RGPD et codes QR : checklist pour les analyses

RGPD et suivi des scans de codes QR : une liste de contrôle pratique

Avant qu’une page ne s’affiche, un code QR peut faire transiter un téléphone par plusieurs services. Le scan peut d’abord passer par une plateforme de liens courts, puis par un fournisseur d’outils d’analyse, avant de charger une page de campagne qui utilise ses propres cookies. Chaque étape peut avoir une incidence sur les informations recueillies et les personnes qui les traitent.

Pour savoir comment respecter le RGPD avec les codes QR, il faut examiner l’ensemble du parcours du scan, et pas seulement le tableau de bord qui affiche le nombre de scans. Suivez cette liste de contrôle avant le lancement, puis reprenez-la lorsque la destination, un fournisseur ou un paramètre de suivi change. Les obligations légales dépendent de la configuration et des personnes concernées : en cas de doute, consultez un conseiller qualifié.

1. Avant le lancement : cartographier le parcours du scan

Commencez par le code imprimé. Notez chaque destination et chaque service avec lequel le téléphone entre en contact après le scan : redirection, service de liens courts, page de destination, gestionnaire de balises, outil d’analyse ou pixel publicitaire. Une affiche de campagne renvoyant vers une URL courte peut impliquer davantage de traitements que ne le laisse penser la destination visible.

Conservez une copie du lien réel et testez-le sur un téléphone. Notez chaque redirection dans l’ordre, l’organisation qui l’exploite et les données recueillies à cette étape. Par exemple, un service de redirection peut enregistrer l’horodatage et l’adresse IP, tandis qu’une page de destination peut également déclencher un événement d’analyse reposant sur des cookies.

Établissez un inventaire simple pour chaque étape. Indiquez la finalité, les données recueillies, les destinataires, le lieu de stockage s’il est connu et la durée pendant laquelle les données restent disponibles. Signalez les inconnues à vérifier au lieu de supposer qu’un fournisseur ne recueille rien simplement parce que son tableau de bord n’affiche que des totaux.

• Code QR : Déterminez si le code est statique ou s’il renvoie vers une redirection modifiable.
• Redirection : Vérifiez si le service enregistre les adresses IP, les caractéristiques des appareils ou les heures de scan.
• Page de destination : Recensez les cookies, pixels, formulaires et scripts d’analyse qui se chargent.
• Outils en aval : Notez les éventuels CRM, plateformes d’e-mail ou comptes publicitaires qui reçoivent des événements.

Pour une petite campagne, un tableur suffit souvent. Attribuez à chaque code QR un nom de campagne, par exemple « Menu de printemps — vitrine du café », afin de pouvoir associer un scan à l’élément imprimé correspondant, plutôt que de vous fier à une étiquette vague comme « QR 4 ».

2. Déterminer les responsabilités et choisir une base légale

Déterminez qui décide des raisons pour lesquelles les données de scan sont recueillies et de la manière dont elles sont utilisées dans le cadre de la campagne. Cette organisation peut être responsable du traitement, tandis qu’un fournisseur qui agit uniquement sur ses instructions peut être sous-traitant. Les rôles dépendent des traitements réellement effectués et des accords conclus : une simple qualification dans un contrat ne suffit pas à trancher la question.

Pour chaque finalité, consignez la base légale envisagée et les raisons pour lesquelles elle est appropriée. Mesurer le nombre global de visites, attribuer des achats et créer un profil publicitaire sont des finalités différentes : ne les regroupez pas sous une seule activité générale d’« analyse ». Si un commerçant et une agence décident conjointement des données à recueillir et de leur utilisation, évaluez leurs rôles et responsabilités respectifs.

Vérifiez si les règles applicables en matière de protection de la vie privée et de communications électroniques imposent le consentement pour les cookies, les pixels ou d’autres technologies de suivi similaires. Le consentement aux cookies après un scan QR ne peut pas être déduit du simple fait qu’une personne scanne le code. Si le consentement est nécessaire, veillez à ce que le choix soit proposé avant le démarrage du suivi non essentiel et vérifiez qu’un refus ne déclenche pas discrètement les mêmes scripts.

