません。また、読んだ文書のどれも「IPを保存しない」を標準として推奨してはいません。スキャン統計には動的コードが必要で、動的コードには確認済みのアカウントが必要です。2026年10月時点で、無料プランには有効なものが3つ含まれます。作成すると、自分のコードでこれらの項目を確認できます。
利用者に何を伝えるべきか
当社のプライバシーポリシーでは、コードの所有者が一般にスキャンデータの管理者であり、法的根拠を持ち、スキャンする人に情報を伝える責任を負うとしています。印刷したコードには文字を載せる余裕がほとんどないので、次の点をプライバシー通知に書き、コードが開くページからリンクしてください。
- 目的。 スキャンデータは、どの掲示場所がスキャンされたかなど、コードの効果を知るためだけに使い、他の目的には使わない。ICOの例外は、その唯一の目的が前提です。
- 項目。 サービス事業者が記録する内容を、推測ではなく、そのポリシーから写して列挙する。
- 集計か個人単位か。 合計だけを見ているのか、日ごとのハッシュのような訪問者識別子があるのかを書く。日をまたいで結び付けられないと書けるのは、事業者がそれを文書で示している場合だけです。
- 保存期間。 スキャン記録をどれだけ保存するかを書く。
- 異議申し立てと連絡先。 実際に届く連絡先を書く。ICOは「簡単で無料の」異議申し立て手段を求めており、CNILのツールは異議申し立ての方法をプライバシーポリシーに記載するものとしています。
- サービス事業者。 利用しているQRコードの事業者名を書く。
- その他。 自分のページにあるCookieや訪問者単位の追跡は別に説明する。スキャン数を計測する4つの方法で選択肢を比較しています。
これは公開文書の要約で、法的助言ではありません。利用者がいる国ごとに原文を確認してください。
よくある質問
QRコードのスキャン計測は合法？
QRコードのスキャン向けに書かれた規制当局の文書は見つかりませんでした。ICOとCNILは、限定的で集計された単一目的の統計を最も寛容に扱いますが、ルールは国や収集する内容によって異なります。対象市場に詳しい弁護士に相談してください。
QRスキャンの解析にCookieの同意は必要？
本人の端末に何を保存し、何を読み取るか、そして各国のルールによります。EDPBは適用除外を各国の当局に委ねています。
ハッシュ化や切り詰めをしたIPアドレスは匿名？
そう思い込まないでください。欧州委員会は匿名化は不可逆でなければならないとしており、CNILのツールは最後のオクテットを削ったIPアドレスを仮名化されたものと呼んでいます。
出典
- European Commission — Data protection explained. Undated. Accessed 17 October 2026.
- Information Commissioner's Office (UK) — What are the exceptions? (Guidance on the use of storage and access technologies). Guidance last updated 29 April 2026. Accessed 17 October 2026.
- CNIL (France) — Cookies : solutions pour les outils de mesure d'audience. French; paraphrases are ours. Published 4 July 2025. Accessed 17 October 2026.
- Court of Justice of the European Union — Press Release No 112/16, Judgment in Case C-582/14 Patrick Breyer v Bundesrepublik Deutschland. Published 19 October 2016. Accessed 17 October 2026.
- European Data Protection Board — Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2.0. Adopted 7 October 2024. Accessed 17 October 2026.
- CNIL (France) — Outil d'auto-évaluation relatif à la mise en œuvre d'une solution de mesure d'audience exemptée de consentement. French; paraphrases are ours. July 2025. Accessed 17 October 2026.