二维码本身无法收集你的数据，它只是存着一段文字，通常是一个网址。隐私问题出现在你打开链接之后：背后的服务器可以看到扫码时间、你的 IP 地址、大致位置和设备类型，打开的网站还可能通过 Cookie 等方式进一步追踪你。
菜单、海报、快递单、门票、收银台，二维码无处不在。很多人担心：扫一下码，会不会悄悄交出了个人信息？老实说，答案是“会有一点，具体取决于扫码之后发生了什么”。本文讲清楚哪些信息可能被收集、由谁收集、数据保护法规的一般原则，以及如何掌握主动权。
扫码时到底发生了什么
扫码分两步：
- 手机相机或扫码 App 读取图案，把它转换成文字，比如一个网址、Wi-Fi 信息或联系人名片。
- 如果是链接，并且你选择打开，手机就会像打开普通链接一样连接那个网站。
第一步完全在你的手机上完成。二维码只是印出来的数据，它本身不能运行代码、打开你的麦克风或读取你的文件。第二步才可能产生信息交换，因为此时你的浏览器在和服务器通信。
扫码可能暴露哪些信息
当你打开二维码里的链接，尤其是经过跳转服务的活码时，相关服务通常可以获取以下信息：
- 扫码的日期和时间
- IP 地址，可以推测你大致所在的城市或地区，以及你使用的运营商
- 设备和浏览器类型，比如操作系统和浏览器版本
- 手机的语言设置
- 扫的是哪一个码，商家借此知道你是从橱窗海报还是收银台传单过来的
之后，目标网站可能像其他网站一样使用 Cookie、统计分析工具或广告追踪。如果你登录、填写表单或付款，分享的信息就多得多，但那是你在页面上的选择，而不是二维码自己做的事。
正常扫码不会暴露的信息：你的姓名、手机号、通讯录、照片或精确的 GPS 位置。网站只有在浏览器弹出请求、你同意授权后，才能获取你的精确位置。
商家为什么要统计扫码
大多数与二维码相关的追踪，只是普通的营销效果统计。咖啡店想知道桌上的扫码点单卡有没有人用；门店想比较报纸广告和店内海报哪个效果好。活码让这件事变得很容易，因为每次扫码都会经过一条会计数的短链接。
“本周扫码 120 次，大多在晚上”这类汇总数字很有用，风险也低。问题出在数据被合并、保存过久、分享给第三方，或者被用在人们意想不到的地方。
数据保护法规的一般原则
许多国家和地区都有适用于扫码收集信息的数据保护法规。在中国内地是《个人信息保护法》，在泰国是《个人数据保护法》（PDPA），在欧盟是《通用数据保护条例》（GDPR）。各地细节不同，以下也不构成法律意见，但它们有一些共同原则：
- 个人信息不只包括姓名和邮箱，也可能包括 IP 地址、设备标识等
- 公开透明：应当告知用户收集了什么、为什么收集，通常写在隐私政策里
- 合法依据：收集和使用数据需要正当理由，某些用途需要取得同意
- 最小必要：只收集实现所述目的所需的信息
- 限期保存：不要超过必要期限保存数据
- 安全保障：保护好所持有的数据
- 个人权利：很多情况下，个人有权查阅、删除自己的个人信息
如果你经营生意并用二维码做营销，请了解适用于你的规定，或咨询专业人士。
扫码用户的隐私小贴士
你不必因此不再扫码。养成几个习惯，就能掌握主动权：
- 先预览链接。 大多数手机相机会在打开前显示网址。看清楚，确认和预期一致再继续。
- 使用会显示目标地址的扫码工具。 QR-TH 的在线扫码工具直接在浏览器里识别二维码，打开之前先告诉你它会跳转到哪里。
- 小心短链接。 短链接会隐藏最终地址。了解如何查看短链接跳转到哪里。
- 拒绝不必要的权限。 如果页面无缘无故索要定位、相机或通知权限，直接拒绝。
- 限制 Cookie。 使用浏览器的隐私设置，或在无痕模式下打开一次性扫码的页面。
- 填写表单前想一想。 看个菜单不需要你的身份证号；停车缴费页面应该是官方页面。
- 警惕诈骗。 骗子会利用二维码窃取账号和支付信息。我们的二维码诈骗防范指南介绍了常见的危险信号。
商家使用二维码的隐私清单
如果你在菜单、包装或海报上放二维码，完全可以既统计效果，又尊重顾客：
- 以汇总形式使用扫码统计，不收集超出需要的信息
- 在隐私政策中说明用户扫码和访问页面时你会收集什么
- 在法律要求的情况下征得同意，例如营销类 Cookie
- 不要强制注册或关注才能看菜单等基本信息
- 选择链接经过安全检测、且不向扫码者展示广告的二维码服务
- 删除不再使用的旧数据
- 为账号开启两步验证，防止他人篡改你的链接或查看统计数据
QR-TH 的活码会为你自己的二维码提供扫码统计，目标链接也会经过 Google Safe Browsing 检测，让你既能衡量效果，又不会把顾客带到意想不到的地方。
FAQ
扫一个二维码会让别人控制我的手机吗？
不会。二维码只包含链接等数据。风险在于它指向的网站或应用，可能诱导你输入信息或安装某些东西。
二维码能追踪我的精确位置吗？
二维码本身不能。服务器可以根据 IP 地址估算大致区域，只有网站请求定位且你同意授权，才会共享精确的 GPS 位置。
活码比静态二维码更不利于隐私吗？
活码会经过一条短链接，所以服务商可以统计扫码次数，这些数据通常只用于简单统计。静态码直接跳到目标网站，但那个网站同样可以收集数据。
在公共场所扫二维码安全吗？
一般是安全的，前提是打开前先检查链接，并且不在通过陌生二维码打开的页面上输入密码或支付信息。
更放心地扫码
你完全可以享受二维码的便利，而不交出超出本意的信息。打开陌生二维码之前，先用 QR-TH 的扫码工具查看目标地址，再自己决定要不要继续。