RGPD y analítica de códigos QR: lista de verificación

RGPD y analítica de códigos QR: lista práctica de verificación del cumplimiento

Al escanear un código QR, el teléfono puede pasar por varios servicios antes de que aparezca una página. El escaneo puede llegar a una plataforma de enlaces cortos, pasar por un proveedor de analítica y, después, cargar una página de campaña con sus propias cookies. Cada paso puede influir en la información que se recopila y en quién la trata.

El cumplimiento del RGPD en la analítica de códigos QR empieza por revisar todo el recorrido del escaneo, no solo el panel donde aparecen los totales. Esta lista ayuda a entender cómo cumplir el RGPD con códigos QR antes del lanzamiento y a volver a comprobarlo cuando cambien el destino, un proveedor o algún ajuste de seguimiento. Las obligaciones legales dependen de la configuración y de las personas afectadas, así que consulta a un profesional cualificado si tienes dudas.

1. Antes del lanzamiento: traza el recorrido del escaneo

Empieza por el código impreso. Anota todos los destinos y servicios con los que se conecta el teléfono tras el escaneo, incluidos cualquier redireccionamiento, servicio de enlaces cortos, página de destino, gestor de etiquetas, herramienta de analítica y píxel publicitario. Un cartel de campaña que dirige a una URL corta puede implicar más tratamiento de datos de lo que sugiere el destino visible.

Guarda una copia del enlace real y pruébalo en un teléfono. Registra cada redireccionamiento en orden, la organización que lo gestiona y los campos de datos que se recopilan en cada etapa. Para aclarar qué datos recopila un código QR en la práctica, revisa también los servicios a los que dirige: por ejemplo, un servicio de redireccionamiento puede registrar la hora y la dirección IP, mientras que una página de destino también puede activar un evento de analítica basado en cookies.

Elabora un inventario sencillo para cada paso. Incluye la finalidad, los datos recopilados, los destinatarios, la ubicación de almacenamiento si se conoce y durante cuánto tiempo estarán disponibles los registros. Anota los datos desconocidos para investigarlos, en lugar de dar por hecho que un proveedor no recopila nada porque su panel solo muestra totales.

• Código QR: Determina si el código es estático o dirige a un redireccionamiento editable.
• Redireccionamiento: Comprueba si el servicio registra direcciones IP, detalles del dispositivo o la hora del escaneo.
• Página de destino: Enumera las cookies, los píxeles, los formularios y los scripts de analítica que se cargan.
• Herramientas posteriores: Anota los CRM, plataformas de correo electrónico o cuentas publicitarias que reciban eventos.

Para una campaña pequeña, suele bastar con una hoja de cálculo. Asigna a cada código QR un nombre de campaña, como «Menú de primavera — escaparate de la cafetería», para poder vincular los datos de los escaneos con el material impreso correcto, en lugar de recurrir a una etiqueta poco clara como «QR 4».

2. Asigna responsabilidades y elige una base jurídica

Identifica quién decide por qué se recopilan los datos de los escaneos y cómo se usan en la campaña. Esa organización puede ser responsable del tratamiento, mientras que un proveedor que actúe únicamente siguiendo sus instrucciones puede ser encargado del tratamiento; los roles dependen del tratamiento y de los acuerdos concretos. La denominación que aparezca en un contrato no basta para determinarlo.

Para cada finalidad, documenta la base jurídica propuesta y por qué es adecuada. Medir el volumen total de visitas, atribuir compras y crear un perfil publicitario son finalidades distintas; no las agrupes bajo una actividad genérica de «analítica». Si un minorista y una agencia deciden conjuntamente qué datos recopilar y cómo utilizarlos, evalúa sus respectivas funciones y responsabilidades.

Comprueba si las normas aplicables sobre privacidad y comunicaciones electrónicas exigen consentimiento para usar cookies, píxeles o tecnologías de seguimiento similares. Escanear un código QR no implica automáticamente consentir el seguimiento. Si se necesita consentimiento, asegúrate de que la opción correspondiente aparezca antes de que empiece el seguimiento no esencial y comprueba que, al rechazarlo, no se activen igualmente los mismos scripts de forma inadvertida.

El consentimiento no es una mera etiqueta. Cuando sea necesario, conserva pruebas de la elección, como el registro del consentimiento y la versión del aviso que se mostró. Si la campaña solo usa un redireccionamiento básico y cifras agregadas, documenta por qué basta con esa medición limitada y comprueba si aun así se tratan datos personales.

Revisa las condiciones de terceros antes del lanzamiento. Si una campaña QR dirige a los visitantes a un servicio de Google, consulta la política de privacidad aplicable – privacidad y condiciones y determina qué ajustes o avisos corresponden a tu uso; no des por hecho que el aviso del proveedor sustituye al tuyo.

3. Prepara avisos claros y accesibles

Explica a las personas qué ocurre cuando escanean el código. El aviso debe identificar a la organización responsable, las finalidades de la recopilación, los tipos de datos tratados, los destinatarios o las categorías de destinatarios y los plazos de conservación, además de cualquier otra información exigida en ese caso. No te limites a decir «usamos analítica» si la página también envía eventos a una plataforma publicitaria.

Pon el aviso a disposición de las personas antes de que empiece la recopilación o en el momento en que comience, para que puedan entender el tratamiento desde el inicio. Una frase breve junto al código puede dirigir a un aviso de privacidad completo, pero un aviso oculto tras varios toques en la página de destino quizá no explique un redireccionamiento que ya haya registrado datos del escaneo.

Procura que la explicación inicial sea fácil de leer en un teléfono. Por ejemplo, en un soporte de mesa de restaurante, coloca un enlace breve a la información de privacidad junto al código QR y permite acceder al aviso completo desde la página del menú. Usa descripciones sencillas, como «registramos la hora de la visita para contar los escaneos del menú», en lugar de expresiones como «tratamiento de eventos».

