Bản thân mã QR không thể thu thập dữ liệu của bạn; nó chỉ chứa văn bản, thường là một địa chỉ web. Vấn đề quyền riêng tư bắt đầu khi bạn mở link đó. Máy chủ phía sau có thể thấy thời điểm quét, địa chỉ IP, vị trí ước lượng và loại thiết bị, còn trang web bạn truy cập có thể theo dõi thêm bằng cookie.
Mã QR có mặt ở khắp nơi: thực đơn, poster, bưu kiện, vé và quầy thanh toán. Nhiều người thắc mắc liệu quét một mã có âm thầm trao đi thông tin cá nhân hay không. Câu trả lời thẳng thắn là "có một chút, và tùy vào những gì xảy ra sau khi quét". Bài viết này giải thích những gì có thể bị thu thập, ai thu thập, các luật bảo vệ dữ liệu nhìn chung xử lý việc này ra sao, và cách để bạn luôn chủ động.
Điều gì thực sự xảy ra khi bạn quét
Quét mã là một quá trình gồm hai bước:
- Camera hoặc ứng dụng quét đọc hình mẫu và chuyển nó thành văn bản, chẳng hạn một URL, thông tin Wi-Fi hoặc một danh bạ.
- Nếu đó là một link và bạn chọn mở nó, điện thoại kết nối tới trang web đó như với bất kỳ link nào khác.
Bước đầu tiên diễn ra ngay trên điện thoại của bạn. Mã QR chỉ là dữ liệu được in ra, nên tự nó không thể chạy mã độc, bật micro hay đọc tệp của bạn. Bước thứ hai mới là lúc thông tin có thể được chia sẻ, vì trình duyệt của bạn giờ đang giao tiếp với một máy chủ.
Một lượt quét mã QR có thể tiết lộ gì
Khi bạn mở link từ mã QR, đặc biệt là mã động đi qua một dịch vụ chuyển hướng, các dịch vụ liên quan thường có thể thấy những thông tin sau:
- Ngày và giờ quét
- Địa chỉ IP, từ đó có thể đoán thành phố hoặc khu vực gần đúng và nhà mạng của bạn
- Loại thiết bị và trình duyệt, như hệ điều hành và phiên bản trình duyệt
- Cài đặt ngôn ngữ của điện thoại
- Mã nào đã được quét, nhờ đó doanh nghiệp biết bạn đến từ poster trên cửa kính hay tờ rơi ở quầy
Sau đó, trang đích có thể dùng cookie, công cụ phân tích hoặc trình theo dõi quảng cáo như mọi trang web khác. Nếu bạn đăng nhập, điền biểu mẫu hay thanh toán, bạn chia sẻ nhiều hơn hẳn, nhưng đó là lựa chọn của bạn trên trang web, không phải điều mã QR tự làm.
Những gì một lượt quét thông thường không tiết lộ: tên, số điện thoại, danh bạ, ảnh hay vị trí GPS chính xác của bạn. Trang web chỉ lấy được vị trí chính xác nếu trình duyệt hỏi quyền và bạn đồng ý.
Vì sao doanh nghiệp theo dõi lượt quét mã QR
Phần lớn việc theo dõi quanh mã QR chỉ là đo lường tiếp thị thông thường. Một quán cà phê muốn biết thẻ để bàn có được dùng không. Một cửa hàng muốn so sánh quảng cáo trên báo với poster trong cửa hàng. Mã QR động giúp việc này dễ dàng vì mỗi lượt quét đều đi qua một link ngắn có đếm lượt truy cập.
Các con số tổng hợp, như "120 lượt quét tuần này, chủ yếu vào buổi tối", vừa hữu ích vừa ít rủi ro. Vấn đề nảy sinh khi dữ liệu bị kết hợp, lưu quá lâu, chia sẻ cho bên thứ ba, hoặc dùng theo cách mọi người không ngờ tới.
Luật bảo vệ dữ liệu nói chung
Nhiều quốc gia có luật bảo vệ dữ liệu áp dụng cho thông tin thu thập qua mã QR. Ở Thái Lan đó là Đạo luật Bảo vệ Dữ liệu Cá nhân (PDPA), ở Liên minh châu Âu là Quy định Chung về Bảo vệ Dữ liệu (GDPR), và Việt Nam cũng có các quy định riêng về bảo vệ dữ liệu cá nhân. Chi tiết mỗi nơi khác nhau và đây không phải tư vấn pháp lý, nhưng chúng có một số nguyên tắc chung:
- Dữ liệu cá nhân có thể bao gồm các thông tin định danh như địa chỉ IP hay mã thiết bị, không chỉ tên và email
- Minh bạch: mọi người cần được cho biết dữ liệu nào được thu thập và để làm gì, thường qua một thông báo về quyền riêng tư
- Có cơ sở hợp lệ để thu thập và sử dụng dữ liệu, và một số mục đích cần sự đồng ý
- Tối thiểu hóa dữ liệu: chỉ thu thập những gì cần cho mục đích đã nêu
- Giới hạn thời gian lưu trữ: không giữ dữ liệu lâu hơn mức cần thiết
- Bảo mật: bảo vệ dữ liệu mà bạn đang nắm giữ
- Quyền của cá nhân, như quyền truy cập hoặc yêu cầu xóa dữ liệu cá nhân, trong nhiều trường hợp
Nếu bạn kinh doanh và dùng mã QR để tiếp thị, hãy kiểm tra các quy định áp dụng cho mình hoặc hỏi ý kiến chuyên gia có chuyên môn.
