QR코드 자체는 개인정보를 수집할 수 없습니다. 그 안에는 보통 웹 주소 같은 텍스트만 들어 있습니다. 개인정보 문제는 그 링크를 열 때부터 시작됩니다. 링크 뒤의 서버는 스캔 시각, IP 주소, 대략적인 위치, 기기 종류 등을 볼 수 있고, 도착한 웹사이트는 쿠키로 추가 추적을 할 수도 있습니다.
메뉴판, 포스터, 택배 상자, 티켓, 결제 단말기까지 QR코드는 어디에나 있습니다. 그래서 스캔 한 번에 내 개인정보가 몰래 넘어가는 건 아닌지 궁금해하는 분이 많습니다. 솔직한 답은 "조금은 그렇고, 스캔 이후에 무슨 일이 일어나느냐에 달려 있다"입니다. 이 글에서는 어떤 정보가 수집될 수 있는지, 누가 수집하는지, 개인정보 관련 법이 이를 일반적으로 어떻게 다루는지, 그리고 내 정보를 지키는 방법을 설명합니다.
스캔할 때 실제로 일어나는 일
스캔은 두 단계로 이루어집니다.
- 카메라나 스캐너 앱이 패턴을 읽어 URL, Wi-Fi 정보, 연락처 같은 텍스트로 바꿉니다.
- 그것이 링크이고 내가 열기를 선택하면, 휴대폰은 다른 링크와 마찬가지로 해당 웹사이트에 접속합니다.
첫 번째 단계는 내 휴대폰 안에서만 일어납니다. QR코드는 인쇄된 데이터일 뿐이므로 스스로 프로그램을 실행하거나, 마이크를 켜거나, 파일을 읽을 수 없습니다. 정보가 공유될 수 있는 것은 두 번째 단계입니다. 이때부터 브라우저가 서버와 통신하기 때문입니다.
QR코드 스캔으로 노출될 수 있는 정보
QR코드의 링크를 열면, 특히 리다이렉트 서비스를 거치는 동적 QR코드라면, 관련 서비스는 보통 다음 정보를 알 수 있습니다.
- 스캔한 날짜와 시간
- IP 주소: 대략적인 도시나 지역, 사용하는 통신사를 짐작할 수 있습니다
- 기기와 브라우저 종류: 운영체제와 브라우저 버전 등
- 휴대폰의 언어 설정
- 어떤 코드를 스캔했는지: 쇼윈도 포스터로 왔는지 카운터 전단지로 왔는지 업체가 알 수 있습니다
그 이후 도착한 웹사이트는 다른 사이트와 마찬가지로 쿠키, 분석 도구, 광고 추적기를 쓸 수 있습니다. 로그인하거나 양식을 작성하거나 결제하면 훨씬 많은 정보를 공유하게 되지만, 이는 페이지에서 내가 선택한 행동이지 QR코드가 스스로 하는 일이 아닙니다.
일반적인 스캔으로 노출되지 않는 정보도 있습니다. 이름, 전화번호, 연락처 목록, 사진, 정확한 GPS 위치는 알 수 없습니다. 웹사이트가 정확한 위치를 얻으려면 브라우저가 권한을 요청하고 내가 허용해야 합니다.
업체가 QR코드 스캔을 추적하는 이유
QR코드와 관련된 추적은 대부분 평범한 마케팅 효과 측정입니다. 카페는 테이블 카드가 실제로 쓰이는지 알고 싶어 하고, 매장은 신문 광고와 매장 포스터의 효과를 비교하고 싶어 합니다. 동적 QR코드는 모든 스캔이 방문 수를 세는 짧은 링크를 거치기 때문에 이런 측정이 쉽습니다.
"이번 주 스캔 120회, 주로 저녁 시간대" 같은 집계 수치는 유용하고 위험도도 낮습니다. 문제는 데이터를 다른 정보와 결합하거나, 너무 오래 보관하거나, 제3자와 공유하거나, 사람들이 예상하지 못한 방식으로 쓸 때 생깁니다.
개인정보 관련 법의 일반 원칙
많은 나라에 QR코드로 수집되는 정보에도 적용되는 개인정보 보호 법률이 있습니다. 한국에는 개인정보 보호법이 있고, 태국에는 PDPA(개인정보보호법), 유럽연합에는 GDPR(일반 개인정보 보호규정)이 있습니다. 세부 내용은 서로 다르며 이 글은 법률 자문이 아니지만, 공통된 원칙은 다음과 같습니다.
