Un código QR no puede recopilar tus datos por sí solo; solo contiene texto, normalmente una dirección web. Las cuestiones de privacidad empiezan cuando abres ese enlace. El servidor que hay detrás puede ver la hora del escaneo, tu dirección IP, tu ubicación aproximada y el tipo de dispositivo, y la web de destino puede seguir rastreándote con cookies.
Los códigos QR están por todas partes: cartas de restaurante, carteles, paquetes, entradas y terminales de pago. Mucha gente se pregunta si al escanear uno está entregando información personal sin darse cuenta. La respuesta sincera es "un poco, y depende de lo que pase después del escaneo". Esta guía explica qué se puede recopilar, quién lo recopila, cómo lo tratan las leyes de protección de datos en términos generales y cómo mantener el control.
Qué ocurre realmente al escanear
Escanear es un proceso en dos pasos:
- La cámara o la app de escaneo lee el patrón y lo convierte en texto, como una URL, los datos de una red Wi-Fi o una ficha de contacto.
- Si es un enlace y decides abrirlo, tu móvil se conecta a esa web como con cualquier otro enlace.
El primer paso ocurre en tu teléfono. El código QR no es más que datos impresos, así que no puede ejecutar código, activar el micrófono ni leer tus archivos por sí mismo. El segundo paso es donde se puede compartir información, porque tu navegador ya está hablando con un servidor.
Qué puede revelar el escaneo de un código QR
Cuando abres un enlace desde un código QR, sobre todo si es dinámico y pasa por un servicio de redirección, los servicios implicados suelen tener acceso a esta información:
- Fecha y hora del escaneo
- Dirección IP, que puede indicar tu ciudad o región aproximada y tu proveedor de internet
- Tipo de dispositivo y navegador, como el sistema operativo y la versión del navegador
- Idioma configurado en tu teléfono
- Qué código se escaneó, de modo que el negocio sabe si llegaste desde el cartel del escaparate o desde el folleto del mostrador
A partir de ahí, la web de destino puede usar cookies, herramientas de analítica o rastreadores publicitarios como cualquier otro sitio. Si inicias sesión, rellenas un formulario o pagas, compartes mucho más, pero eso es una decisión tuya en la página, no algo que haga el código QR por sí solo.
Lo que un escaneo normal no revela: tu nombre, tu número de teléfono, tus contactos, tus fotos ni tu posición GPS exacta. Una web solo puede conocer tu ubicación precisa si el navegador te pide permiso y tú aceptas.
Por qué las empresas rastrean los escaneos
La mayor parte del seguimiento de códigos QR es simple medición de marketing. Una cafetería quiere saber si se usan los expositores de las mesas. Una tienda quiere comparar un anuncio en el periódico con un cartel en el local. Los códigos QR dinámicos lo facilitan, porque cada escaneo pasa por un enlace corto que cuenta las visitas.
Las cifras agregadas, como "120 escaneos esta semana, sobre todo por la tarde", son útiles y de bajo riesgo. Los problemas empiezan cuando los datos se combinan, se guardan demasiado tiempo, se comparten con terceros o se usan de formas que la gente no esperaría.
Las leyes de protección de datos, en términos generales
Muchos países tienen leyes de protección de datos que se aplican a la información recogida mediante códigos QR. En la Unión Europea es el Reglamento General de Protección de Datos (RGPD), y en Tailandia la Ley de Protección de Datos Personales (PDPA); muchos países de Latinoamérica tienen también sus propias normas. Los detalles cambian, y esto no es asesoramiento jurídico, pero comparten algunos principios comunes:
- Los datos personales pueden incluir identificadores como direcciones IP o identificadores de dispositivo, no solo nombres y correos
- Transparencia: hay que informar a las personas de qué se recoge y para qué, normalmente en una política de privacidad
- Una base legítima para recoger y usar los datos, y algunos usos requieren consentimiento
- Minimización de datos: recoger solo lo necesario para la finalidad indicada
- Conservación limitada: no guardar los datos más tiempo del necesario
- Seguridad: proteger los datos que se tienen
- Derechos de las personas, como acceder a sus datos personales o pedir que se borren, en muchas situaciones
Si tienes un negocio y usas códigos QR para marketing, revisa las normas que te afectan o consulta a un asesor cualificado.
Consejos de privacidad para quien escanea
No hace falta dejar de escanear códigos QR. Unos cuantos hábitos te mantienen al mando:
- Revisa el enlace antes de abrirlo. La mayoría de las cámaras del móvil muestran la dirección antes de abrirla. Léela y continúa solo si coincide con lo que esperas.
- Usa un lector que muestre el destino. El lector de códigos QR online de QR-TH lee el código en tu navegador y te enseña adónde lleva antes de abrirlo.
- Ten cuidado con los enlaces cortos. Ocultan el destino final. Aprende a comprobar adónde lleva un enlace corto.
- Deniega los permisos innecesarios. Si una página te pide la ubicación, la cámara o las notificaciones sin un motivo claro, di que no.
- Limita las cookies. Usa los ajustes de privacidad del navegador o la navegación privada para escaneos puntuales.
- Piénsalo antes de rellenar formularios. Una carta de restaurante no debería pedirte el DNI. Una página para pagar el aparcamiento debería ser la oficial.
- Atento a las estafas. Los estafadores usan códigos QR para robar contraseñas y datos de pago. Nuestra guía sobre estafas con códigos QR explica las señales de alerta.
Lista de privacidad para negocios que usan códigos QR
Si pones códigos QR en tus cartas, envases o carteles, puedes medir resultados y respetar igualmente a tus clientes:
- Usa las estadísticas de escaneo de forma agregada y no recojas más de lo que necesitas
- Explica en tu política de privacidad qué recoges cuando la gente escanea y visita tu página
- Pide consentimiento cuando la ley lo exija, por ejemplo para cookies de marketing
- No obligues a registrarse solo para ver una carta o información básica
- Elige un proveedor de códigos QR que enlace a destinos seguros y revisados y que no muestre anuncios a quien escanea
- Borra los datos antiguos que ya no uses
- Protege tu cuenta con verificación en dos pasos para que nadie más pueda cambiar tus enlaces o leer tus estadísticas
Los códigos dinámicos de QR-TH te dan estadísticas de escaneo de tus propios códigos, y los enlaces de destino se comprueban con Google Safe Browsing, así que puedes medir qué funciona sin enviar a tus clientes a sitios inesperados.
Preguntas frecuentes
¿Escanear un código QR puede dar a alguien acceso a mi móvil?
No. Un código QR solo contiene datos, como un enlace. El riesgo está en la web o la app a la que lleva, que puede intentar engañarte para que introduzcas tus datos o instales algo.
¿Un código QR puede rastrear mi ubicación exacta?
No por sí solo. El servidor puede estimar una zona aproximada a partir de tu dirección IP. La ubicación GPS exacta solo se comparte si una web la pide y tú das permiso.
¿Los códigos QR dinámicos son peores para la privacidad que los estáticos?
Los códigos dinámicos pasan por un enlace corto, así que el proveedor puede contar los escaneos. Esos datos se suelen usar para estadísticas sencillas. Un código estático va directo a su destino, pero esa web también puede recoger datos.
¿Es seguro escanear códigos QR en lugares públicos?
Normalmente sí, si compruebas el enlace antes de abrirlo y evitas introducir contraseñas o datos de pago en páginas a las que llegaste desde un código desconocido.
Escanea con más control
Puedes disfrutar de la comodidad de los códigos QR sin dar más información de la que quieres. Antes de abrir un código desconocido, prueba el lector QR de QR-TH para ver primero el destino y decidir tú si continúas.