Mẹo bảo vệ quyền riêng tư cho người quét
Bạn không cần ngừng quét mã QR. Chỉ vài thói quen là đủ để bạn luôn chủ động:
- Xem trước link. Hầu hết camera điện thoại hiển thị địa chỉ trước khi mở. Hãy đọc nó và chỉ tiếp tục nếu đúng như bạn mong đợi.
- Dùng công cụ quét có hiển thị trang đích. Công cụ quét mã QR trực tuyến của QR-TH đọc mã ngay trong trình duyệt và cho bạn thấy nó dẫn đến đâu trước khi mở.
- Cẩn thận với link rút gọn. Chúng che giấu trang đích cuối cùng. Tìm hiểu cách kiểm tra link rút gọn dẫn đến đâu.
- Từ chối quyền không cần thiết. Nếu một trang xin quyền vị trí, camera hay thông báo mà không có lý do rõ ràng, hãy từ chối.
- Hạn chế cookie. Dùng cài đặt quyền riêng tư của trình duyệt hoặc chế độ duyệt ẩn danh cho những lần quét một lần.
- Suy nghĩ trước khi điền biểu mẫu. Một thực đơn không cần số căn cước của bạn. Trang thanh toán phí gửi xe phải là trang chính thức.
- Cảnh giác với lừa đảo. Kẻ gian dùng mã QR để đánh cắp thông tin đăng nhập và thanh toán. Bài viết về lừa đảo mã QR giải thích các dấu hiệu cảnh báo.
Danh sách kiểm tra quyền riêng tư cho doanh nghiệp dùng mã QR
Nếu bạn đặt mã QR trên thực đơn, bao bì hay poster, bạn vẫn có thể đo lường hiệu quả mà vẫn tôn trọng khách hàng:
- Dùng thống kê lượt quét ở dạng tổng hợp, và tránh thu thập nhiều hơn mức cần thiết
- Giải thích trong thông báo quyền riêng tư những gì bạn thu thập khi khách quét và truy cập trang
- Xin sự đồng ý khi luật yêu cầu, ví dụ với cookie tiếp thị
- Không bắt khách đăng ký chỉ để xem thực đơn hay thông tin cơ bản
- Chọn nhà cung cấp mã QR dẫn tới trang đích an toàn, đã được kiểm tra, và không hiển thị quảng cáo cho người quét
- Xóa dữ liệu cũ mà bạn không còn dùng
- Bảo vệ tài khoản bằng đăng nhập hai bước để không ai khác có thể đổi link hay xem thống kê của bạn
Mã động của QR-TH cung cấp thống kê lượt quét cho chính các mã của bạn, và link đích được kiểm tra với Google Safe Browsing, nên bạn có thể đo lường hiệu quả mà không đưa khách tới những nơi bất ngờ.
FAQ
Quét mã QR có thể giúp người khác truy cập vào điện thoại của tôi không?
Không. Mã QR chỉ chứa dữ liệu, ví dụ một link. Rủi ro nằm ở trang web hoặc ứng dụng mà nó dẫn tới, nơi có thể tìm cách lừa bạn nhập thông tin hoặc cài đặt thứ gì đó.
Mã QR có thể theo dõi vị trí chính xác của tôi không?
Tự nó thì không. Máy chủ có thể ước lượng khu vực gần đúng từ địa chỉ IP. Vị trí GPS chính xác chỉ được chia sẻ khi trang web xin quyền và bạn cho phép.
Mã QR động có kém riêng tư hơn mã tĩnh không?
Mã động đi qua một link ngắn, nên nhà cung cấp có thể đếm lượt quét. Dữ liệu đó thường chỉ dùng cho thống kê đơn giản. Mã tĩnh dẫn thẳng tới trang đích, nhưng trang web đó vẫn có thể thu thập dữ liệu.
Quét mã QR ở nơi công cộng có an toàn không?
Thường là an toàn, nếu bạn kiểm tra link trước khi mở và tránh nhập mật khẩu hay thông tin thanh toán trên những trang đến từ một mã lạ.
Quét mã chủ động hơn
Bạn hoàn toàn có thể tận hưởng sự tiện lợi của mã QR mà không trao đi nhiều hơn ý muốn. Trước khi mở một mã lạ, hãy thử công cụ quét mã QR của QR-TH để xem trang đích trước, rồi tự quyết định có tiếp tục hay không.