QR Code 掃描統計與隱私：你可以收集什麼
統計 QR Code 掃描合法嗎？我們查閱的監管檔案沒有一份提到 QR Code，所以任何答案都只是參照網站統計規則的類比，而且各國不同。歐盟委員會把 IP 地址列為個人資料的示例之一，而英國 ICO 和法國 CNIL 各自描述了一些範圍很窄、彙總統計無需同意的情形。本文不構成法律建議。
事實核查於 2026 年 10 月 17 日。
掃一次 QR Code 會發送哪些資料？
QR Code 存的是文本，通常是一個網址。掃描會讓手機去請求這個地址，伺服器就會收到手機的 IP 地址。歐盟法院在其關於 Breyer 案的新聞稿的腳註中指出了這一點。EDPB 的指引也把 HTTP 請求頭（例如 User-Agent）列為請求可能攜帶的上下文資料。
如果是動態碼，這個請求會先到達跳轉服務，掃描統計就來自這裡。如果是靜態碼，只有目標網站能看到它（兩者的區別）。碼本身不產生資料；保留什麼，由執行伺服器的一方決定。
如果從不儲存 IP 地址，它還算個人資料嗎？
歐盟委員會的說明把 IP 地址和 Cookie ID 列為個人資料。它把「處理」定義為對這類資料的任何操作，包括收集、查閱和使用，並以儲存 IP 地址為例。它還說，只有不可逆的匿名化才算數。
在 Breyer 案（C-582/14）中，歐盟法院認定：如果網站運營者有合法途徑藉助網際網路接入服務商掌握的額外資訊識別訪客，那麼動態 IP 地址對該運營者而言就是個人資料。我們讀的是法院 2016 年 10 月 19 日的新聞稿，不是判決原文；而且該案依據的是 1995 年的一項指令，據 EDPB 的指引，該指令已被 GDPR 廢止。
所以「我們不儲存 IP 地址」比「我們不處理任何個人資料」的範圍要窄。每次請求仍會帶來這個地址，當天對它做的雜湊也仍然由它派生而來。我們讀到的文本都沒有說處於這種情況的服務不受資料保護法管轄，所以我們也不作這種聲稱。CNIL 的自評工具把去掉最後一段的 IP 地址描述為「假名化」。
QR Code 掃描統計可以不彈同意橫幅嗎？
這裡常把兩個問題混為一談。第一個屬於資料保護法（GDPR、英國 GDPR）：資料是不是個人資料，你的合法依據是什麼，你要告知人們什麼。第二個屬於 ePrivacy 類規則，涉及在個人裝置上儲存或讀取資訊：什麼時候需要同意。下面的豁免只回答第二個問題。ICO 說統計涉及個人資料時英國 GDPR 仍然適用；CNIL 也說它的自評工具並不評估整體合規。
掃描跳轉顯然涉及第一個問題。是否涉及第二個問題，取決於服務收集什麼、怎麼使用：EDPB 的指引說，收集 IP 地址或 User-Agent 等 HTTP 請求頭可能觸發 ePrivacy 規則（第 42、43 和 55 段），但沒說一定會。這些檔案都沒有涉及 QR Code。
| 機構 | 關於統計的說法 | 日期 |
|---|---|---|
| 英國，ICO 指引 | 如果唯一目的是對服務使用情況做彙總統計以改進服務，並提供清晰的資訊和「簡單且免費」的反對方式，就不需要 PECR 意義上的同意。追蹤單個訪客（例如通過 IP 地址）需要同意。 | 最近更新於 2026 年 4 月 29 日 |
| 法國，CNIL 頁面（法語） | 如果僅限釋出者自己的受眾測量和匿名統計，不做交叉比對或跨站追蹤，即可豁免。建議告知使用者，資料最多保留 25 個月。 | 2025 年 7 月 4 日 |
| 歐盟，EDPB | 只講技術適用範圍。豁免交由各國法律和監管機構決定；規則適用並不自動意味著需要同意。 | 2024 年 10 月 7 日通過 |
ICO 的判斷標準是：這項例外「關乎你的服務如何被使用，而不是誰在使用」。它舉出可能算作彙總統計的例子，包括裝置型別、瀏覽器或系統版本、來源網址（referrer），以及不識別個人的、城市或地區級別的粗略位置。
CNIL 的工具中有一行對 QR Code 很重要：在它的豁免配置裡，測量獲客渠道和廣告活動效果被列為預設應關閉的用途。人們統計掃描往往就是為了比較不同投放位置，比如傳單和海報。該工具沒有提到 QR Code，所以請自行核實這條對你是否適用。這些檔案來自英國、法國和歐盟層面；我們沒有查閱其他國家。
真實的掃描記錄對比起來如何？
QR Maker AI 的隱私政策列出了每條掃描記錄包含的內容。與上面的示例對照：
| 專案 | ICO 和 CNIL 的示例 | QR Maker AI 掃描記錄 |
|---|---|---|
| IP 地址 | ICO：通過 IP 追蹤個人需要同意。CNIL 工具：如果使用，僅用於城市級位置，且至少去掉最後一段做假名化 | 不儲存，完整的和截斷的都不存；只在記憶體中用於生成當日雜湊 |
| 位置 | ICO：城市或地區級別。CNIL 工具：城市級別 | 國家、州或省，以及由此推出的時區；沒有城市 |
| 裝置和瀏覽器 | ICO：裝置型別、瀏覽器和系統版本。CNIL 工具：儘量少，例如只取主版本號 | 裝置型別、瀏覽器、系統和主版本號，以瀏覽器上報的為準 |
