二维码扫码统计与隐私：你可以收集什么
统计二维码扫码合法吗？我们查阅的监管文件没有一份提到二维码，所以任何答案都只是参照网站统计规则的类比，而且各国不同。欧盟委员会把 IP 地址列为个人数据的示例之一，而英国 ICO 和法国 CNIL 各自描述了一些范围很窄、汇总统计无需同意的情形。本文不构成法律建议。
事实核查于 2026 年 10 月 17 日。
扫一次二维码会发送哪些数据？
二维码存的是文本，通常是一个网址。扫码会让手机去请求这个地址，服务器就会收到手机的 IP 地址。欧盟法院在其关于 Breyer 案的新闻稿的脚注中指出了这一点。EDPB 的指引也把 HTTP 请求头（例如 User-Agent）列为请求可能携带的上下文数据。
如果是动态码，这个请求会先到达跳转服务，扫码统计就来自这里。如果是静态码，只有目标网站能看到它（两者的区别）。码本身不产生数据；保留什么，由运行服务器的一方决定。
如果从不存储 IP 地址，它还算个人数据吗？
欧盟委员会的说明把 IP 地址和 Cookie ID 列为个人数据。它把「处理」定义为对这类数据的任何操作，包括收集、查阅和使用，并以存储 IP 地址为例。它还说，只有不可逆的匿名化才算数。
在 Breyer 案（C-582/14）中，欧盟法院认定：如果网站运营者有合法途径借助互联网接入服务商掌握的额外信息识别访客，那么动态 IP 地址对该运营者而言就是个人数据。我们读的是法院 2016 年 10 月 19 日的新闻稿，不是判决原文；而且该案依据的是 1995 年的一项指令，据 EDPB 的指引，该指令已被 GDPR 废止。
所以「我们不存储 IP 地址」比「我们不处理任何个人数据」的范围要窄。每次请求仍会带来这个地址，当天对它做的哈希也仍然由它派生而来。我们读到的文本都没有说处于这种情况的服务不受数据保护法管辖，所以我们也不作这种声称。CNIL 的自评工具把去掉最后一段的 IP 地址描述为「假名化」。
二维码扫码统计可以不弹同意横幅吗？
这里常把两个问题混为一谈。第一个属于数据保护法（GDPR、英国 GDPR）：数据是不是个人数据，你的合法依据是什么，你要告知人们什么。第二个属于 ePrivacy 类规则，涉及在个人设备上存储或读取信息：什么时候需要同意。下面的豁免只回答第二个问题。ICO 说统计涉及个人数据时英国 GDPR 仍然适用；CNIL 也说它的自评工具并不评估整体合规。
扫码跳转显然涉及第一个问题。是否涉及第二个问题，取决于服务收集什么、怎么使用：EDPB 的指引说，收集 IP 地址或 User-Agent 等 HTTP 请求头可能触发 ePrivacy 规则（第 42、43 和 55 段），但没说一定会。这些文件都没有涉及二维码。
| 机构 | 关于统计的说法 | 日期 |
|---|---|---|
| 英国，ICO 指引 | 如果唯一目的是对服务使用情况做汇总统计以改进服务，并提供清晰的信息和「简单且免费」的反对方式，就不需要 PECR 意义上的同意。追踪单个访客（例如通过 IP 地址）需要同意。 | 最近更新于 2026 年 4 月 29 日 |
| 法国，CNIL 页面（法语） | 如果仅限发布者自己的受众测量和匿名统计，不做交叉比对或跨站追踪，即可豁免。建议告知用户，数据最多保留 25 个月。 | 2025 年 7 月 4 日 |
| 欧盟，EDPB | 只讲技术适用范围。豁免交由各国法律和监管机构决定；规则适用并不自动意味着需要同意。 | 2024 年 10 月 7 日通过 |
ICO 的判断标准是：这项例外「关乎你的服务如何被使用，而不是谁在使用」。它举出可能算作汇总统计的例子，包括设备类型、浏览器或系统版本、来源网址（referrer），以及不识别个人的、城市或地区级别的粗略位置。
CNIL 的工具中有一行对二维码很重要：在它的豁免配置里，测量获客渠道和广告活动效果被列为默认应关闭的用途。人们统计扫码往往就是为了比较不同投放位置，比如传单和海报。该工具没有提到二维码，所以请自行核实这条对你是否适用。这些文件来自英国、法国和欧盟层面；我们没有查阅其他国家。
真实的扫码记录对比起来如何？
QR Maker AI 的隐私政策列出了每条扫码记录包含的内容。与上面的示例对照：
| 项目 | ICO 和 CNIL 的示例 | QR Maker AI 扫码记录 |
|---|---|---|
| IP 地址 | ICO：通过 IP 追踪个人需要同意。CNIL 工具：如果使用，仅用于城市级位置，且至少去掉最后一段做假名化 | 不存储，完整的和截断的都不存；只在内存中用于生成当日哈希 |
| 位置 | ICO：城市或地区级别。CNIL 工具：城市级别 | 国家、州或省，以及由此推出的时区；没有城市 |
| 设备和浏览器 | ICO：设备类型、浏览器和系统版本。CNIL 工具：尽量少，例如只取主版本号 | 设备类型、浏览器、系统和主版本号，以浏览器上报的为准 |
