Um QR Code, por si só, não consegue coletar seus dados; ele só guarda um texto, normalmente um endereço da web. As questões de privacidade começam quando você abre esse link. O servidor por trás dele pode ver o horário da leitura, seu endereço IP, a localização aproximada e o tipo de aparelho, e o site em que você cai pode rastrear você ainda mais com cookies.
QR Codes estão em todo lugar: cardápios, cartazes, encomendas, ingressos e maquininhas de pagamento. Muita gente se pergunta se escanear um deles entrega informações pessoais sem que a gente perceba. A resposta honesta é "um pouco, e depende do que acontece depois da leitura". Este guia explica o que pode ser coletado, quem coleta, como as leis de proteção de dados tratam isso em linhas gerais e como manter o controle.
O que realmente acontece quando você escaneia
Escanear é um processo em duas etapas:
- A câmera ou o aplicativo leitor interpreta o padrão e o transforma em texto, como uma URL, dados de Wi-Fi ou um cartão de contato.
- Se for um link e você decidir abrir, o celular se conecta àquele site como em qualquer outro link.
A primeira etapa acontece no seu celular. O QR Code é apenas um dado impresso, então ele não consegue executar programas, ligar o microfone ou ler seus arquivos sozinho. É na segunda etapa que informações podem ser compartilhadas, porque agora o navegador está conversando com um servidor.
O que a leitura de um QR Code pode revelar
Quando você abre um link vindo de um QR Code, principalmente de um código dinâmico que passa por um serviço de redirecionamento, estas informações costumam ficar disponíveis para os serviços envolvidos:
- Data e hora da leitura
- Endereço IP, que pode indicar sua cidade ou região aproximada e sua operadora
- Tipo de aparelho e navegador, como o sistema operacional e a versão do navegador
- Idioma configurado no celular
- Qual código foi escaneado, para a empresa saber se você veio do cartaz da vitrine ou do panfleto do balcão
Depois disso, o site de destino pode usar cookies, ferramentas de análise ou rastreadores de anúncios como qualquer outro site. Se você faz login, preenche um formulário ou paga, compartilha muito mais, mas isso é uma escolha sua na página, não algo que o QR Code faz sozinho.
O que uma leitura comum não revela: seu nome, número de telefone, contatos, fotos ou posição exata de GPS. Um site só consegue sua localização exata se o navegador pedir permissão e você aceitar.
Por que as empresas rastreiam leituras de QR Code
A maior parte do rastreamento em QR Codes é medição de marketing comum. Uma cafeteria quer saber se os displays de mesa estão sendo usados. Uma loja quer comparar um anúncio no jornal com um cartaz dentro da loja. QR Codes dinâmicos facilitam isso, porque toda leitura passa por um link curto que conta as visitas.
Números agregados, como "120 leituras nesta semana, a maioria à noite", são úteis e de baixo risco. Os problemas começam quando os dados são cruzados, guardados por tempo demais, compartilhados com terceiros ou usados de formas que as pessoas não esperariam.
Leis de proteção de dados em linhas gerais
Muitos países têm leis de proteção de dados que se aplicam a informações coletadas por meio de QR Codes. No Brasil, é a Lei Geral de Proteção de Dados Pessoais (LGPD); na União Europeia, o Regulamento Geral sobre a Proteção de Dados (GDPR); na Tailândia, a PDPA. Os detalhes variam, e este texto não é orientação jurídica, mas elas compartilham alguns princípios:
- Dado pessoal pode incluir identificadores como endereço IP ou ID do aparelho, não só nome e e-mail
- Transparência: as pessoas devem ser informadas sobre o que é coletado e por quê, geralmente em um aviso de privacidade
- Uma base legal é necessária para coletar e usar os dados, e alguns usos exigem consentimento
- Minimização: colete apenas o necessário para a finalidade informada
- Retenção limitada: não guarde dados por mais tempo do que o necessário
- Segurança: proteja os dados que você tem
- Direitos do titular, como acessar ou pedir a exclusão de dados pessoais, em muitas situações
Se você tem uma empresa e usa QR Codes em ações de marketing, verifique as regras que se aplicam ao seu caso ou consulte um profissional qualificado.
Dicas de privacidade para quem escaneia
Você não precisa parar de escanear QR Codes. Alguns hábitos mantêm você no controle:
- Veja a prévia do link antes. A maioria das câmeras de celular mostra o endereço antes de abrir. Leia e só continue se for o que você espera.
- Use um leitor que mostre o destino. O leitor de QR Code online do QR-TH lê o código no navegador e mostra para onde ele leva antes de você abrir.
- Cuidado com links curtos. Eles escondem o destino final. Aprenda a descobrir para onde vai um link curto.
- Negue permissões desnecessárias. Se uma página pede sua localização, câmera ou notificações sem um motivo claro, diga não.
- Limite os cookies. Use as configurações de privacidade do navegador ou a navegação anônima para leituras pontuais.
- Pense antes de preencher formulários. Um cardápio não deveria pedir seu CPF. Uma página de pagamento de estacionamento deve ser a oficial.
- Fique de olho nos golpes. Golpistas usam QR Codes para roubar senhas e dados de pagamento. Nosso guia sobre golpe do QR Code mostra os sinais de alerta.
Checklist de privacidade para empresas que usam QR Code
Se você coloca QR Codes em cardápios, embalagens ou cartazes, dá para medir resultados e ainda respeitar seus clientes:
- Use as estatísticas de leitura de forma agregada e evite coletar mais do que precisa
- Explique em um aviso de privacidade o que é coletado quando as pessoas escaneiam e visitam sua página
- Peça consentimento quando a lei exigir, por exemplo para cookies de marketing
- Não obrigue ninguém a se cadastrar só para ver um cardápio ou informações básicas
- Escolha um serviço de QR Code que leve a destinos seguros e verificados e não mostre anúncios para quem escaneia
- Apague dados antigos que você não usa mais
- Proteja sua conta com verificação em duas etapas, para ninguém mais alterar seus links ou ver suas estatísticas
Os códigos dinâmicos do QR-TH oferecem estatísticas de leitura dos seus próprios códigos, e os links de destino são verificados no Google Safe Browsing, então você mede o que funciona sem mandar clientes para lugares inesperados.
FAQ
Escanear um QR Code pode dar acesso ao meu celular?
Não. Um QR Code contém apenas dados, como um link. O risco está no site ou aplicativo para onde ele leva, que pode tentar enganar você para digitar dados ou instalar algo.
Um QR Code consegue rastrear minha localização exata?
Sozinho, não. O servidor pode estimar uma área aproximada pelo seu endereço IP. A localização exata de GPS só é compartilhada se um site pedir e você der permissão.
QR Codes dinâmicos são piores para a privacidade do que os estáticos?
Códigos dinâmicos passam por um link curto, então o serviço pode contar as leituras. Esses dados normalmente são usados para estatísticas simples. Um código estático vai direto ao destino, mas o site de destino ainda pode coletar dados.
É seguro escanear QR Codes em lugares públicos?
Em geral, sim, se você conferir o link antes de abrir e evitar digitar senhas ou dados de pagamento em páginas que chegou por meio de um código desconhecido.
Escaneie com mais controle
Dá para aproveitar a praticidade do QR Code sem entregar mais do que você pretende. Antes de abrir um código desconhecido, experimente o leitor de QR Code do QR-TH para ver o destino primeiro e decidir por conta própria se vale continuar.