| 來源和標籤 | ICO 列出了來源網址。CNIL 工具：只取網域，網址中不帶活動標識 | 原樣記錄 Referer 請求頭，外加你可選新增的投放標籤，例如 ?s=poster |
| 訪客計數 | ICO 和 CNIL 工具：不追蹤單個訪客 | 用地址和日期生成的帶金鑰雜湊統計當日獨立訪客，無法跨天關聯；屬於假名化，而非匿名化 |
| 保留期限 | ICO：個人級資料只在需要期間儲存，並把彙總後仍保留這些資料列為超出例外範圍。CNIL：建議最多 25 個月 | 掃描記錄隨碼儲存，隱私政策沒有規定固定期限，所以在這一行我們並不比 ICO 和 CNIL 的示例更嚴格 |
在 IP 地址上，這份記錄比這些示例更保守。位置精度不超過 ICO 提到的地區級別。在來源、標籤和保留期限上，它並不比每個示例都嚴格。這份對比是我們自己做的，不是監管機構的評估，我們讀到的文本也沒有把「不存 IP」推薦為標準做法。掃描統計需要動態碼，動態碼需要已驗證的帳號；截至 2026 年 10 月，免費方案包含三個有效動態碼。建立一個，就能在你自己的碼上看到這些類別。
你應該告訴受眾什麼？
我們的隱私政策說，碼的所有者通常是掃描資料的控制者，負責具備合法依據並告知掃描者。由於印刷碼上寫不了多少字，請把以下幾點寫進隱私宣告，並從碼開啟的頁面連結過去：
- 目的。 掃描資料只用於瞭解碼的表現（例如哪個投放位置被掃），不作其他用途。ICO 的例外以這個唯一目的為前提。
- 類別。 列出你的服務商記錄了什麼，從它的政策中照抄，不要憑猜測。
- 彙總還是個人。 說明你只看到總數，還是存在訪客標識（例如每日雜湊）。只有服務商有書面說明時，才能聲稱它無法跨天關聯。
- 保留期限。 說明你保留掃描記錄多久。
- 反對與聯絡方式。 給出一個能用的聯絡地址。ICO 要求提供「簡單且免費」的反對方式，CNIL 的工具要求在隱私政策裡寫明反對途徑。
- 服務提供方。 寫明你的 QR Code 服務商。
- 其他。 你自己頁面上的 Cookie 或按訪客的追蹤，要另行說明；四種統計掃描的方法比較了各種做法。
本文是對公開檔案的摘要，不構成法律建議。請按你的受眾所在的每個國家查閱原文。
常見問題
統計 QR Code 掃描合法嗎？
我們沒有找到專門針對 QR Code 掃描的監管文本。ICO 和 CNIL 對範圍窄、彙總、單一用途的統計最寬鬆，但規則因國家和你收集的內容而異。請諮詢熟悉你所在市場的律師。
QR Code 掃描統計需要 Cookie 同意嗎？
取決於是否在個人裝置上儲存或讀取了資訊，以及各國的規定。EDPB 把豁免交給各國監管機構決定。
雜湊過或截斷過的 IP 地址算匿名嗎？
別這麼假定。歐盟委員會說匿名化必須不可逆，而 CNIL 的工具把去掉最後一段的 IP 地址稱為假名化。
參考來源
- European Commission — Data protection explained. Undated. Accessed 17 October 2026.
- Information Commissioner's Office (UK) — What are the exceptions? (Guidance on the use of storage and access technologies). Guidance last updated 29 April 2026. Accessed 17 October 2026.
- CNIL (France) — Cookies : solutions pour les outils de mesure d'audience. French; paraphrases are ours. Published 4 July 2025. Accessed 17 October 2026.
- Court of Justice of the European Union — Press Release No 112/16, Judgment in Case C-582/14 Patrick Breyer v Bundesrepublik Deutschland. Published 19 October 2016. Accessed 17 October 2026.
- European Data Protection Board — Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2.0. Adopted 7 October 2024. Accessed 17 October 2026.
- CNIL (France) — Outil d'auto-évaluation relatif à la mise en œuvre d'une solution de mesure d'audience exemptée de consentement. French; paraphrases are ours. July 2025. Accessed 17 October 2026.