QRコードそのものがあなたのデータを集めることはできません。中身はただの文字列で、たいていはWebアドレスです。プライバシーが問題になるのは、そのリンクを開いたときです。リンク先のサーバーは、読み取った日時、IPアドレス、おおよその地域、端末の種類などを知ることができ、表示されたWebサイトがCookieなどでさらに追跡する場合もあります。
QRコードは、メニュー、ポスター、荷物、チケット、決済スタンドなど、あらゆる場所にあります。読み取るだけで個人情報がこっそり渡ってしまうのでは、と心配する人も少なくありません。正直に答えると「少しは伝わる。どの程度かは読み取ったあとに何が起きるか次第」です。このガイドでは、何が集められるのか、誰が集めるのか、データ保護の法律が一般的にどう扱っているのか、そして自分でコントロールする方法を解説します。
読み取ったときに実際に起きていること
QRコードの読み取りは2つのステップで進みます。
- カメラや読み取りアプリが模様を読み、URL、Wi-Fiの接続情報、連絡先などの文字列に変換する。
- それがリンクで、あなたが開くことを選んだ場合、スマホは普通のリンクと同じようにそのWebサイトに接続する。
最初のステップはスマホの中だけで完結します。QRコードは印刷されたデータにすぎないので、それ自体がプログラムを実行したり、マイクをオンにしたり、ファイルを読んだりすることはできません。情報が伝わる可能性があるのは2つ目のステップで、このときブラウザがサーバーとやり取りを始めます。
QRコードの読み取りでわかること
QRコードからリンクを開くと、特にリダイレクトサービスを経由する動的QRコードの場合、関係するサービスは一般的に次のような情報を取得できます。
- 読み取った日時
- IPアドレス：おおよその市区町村や地域、利用しているプロバイダーの推測に使われることがあります
- 端末とブラウザの種類：OSやブラウザのバージョンなど
- スマホの言語設定
- どのコードが読み取られたか：店頭ポスターから来たのか、レジ横のチラシから来たのかが事業者にわかります
その後、リンク先のWebサイトは、ほかのサイトと同じようにCookie、アクセス解析ツール、広告用のトラッカーを使う場合があります。ログインしたり、フォームに入力したり、支払いをしたりすれば、さらに多くの情報を渡すことになりますが、それはページ上でのあなたの選択であって、QRコードが勝手にしていることではありません。
通常の読み取りで伝わらないもの：氏名、電話番号、連絡先、写真、正確なGPSの位置情報。Webサイトが正確な位置を知ることができるのは、ブラウザが許可を求め、あなたが同意した場合だけです。
企業がQRコードのスキャンを計測する理由
QRコードにまつわるトラッキングの大半は、ごく普通のマーケティング効果測定です。カフェは卓上カードが使われているか知りたいし、店舗は新聞広告と店内ポスターの効果を比べたいと考えます。動的QRコードなら、すべての読み取りが短縮リンクを経由してアクセス数がカウントされるので、これが簡単にできます。
「今週120回読み取られ、ほとんどが夜だった」といった集計値は、役に立つうえにリスクも低いものです。問題になるのは、データを組み合わせたり、長く保管しすぎたり、第三者に提供したり、利用者が予想しない方法で使ったりした場合です。
データ保護に関する法律の一般的な考え方
多くの国には、QRコード経由で集めた情報にも適用されるデータ保護の法律があります。日本では個人情報保護法、欧州連合（EU）ではGDPR（一般データ保護規則）、タイではPDPA（個人情報保護法）がその例です。細かな内容は異なり、ここでの説明は法的助言ではありませんが、共通する原則があります。
- 個人に関する情報には、氏名やメールアドレスだけでなく、状況によってはIPアドレスや端末IDのような識別子も含まれ得る
- 透明性： 何を、なぜ集めるのかを、通常はプライバシーポリシーで利用者に知らせる
- 正当な理由がなければ収集・利用できず、用途によっては同意が必要になる