- 개인정보에는 이름과 이메일뿐 아니라 IP 주소나 기기 식별자 같은 정보도 포함될 수 있습니다
- 투명성: 무엇을 왜 수집하는지 보통 개인정보 처리방침으로 알려야 합니다
- 데이터를 수집하고 이용하려면 정당한 근거가 필요하며, 일부 용도는 동의가 필요합니다
- 최소 수집: 밝힌 목적에 필요한 만큼만 수집합니다
- 보관 기간 제한: 필요 이상으로 오래 보관하지 않습니다
- 안전성 확보: 보유한 데이터를 안전하게 보호합니다
- 정보주체의 권리: 많은 경우 본인 정보의 열람이나 삭제를 요구할 수 있습니다
사업을 하면서 QR코드를 마케팅에 활용한다면, 내게 적용되는 규정을 확인하거나 전문가에게 문의하세요.
스캔하는 사람을 위한 개인정보 보호 팁
QR코드 스캔을 그만둘 필요는 없습니다. 몇 가지 습관만으로 주도권을 지킬 수 있습니다.
- 링크를 먼저 미리 보세요. 대부분의 휴대폰 카메라는 열기 전에 주소를 보여 줍니다. 읽어 보고 예상과 맞을 때만 진행하세요.
- 목적지를 보여 주는 스캐너를 쓰세요. QR-TH의 온라인 QR코드 스캐너는 브라우저에서 코드를 읽고 열기 전에 연결 주소를 보여 줍니다.
- 단축 링크는 조심하세요. 최종 목적지가 가려져 있습니다. 단축 링크가 어디로 가는지 확인하는 방법을 알아 두세요.
- 불필요한 권한은 거부하세요. 이유 없이 위치, 카메라, 알림 권한을 요청하는 페이지라면 허용하지 마세요.
- 쿠키를 제한하세요. 한 번만 보는 페이지라면 브라우저의 개인정보 설정이나 시크릿 모드를 활용하세요.
- 양식을 채우기 전에 생각하세요. 메뉴를 보는 데 주민등록번호가 필요할 리 없습니다. 주차 요금 결제 페이지는 공식 페이지여야 합니다.
- 사기를 경계하세요. 사기범은 QR코드로 로그인 정보와 결제 정보를 훔칩니다. QR코드 사기(큐싱) 글에서 경고 신호를 확인하세요.
QR코드를 쓰는 사업자를 위한 개인정보 체크리스트
메뉴판, 포장재, 포스터에 QR코드를 쓴다면 고객을 존중하면서도 성과를 측정할 수 있습니다.
- 스캔 통계는 집계 수치로 활용하고, 필요 이상으로 수집하지 마세요
- 사람들이 스캔하고 페이지를 방문할 때 무엇을 수집하는지 개인정보 처리방침에 설명하세요
- 마케팅 쿠키처럼 법이 요구하는 경우에는 동의를 받으세요
- 메뉴나 기본 정보를 보여 주는 데 회원가입을 강요하지 마세요
- 안전하게 검사된 주소로 연결하고, 스캔한 사람에게 광고를 보여 주지 않는 QR 서비스를 선택하세요
- 더 이상 쓰지 않는 오래된 데이터는 삭제하세요
- 2단계 로그인으로 계정을 보호해 다른 사람이 링크를 바꾸거나 통계를 보지 못하게 하세요
QR-TH의 동적 QR코드는 내 코드의 스캔 통계를 제공하고, 연결 주소는 Google Safe Browsing으로 검사됩니다. 고객을 엉뚱한 곳으로 보내지 않으면서 무엇이 효과적인지 측정할 수 있습니다.
FAQ
QR코드를 스캔하면 누군가 내 휴대폰에 접근할 수 있나요?
아니요. QR코드에는 링크 같은 데이터만 들어 있습니다. 위험한 것은 코드가 연결하는 웹사이트나 앱으로, 정보를 입력하게 하거나 무언가를 설치하도록 속이려 할 수 있습니다.
QR코드로 내 정확한 위치를 추적할 수 있나요?
QR코드만으로는 불가능합니다. 서버는 IP 주소로 대략적인 지역을 추정할 수 있을 뿐입니다. 정확한 GPS 위치는 웹사이트가 요청하고 내가 허용할 때만 공유됩니다.
동적 QR코드가 정적 QR코드보다 개인정보에 더 나쁜가요?
동적 코드는 짧은 링크를 거치기 때문에 서비스 제공자가 스캔 수를 셀 수 있습니다. 이 데이터는 보통 간단한 통계에 쓰입니다. 정적 코드는 목적지로 바로 가지만, 그 웹사이트도 여전히 데이터를 수집할 수 있습니다.
공공장소에서 QR코드를 스캔해도 안전한가요?
열기 전에 링크를 확인하고, 모르는 코드로 들어간 페이지에서 비밀번호나 결제 정보를 입력하지 않는다면 대체로 안전합니다.
주도권을 지키며 스캔하세요
QR코드의 편리함을 누리면서도 원하지 않는 정보까지 내줄 필요는 없습니다. 낯선 코드를 열기 전에 QR-TH의 QR코드 스캐너로 목적지를 먼저 확인하고, 계속할지는 직접 판단하세요.