Codici QR dinamici e social media: i profili privacy di uno strumento dato per neutro

Codici QR dinamici e social media: i profili privacy di uno strumento dato per neutro

Il codice QR è percepito come un contenitore neutro: un quadrato che rimanda a un indirizzo, nulla di più. Questa percezione è imprecisa sotto due profili. Il primo è che il contenuto non è leggibile a occhio nudo, con le conseguenze di sicurezza che ne derivano. Il secondo, meno discusso, è che un codice dinamico non si limita a rimandare: registra. E ciò che registra è, in molti casi, un dato personale.

Per chi gestisce la comunicazione di uno studio, di un'impresa o di un ente, la scelta di generare un codice QR per i social media che resti aggiornato nel tempo non è quindi soltanto operativa. È una decisione che incide sul trattamento dei dati e che va documentata come tale.

La differenza tecnica da cui discende tutto

In un codice statico l'indirizzo di destinazione è codificato direttamente nel motivo. Chi scansiona raggiunge quella pagina, e il titolare non apprende nulla dell'operazione, salvo quanto registri il sito di arrivo.

In un codice dinamico il motivo contiene un indirizzo intermedio. La scansione passa da un server di reindirizzamento, che instrada verso la destinazione corrente e, nel farlo, può annotare momento, posizione approssimativa, sistema operativo e dispositivo. È esattamente questo passaggio a rendere il codice modificabile dopo la stampa — ed è lo stesso passaggio a generare il dato.

Un parallelo normativo utile: il tracking pixel

Il Garante per la protezione dei dati personali si è occupato di uno strumento tecnicamente affine con il provvedimento del 17 aprile 2026 sui tracking pixel nelle e-mail, pubblicato in Gazzetta Ufficiale il 29 aprile 2026. Il ragionamento è trasponibile quasi per intero.

L'Autorità osserva che «il destinatario può non accorgersi della loro presenza e, quindi, del tracciamento», e che questo avviene «spesso perfino senza che l'utente ne sia consapevole». Ai sensi dell'art. 122 del Codice privacy, l'impiego del pixel è «in linea generale, vietato salvo che ricorra una delle condizioni previste dalla norma», e il consenso, ove necessario, deve essere «informato, libero, specifico e inequivocabile».

Il punto di maggiore interesse pratico è però un altro. Il Garante distingue tra il tracciamento del comportamento del singolo destinatario — che richiede consenso — e la raccolta di statistiche aggregate, per la quale il consenso può non essere necessario «purché siano adottate tecniche che impediscano di misurare il comportamento del singolo destinatario».

Cosa comporta per le scansioni

Trasposto al codice QR, il criterio suggerisce una linea di demarcazione operativa. Contare quante scansioni ha ricevuto un manifesto, senza alcuna possibilità di ricondurre la singola scansione a una persona, si colloca sul versante statistico. Associare la scansione a un identificativo persistente, incrociarla con i dati di navigazione successivi o costruire segmenti di pubblico per campagne successive si colloca sull'altro.

Un'indicazione ulteriore si ricava dallo stesso provvedimento: l'uso di un identificativo non intelligibile e non sequenziale, in luogo di un riferimento diretto alla persona, riduce «il rischio di identificabilità del destinatario». Per i codici QR ciò significa evitare di generare un codice distinto per ciascun contatto quando l'obiettivo è misurare una campagna e non una persona.

Il perimetro delle Linee guida sul tracciamento

Le Linee guida cookie e altri strumenti di tracciamento, adottate il 10 giugno 2021 e pubblicate in Gazzetta Ufficiale il 9 luglio 2021, non menzionano i codici QR. Non per questo sono irrilevanti: il documento distingue identificatori attivi e passivi e chiarisce che gli strumenti non tecnici «potranno, invece, essere utilizzati esclusivamente previa acquisizione del consenso, comunque informato».

Va segnalato un principio spesso trascurato nella prassi: il legittimo interesse non è base idonea a giustificare cookie o altri strumenti di tracciamento. Chi imposta una campagna con codici dinamici contando di appoggiarsi a quella base parte da un presupposto errato.

Il codice pubblicato sui social come esposizione autonoma

Esiste poi un rischio che non riguarda il titolare ma chi condivide. In un intervento del giugno 2021, Guido Scorza, componente del Garante, ha definito il codice QR «una miniera di dati personali invisibili a occhio nudo», sconsigliando in termini netti la pubblicazione sui social del proprio codice — «è una pessima idea» — e indicando tra i rischi la profilazione commerciale, le truffe mirate e la circolazione di codici contraffatti.

Si trattava di un intervento di opinione e non di un provvedimento, e il contesto era quello della certificazione verde. Il principio generale resta però attuale e va comunicato a chi gestisce i canali: un codice è illeggibile all'occhio ma non alla macchina.

Il profilo di sicurezza: il codice come superficie di attacco

Sul versante della sicurezza, l'ENISA ha inserito il *quishing* tra i vettori osservati nel proprio Threat Landscape 2025, descrivendo in particolare codici malevoli inseriti in allegati PDF per indirizzare le vittime verso pagine di raccolta credenziali ospitate su piattaforme cloud affidabili, con utenti colpiti a livello globale e nell'Unione. L'Agenzia documenta inoltre l'uso di codici QR costruiti per collegare l'account di messaggistica della vittima a un'istanza controllata dall'attaccante.

Per un soggetto che pubblica codici propri, il rischio è duplice: la sostituzione fisica del codice su supporti stampati e l'uso del proprio marchio in codici contraffatti diffusi altrove. Entrambe le ipotesi hanno ricadute reputazionali prima ancora che giuridiche.

Lo scenario non è transitorio

Non si tratta di una moda destinata a esaurirsi. GS1 Italy indica che entro la fine del 2027 i sistemi di cassa dovrebbero leggere sia i codici lineari sia quelli bidimensionali, e che ventidue grandi imprese hanno sottoscritto una dichiarazione per l'adozione globale dei QR code standard GS1 entro quella data. Lo stesso codice usato nella filiera può essere riutilizzato per finalità di consumer engagement — schede ingredienti, immagini, video, recensioni.

La conseguenza è che il codice QR passerà dall'essere un elemento accessorio della comunicazione a un punto di contatto stabile, con volumi di scansione destinati a crescere. Le scelte fatte oggi sulla configurazione del tracciamento produrranno effetti su archivi che si accumuleranno per anni.

Indicazioni operative

Da quanto precede discendono alcune cautele minime. Occorre anzitutto qualificare il tracciamento prima di attivarlo, distinguendo tra misurazione aggregata e profilazione individuale, e documentare la scelta. È opportuno definire un tempo di conservazione dei log di scansione, anziché lasciarli accumulare per impostazione predefinita presso il fornitore del servizio.

Va inoltre verificata la collocazione dei dati e la natura del rapporto con il fornitore, che agisce di regola come responsabile del trattamento e va designato ai sensi dell'art. 28 GDPR. Infine, è prudente mantenere un inventario dei codici pubblicati, con supporto, data e destinazione: senza quell'elenco non è possibile accertare se un codice in circolazione sia ancora quello originario.

Conclusioni

Lo strumento non è né lecito né illecito di per sé. Ciò che ne determina la qualificazione è la configurazione scelta a monte, che in larga misura è reversibile solo prima della pubblicazione.

Trattare la generazione di un codice dinamico come una decisione di trattamento, e non come un passaggio grafico, è l'accorgimento che evita di doversi interrogare sulla base giuridica quando l'archivio delle scansioni è già formato.