Contrasta el aviso con el mapa del recorrido. Si el código abre primero una plataforma de enlaces cortos, asegúrate de que la explicación cubra esa recopilación cuando corresponda, y no solo el script de analítica de la página final. Incluye datos de contacto y una vía clara para consultas sobre privacidad, como una dirección de correo electrónico que se supervise o un formulario web.

Si la campaña utiliza herramientas de Google, revisa las condiciones del servicio de Google – privacidad junto con la configuración del servicio y tus propias obligaciones. Las condiciones del proveedor pueden ayudar a identificar funciones y flujos de datos, pero no constituyen automáticamente un aviso completo para tu campaña.

4. Minimiza los datos y fija plazos de conservación

Recopila solo los campos necesarios para una finalidad definida. Si el equipo de la campaña necesita comparar los escaneos según la ubicación de los carteles, puede bastar con un código específico para la campaña o una indicación general de la ubicación. Recopilar coordenadas GPS precisas o una huella digital completa del dispositivo podría añadir riesgos sin aportar información útil.

Revisa por separado el tratamiento de las direcciones IP, los identificadores de dispositivos, las marcas de tiempo y los datos de ubicación. Pregúntate si cada campo es necesario, si se puede acortar o agregar y si la analítica puede funcionar sin él. Que un campo constituya un dato personal depende del contexto y del uso que se le dé.

Establece un plazo de conservación para los eventos de escaneo sin procesar y los registros vinculados. Un calendario útil puede distinguir entre los registros de eventos identificables y los totales agregados de la campaña, e indicar cuándo se elimina cada uno o se transforma para que las personas dejen de ser identificables. Elige los plazos en función de las necesidades operativas y los requisitos aplicables, en lugar de conservar los datos indefinidamente porque la configuración predeterminada del proveedor lo permita.

Lleva un registro de las eliminaciones. Por ejemplo, si está previsto eliminar los registros sin procesar una vez transcurrido el plazo aprobado, anota quién se encarga, en qué sistema se encuentran y cómo se comprueba su eliminación; incluye las copias de seguridad y las exportaciones en el plan. Si la campaña no necesita vincular un escaneo con un cliente identificado por su nombre, evita enlazar los datos de escaneo con un registro del CRM solo porque ambas herramientas estén disponibles.

5. Revisa los proveedores de analítica y los flujos de datos

La analítica de códigos QR y protección de datos deben revisarse conjuntamente: enumera todos los proveedores que reciben información relacionada con los escaneos, incluidos la plataforma de códigos QR, el proveedor de alojamiento, el servicio de analítica, el gestor de etiquetas y cualquier agencia con acceso a las cuentas. Para cada proveedor, revisa las condiciones del tratamiento, las instrucciones, los compromisos de seguridad, la información sobre subencargados y la asistencia para atender solicitudes de acceso o eliminación. Si la documentación pública no aclara algún aspecto importante, pide respuestas por escrito.

Comprueba dónde se almacenan los datos y desde dónde se puede acceder a ellos. Un proveedor puede alojar información en un país y permitir que su personal de asistencia o sus subencargados accedan a ella desde otro; por eso, revisa todo el recorrido, no solo el país que destaca en la página comercial. Comprueba si los datos se transfieren o se consultan desde fuera de la jurisdicción pertinente e identifica las garantías aplicables antes del lanzamiento.

Confirma que el contrato cubre el tratamiento que realmente tienes previsto realizar. Si un proveedor recibe identificadores de escaneo para medir una campaña, pero su configuración también activa funciones publicitarias, desactiva las que no necesites y confirma el cambio en la cuenta. Firmar un acuerdo no hace que una configuración inadecuada sea segura por sí sola.

Si utilizas un redireccionamiento o una integración de analítica basada en API, documenta el endpoint, las credenciales y los campos de datos que se envían en cada solicitud. No incluyas credenciales en destinos QR públicos ni en documentos del personal. Limita los permisos de las cuentas a las personas que gestionan la campaña y revisa los accesos cuando termine el contrato con una agencia.

6. Prueba cómo atender solicitudes y cambios en la campaña

Documenta cómo derivará el equipo las solicitudes de acceso, supresión u oposición al tratamiento, así como la forma de registrar la retirada del consentimiento cuando corresponda. Identifica los derechos, los plazos de respuesta y las excepciones aplicables en función de las circunstancias y jurisdicciones pertinentes. Designa a una persona responsable y a un contacto suplente.

Prueba el proceso con un registro de ejemplo antes de imprimir o distribuir los códigos. Comprueba si el equipo puede localizar un registro de escaneo en la plataforma de redireccionamiento, la cuenta de analítica y el CRM, si esos sistemas están vinculados. Si no se pueden encontrar los registros sin un identificador, documenta esa limitación y decide si la campaña debería recopilarlo.

Vuelve a hacer las pruebas después de cualquier cambio importante. Revisa el recorrido si se sustituye un proveedor, se añade un píxel a una página de destino, cambia el destino o se empieza a dirigir la campaña a un público nuevo. Una actualización del redireccionamiento puede cambiar la recopilación de datos aunque el código QR impreso siga siendo exactamente el mismo.

Guarda un expediente fechado de la campaña con el mapa del recorrido, la versión del aviso, la evaluación de la base jurídica, la revisión de proveedores, el calendario de conservación y los resultados de las pruebas. Antes de aprobar la siguiente tirada, compara la ruta activa del escaneo con ese expediente y resuelve cualquier nueva recopilación de datos antes de que el código llegue a los clientes.