- データの最小化： 示した目的に必要なものだけを集める
- 保管期間の制限： 必要以上に長くデータを持ち続けない
- 安全管理： 保有するデータを守る
- 本人の権利： 多くの場合、個人データの開示や削除を求めることができる
事業者としてQRコードをマーケティングに使うなら、自社に適用されるルールを確認するか、専門家に相談してください。
読み取る人のためのプライバシー対策
QRコードを読み取るのをやめる必要はありません。いくつかの習慣で、自分で情報をコントロールできます。
- まずリンクをプレビューする。 多くのスマホのカメラは、開く前にアドレスを表示します。読んでみて、予想どおりの場合だけ進みましょう。
- リンク先を表示してくれる読み取りツールを使う。 QR-THの オンラインQRコードリーダー は、ブラウザ上でコードを読み取り、開く前にリンク先を表示します。
- 短縮URLには注意する。 最終的なリンク先が隠れています。短縮URLのリンク先を確認する方法 を参考にしてください。
- 不要な許可は拒否する。 はっきりした理由もなく位置情報、カメラ、通知の許可を求めるページには「許可しない」を選びましょう。
- Cookieを制限する。 ブラウザのプライバシー設定を使うか、一度きりの読み取りならプライベートブラウズを使います。
- フォームに入力する前に考える。 メニューを見るのにマイナンバーは必要ありません。駐車料金の支払いページは公式のものであるべきです。
- 詐欺に注意する。 詐欺師はQRコードを使ってログイン情報や決済情報を盗みます。QRコード詐欺 のガイドで危険なサインを解説しています。
QRコードを使う事業者向けプライバシーチェックリスト
メニュー、パッケージ、ポスターにQRコードを載せる場合でも、お客さんを尊重しながら効果を測ることはできます。
- 読み取りの統計は集計値として使い、必要以上の情報は集めない
- 読み取りやページ訪問の際に何を収集するかを、プライバシーポリシーで説明する
- マーケティング用Cookieなど、法律で同意が必要な場面では同意を得る
- メニューや基本情報を見るだけのために会員登録を強制しない
- 安全性を確認したリンク先につなぎ、読み取った人に広告を表示しないQRコードサービスを選ぶ
- 使わなくなった古いデータは削除する
- 2段階認証でアカウントを守り、他人がリンクを書き換えたり統計を見たりできないようにする
QR-THの動的QRコードでは、自分のコードの読み取り統計を確認できます。リンク先はGoogle Safe Browsingでチェックされるため、お客さんを予想外の場所に送ることなく、何が効果的かを測ることができます。
よくある質問（FAQ）
QRコードを読み取っただけで、スマホに侵入されることはありますか？
いいえ。QRコードに入っているのはリンクなどのデータだけです。危険なのはリンク先のWebサイトやアプリで、情報を入力させたり、何かをインストールさせたりしようとする場合があります。
QRコードで正確な現在地を追跡されますか？
QRコードだけでは追跡されません。サーバーはIPアドレスからおおよその地域を推測できますが、正確なGPSの位置情報が伝わるのは、Webサイトが許可を求めてあなたが許可した場合だけです。
動的QRコードは静的QRコードよりプライバシー面で劣りますか？
動的QRコードは短縮リンクを経由するため、提供サービスが読み取り回数を数えられます。そのデータは通常、簡単な統計に使われます。静的QRコードは直接リンク先に飛びますが、そのWebサイト側でデータが集められる可能性は変わりません。
公共の場所でQRコードを読み取っても安全ですか？
開く前にリンクを確認し、知らないコードからたどり着いたページでパスワードや決済情報を入力しなければ、通常は安全です。
自分でコントロールしながら読み取ろう
必要以上の情報を渡さずに、QRコードの便利さを楽しむことはできます。見慣れないコードを開く前に、QR-THの QRコードリーダー でリンク先を確認し、進むかどうかを自分で判断してください。