| 来源和标签 | ICO 列出了来源网址。CNIL 工具：只取域名，网址中不带活动标识 | 原样记录 Referer 请求头，外加你可选添加的投放标签，例如 ?s=poster |
| 访客计数 | ICO 和 CNIL 工具：不追踪单个访客 | 用地址和日期生成的带密钥哈希统计当日独立访客，无法跨天关联；属于假名化，而非匿名化 |
| 保留期限 | ICO：个人级数据只在需要期间保存，并把汇总后仍保留这些数据列为超出例外范围。CNIL：建议最多 25 个月 | 扫码记录随码保存，隐私政策没有规定固定期限，所以在这一行我们并不比 ICO 和 CNIL 的示例更严格 |
在 IP 地址上，这份记录比这些示例更保守。位置精度不超过 ICO 提到的地区级别。在来源、标签和保留期限上，它并不比每个示例都严格。这份对比是我们自己做的，不是监管机构的评估，我们读到的文本也没有把「不存 IP」推荐为标准做法。扫码统计需要动态码，动态码需要已验证的账号；截至 2026 年 10 月，免费方案包含三个有效动态码。创建一个，就能在你自己的码上看到这些类别。
你应该告诉受众什么？
我们的隐私政策说，码的所有者通常是扫码数据的控制者，负责具备合法依据并告知扫码者。由于印刷码上写不了多少字，请把以下几点写进隐私声明，并从码打开的页面链接过去：
- 目的。 扫码数据只用于了解码的表现（例如哪个投放位置被扫），不作其他用途。ICO 的例外以这个唯一目的为前提。
- 类别。 列出你的服务商记录了什么，从它的政策中照抄，不要凭猜测。
- 汇总还是个人。 说明你只看到总数，还是存在访客标识（例如每日哈希）。只有服务商有书面说明时，才能声称它无法跨天关联。
- 保留期限。 说明你保留扫码记录多久。
- 反对与联系方式。 给出一个能用的联系地址。ICO 要求提供「简单且免费」的反对方式，CNIL 的工具要求在隐私政策里写明反对途径。
- 服务提供方。 写明你的二维码服务商。
- 其他。 你自己页面上的 Cookie 或按访客的追踪，要另行说明；四种统计扫码的方法比较了各种做法。
本文是对公开文件的摘要，不构成法律建议。请按你的受众所在的每个国家查阅原文。
常见问题
统计二维码扫码合法吗？
我们没有找到专门针对二维码扫码的监管文本。ICO 和 CNIL 对范围窄、汇总、单一用途的统计最宽松，但规则因国家和你收集的内容而异。请咨询熟悉你所在市场的律师。
二维码扫码统计需要 Cookie 同意吗？
取决于是否在个人设备上存储或读取了信息，以及各国的规定。EDPB 把豁免交给各国监管机构决定。
哈希过或截断过的 IP 地址算匿名吗？
别这么假定。欧盟委员会说匿名化必须不可逆，而 CNIL 的工具把去掉最后一段的 IP 地址称为假名化。
参考来源
- European Commission — Data protection explained. Undated. Accessed 17 October 2026.
- Information Commissioner's Office (UK) — What are the exceptions? (Guidance on the use of storage and access technologies). Guidance last updated 29 April 2026. Accessed 17 October 2026.
- CNIL (France) — Cookies : solutions pour les outils de mesure d'audience. French; paraphrases are ours. Published 4 July 2025. Accessed 17 October 2026.
- Court of Justice of the European Union — Press Release No 112/16, Judgment in Case C-582/14 Patrick Breyer v Bundesrepublik Deutschland. Published 19 October 2016. Accessed 17 October 2026.
- European Data Protection Board — Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, Version 2.0. Adopted 7 October 2024. Accessed 17 October 2026.
- CNIL (France) — Outil d'auto-évaluation relatif à la mise en œuvre d'une solution de mesure d'audience exemptée de consentement. French; paraphrases are ours. July 2025. Accessed 17 October 2026.