Le consentement ne se résume pas à une étiquette. Lorsque cela est nécessaire, conservez la preuve du choix, par exemple l’enregistrement du consentement et la version de l’avis présenté. Pour une campagne qui utilise uniquement une redirection de base et des comptages agrégés, expliquez pourquoi cette mesure limitée est nécessaire et vérifiez si des données à caractère personnel sont malgré tout traitées.

Examinez les conditions des tiers avant le lancement. Si une campagne QR redirige les visiteurs vers un service Google, consultez la politique de confidentialité applicable – confidentialité et conditions, et déterminez quels paramètres ou avis s’appliquent à votre utilisation ; ne partez pas du principe que l’avis du fournisseur remplace le vôtre.

3. Préparer des avis clairs et accessibles

Expliquez aux personnes ce qui se passe lorsqu’elles scannent le code. L’avis doit indiquer l’organisation responsable, les finalités de la collecte, les types de données concernés, les destinataires ou catégories de destinataires, ainsi que la durée de conservation, sans oublier les autres informations requises selon la situation. Évitez de vous contenter de dire « nous utilisons des outils d’analyse » si la page envoie également des événements à une plateforme publicitaire.

Mettez l’avis à disposition avant le début de la collecte ou au moment où elle commence, afin que les personnes puissent comprendre le traitement dès son démarrage. Une courte mention à côté du code peut renvoyer vers un avis de confidentialité complet, mais un avis dissimulé plusieurs étapes après l’arrivée sur la page ne permet pas forcément d’expliquer une redirection qui a déjà enregistré des informations sur le scan.

Veillez à ce que l’explication initiale soit facile à lire sur un téléphone. Par exemple, sur un chevalet de table de restaurant, placez un lien court vers les informations sur la confidentialité à côté du code QR et rendez l’avis complet accessible depuis la page du menu. Préférez des formulations simples comme « nous enregistrons l’heure de la visite pour compter les scans du menu » plutôt que des termes tels que « traitement des événements ».

Vérifiez que l’avis correspond au parcours cartographié. Si le code ouvre d’abord une plateforme de liens courts, veillez à expliquer, le cas échéant, la collecte effectuée à cette étape, et pas uniquement celle du script d’analyse sur la page finale. Indiquez des coordonnées et un moyen clair de poser des questions sur la confidentialité, par exemple une adresse e-mail consultée régulièrement ou un formulaire en ligne.

Si des outils Google sont utilisés dans le cadre de la campagne, consultez les conditions d’utilisation de Google – confidentialité, ainsi que la configuration du service et vos propres obligations. Les conditions d’un fournisseur peuvent aider à repérer des fonctionnalités et des flux de données, mais elles ne constituent pas automatiquement un avis complet pour votre campagne.

4. Limiter les données et fixer des durées de conservation

Ne recueillez que les données nécessaires à une finalité définie. Si l’équipe de campagne doit comparer les scans selon l’emplacement des affiches, un code propre à la campagne ou une indication géographique générale peut suffire. La collecte de coordonnées GPS précises ou d’une empreinte complète de l’appareil peut accroître les risques sans pour autant répondre à une question utile.

Examinez séparément le traitement des adresses IP, des identifiants d’appareils, des horodatages et des données de localisation. Demandez-vous si chaque champ est nécessaire, s’il peut être tronqué ou agrégé et si les outils d’analyse peuvent fonctionner sans lui. Le fait qu’un champ constitue ou non une donnée à caractère personnel dépend du contexte et de son utilisation.

Fixez une durée de conservation pour les événements de scan bruts et les données associées. Un calendrier utile peut distinguer les journaux d’événements identifiables des totaux de campagne agrégés, puis préciser à quel moment chaque catégorie est supprimée ou transformée de sorte que les personnes ne soient plus identifiables. Définissez les durées en fonction des besoins opérationnels et des exigences applicables, au lieu de conserver indéfiniment les données parce que les paramètres par défaut d’un fournisseur le permettent.

Consignez les suppressions. Par exemple, si les journaux bruts doivent être supprimés au terme d’une période approuvée, indiquez le responsable, le système concerné et la manière dont la suppression est vérifiée ; incluez les sauvegardes et les exports dans le plan de suppression. Si la campagne n’a pas besoin d’associer un scan à un client identifié, évitez de relier les données de scan à une fiche CRM simplement parce que les deux outils sont disponibles.

5. Examiner les fournisseurs d’outils d’analyse et les flux de données

Recensez tous les fournisseurs qui reçoivent des informations liées aux scans, notamment la plateforme QR, l’hébergeur, le service d’analyse, le gestionnaire de balises et toute agence ayant accès aux comptes. Pour chacun, vérifiez les conditions de traitement, les instructions, les engagements en matière de sécurité, les informations sur les sous-traitants ultérieurs et la prise en charge des demandes d’effacement ou d’accès. Si la documentation publique laisse subsister une lacune importante, demandez des réponses écrites.

Vérifiez où les données sont stockées et depuis où elles peuvent être consultées. Un fournisseur peut héberger les informations dans un pays, alors que son personnel d’assistance ou ses sous-traitants ultérieurs y accèdent depuis un autre. Examinez donc l’ensemble du parcours plutôt que de vous fier à l’emplacement mis en avant sur sa page marketing. Vérifiez si les données sont transférées ou consultées depuis l’extérieur de la juridiction concernée et déterminez les garanties applicables avant le lancement.

Confirmez que le contrat couvre les traitements que vous prévoyez réellement d’effectuer. Si un fournisseur reçoit des identifiants de scan pour mesurer une campagne, mais que ses paramètres activent également des fonctionnalités publicitaires, désactivez celles dont vous n’avez pas besoin et vérifiez que la modification a bien été prise en compte dans le compte. La signature d’un accord ne suffit pas, à elle seule, à rendre sûre une configuration inadaptée.

Pour une redirection ou une intégration d’analyse reposant sur une API, consignez le point de terminaison, les identifiants et les champs de données transmis dans chaque requête. Ne placez pas d’identifiants dans les destinations QR publiques ni dans les documents destinés au personnel. Limitez les autorisations du compte aux personnes qui gèrent la campagne et vérifiez les accès à la fin d’un contrat avec une agence.

6. Tester le traitement des demandes et les changements de campagne

Définissez la procédure que suivra l’équipe pour transmettre une demande d’accès, d’effacement ou d’opposition au traitement, et pour enregistrer le retrait d’un consentement lorsque celui-ci s’applique. Identifiez les droits, les délais de réponse et les exceptions correspondant aux circonstances et aux juridictions concernées. Désignez un responsable et un remplaçant.

Testez la procédure avec un exemple d’enregistrement avant d’imprimer ou de distribuer les codes. Vérifiez si l’équipe peut retrouver un enregistrement de scan dans la plateforme de redirection, le compte d’analyse et le CRM, si ces systèmes sont reliés. Si les enregistrements sont introuvables sans identifiant, consignez cette limite et déterminez si la campagne doit réellement recueillir cet identifiant.

Répétez les tests après toute modification importante. Vérifiez à nouveau le parcours si vous changez de fournisseur, si un pixel est ajouté à une page de destination, si la destination est modifiée ou si vous ciblez un nouveau public. Une mise à jour de la redirection peut modifier la collecte de données même si le code QR imprimé reste exactement le même.

Conservez un dossier daté pour chaque campagne, avec la cartographie du parcours, la version de l’avis, l’évaluation de la base légale, l’examen des fournisseurs, le calendrier de conservation et les résultats des tests. Avant d’approuver le prochain tirage, comparez le parcours de scan actif à ce dossier et réglez tout nouveau problème de collecte avant que le code ne soit diffusé auprès des clients.