QRコードはあらゆる場面で使われています。メニュー、製品、イベント、登録フォーム——しかし、あの小さな四角形の裏に個人情報の収集が潜んでいる可能性があること、そしてLGPD（ブラジルのデータ保護法）やGDPR（欧州）に基づく明確な法的義務があることを意識している人は少ないでしょう。
ビジネスでQRコードを作成する立場なら、何を収集してよいか・いけないかを知る必要があります。QRコードをスキャンする立場なら、相手が自分の何を知り得るかを理解することが自己防衛につながります。このガイドは両方の視点を網羅します。
なぜプライバシー法がQRコードに適用されるのか
LGPDとGDPRは、QRコードを通じた場合も含め、個人や法人によるあらゆる個人データの処理を規制します。対象となるのは：
- 氏名・メール・マイナンバー・電話番号を収集するQRコード連動フォーム
- スキャン追跡データ（日時、おおよその位置、デバイス情報）
- 人物を特定する、または特定できる可能性のある情報
日本国内であっても、欧州や南米の顧客を持つ場合は複数の規制が同時に適用されることがあります。
視点1 — QRコードを作成してデータを収集する側
法的注意が必要な状況
QRがフォーム、登録ページ、またはユーザーデータを保存するシステムに誘導する場合、法的義務が発生します：
| 状況 | プライバシー上の注意点 |
|---|---|
| QR → 登録フォーム（氏名、メール） | 明示的な同意＋明確な目的が必要 |
| QR → マイナンバーや健康データを含むフォーム | 要配慮個人情報：強化された法的根拠＋特定の同意 |
| 個人データをURLに含む静的QR | 絶対NG — データが永続的に露出し削除不可 |
| スキャン追跡を行う動的QR | 正当だが、プライバシーポリシーに記載すること |
| QR → ログイン・認証システム | 処理を伴う：法的根拠を文書化 |
| 公共の場（街頭、店舗）のQR | 利用者は収集を想定していない — 事前に告知 |
必須の3つの問い
データ収集につながるQRコードを作成する前に、必ず答えてください：
- このデータを何のために使うのか？（目的 — 申告必須）
- 法的根拠は何か？（同意、契約、正当な利益、法的義務など）
- どのくらいの期間保存し、どのように削除するのか？
3つすべてに答えられなければ、QRをまだ公開しないでください。
要配慮個人情報 = 特別な注意
健康、生体情報、人種的出自、宗教的信念、子どものデータ：リンク先フォームがこれらを収集する場合、同意は特定かつ明示的で、曖昧さのないものでなければなりません。こうしたケースでは常にパスワード保護付きQRコードを使用して、フォームへのアクセスを制限しましょう。
公共の静的QRに個人データを埋め込まない
静的QRはURLを永続的にエンコードします。ポスターや包装にマイナンバーやユーザートークンを含むURLのQRを印刷すると、そのデータは誰でもスキャンして取得できる状態になり、「消去」はできません。実データの代わりに匿名セッションIDを使用してください。
視点2 — スキャン追跡：何が正当か
動的QRコードは各スキャンの情報を記録します：
| 動的QRが収集するデータ | 個人情報か？ | 推奨対応 |
|---|---|---|
| スキャン日時 | 単独では否 | OK — ピーク時間帯分析に活用 |
| 国・都市（IPによる概算） | 可能性あり — IPは個人情報 | プライバシーポリシーに記載 |
| デバイス種類・OS | 集計では否 | OK — ランディングページ最適化に活用 |
| 個人ごとに保存された完全なIP | はい | 法的根拠＋保存期間の設定が必要 |
| 正確な位置情報（GPS） | はい — 要配慮 | 明示的同意がある場合のみ |
正当な追跡のベストプラクティス：
- プライバシーポリシーにアクセスデータの収集を明記する
- 個人IPを必要以上に長く保存しない
- 集計データを使う（都市レベル、個人の正確な位置情報は避ける）
- UTM＋Google Analyticsを使う場合はIP匿名化を正しく設定する
視点3 — スキャンする側：QRはあなたについて何を知れるか
QRコードが知り得ること（リンク先システム経由）
- スキャンした時刻
- おおよその都市・地域（スマートフォンのIPアドレスから）
- デバイス種類とOS
- その後リンクをクリックしたかどうか
QRコードがスキャンだけではできないこと
- あなたの操作なしにアプリをインストールする
- 連絡先、カメラ、マイクにアクセスする
- あなたの氏名、マイナンバー、識別可能な情報を知る（その後フォームに記入しない限り）
悪意のあるQRコードのサイン
次の場合は注意してください：
- 不審な、または短縮されたURLで行き先がわからない
- 見知らぬアプリのインストールを即座に求める
- 文脈のない個人情報の入力を求めるフォームが開く
- 店舗で元のQRの上に貼り付けられている（差し替え攻撃の可能性）
知らないQRをスキャンする前にリンクの安全性を確認しましょう。またQRコードのセキュリティについても参照してください。
Code2Scanで法令遵守のQRコードを作成する
ステップバイステップ
- 作成前に目的を定義する — ユーザーが何を見つけ、どのデータが収集されるかを明確に
- 宛先の更新と追跡データの管理のために動的QRを使う — 動的QRをここで作成
- 制限コンテンツにはパスワード保護付きQRコードを使用
- フォームでは送信前にプライバシー通知とデータポリシーへのリンクを表示する
- Analyticsを使うならUTMタグを追加 — UTMでのトラッキング方法
- 収集するデータ・保存期間・アクセス権者を文書化する
- 静的QRのURLに個人データを直接印刷しない
プライバシー観点からの静的QR vs. 動的QR
動的QRはコンプライアンスを維持しやすい：再印刷なしに宛先変更、収集終了、ポリシー更新が可能。静的QRは印刷後に「更新」できません。
よくある失敗
❌ QRコードを「ただのリンク」と思い込む
宛先でデータが収集されるなら、プライバシー法は完全に適用されます。QRはアクセス経路に過ぎません。
❌ データ収集をユーザーに知らせない
個人データの収集はすべて、収集前または収集時に本人への通知が義務付けられています。
❌ URLにマイナンバーや個人トークンを入れる
URLの個人データはサーバーログ、ブラウザ履歴、Analyticsデータに残ります。避けてください。
❌ パスワード付きQRをコンプライアンスの代替として使う
パスワードはアクセスを制限しますが、宛先でデータ収集がある場合の同意・法的根拠には代われません。
❌ 欧州向けにGDPRを無視する
キャンペーンが欧州に届くならGDPRも適用されます。GDPRはLGPDより厳しい面があります（クッキーや追跡には能動的同意が必要など）。
まとめ
- 作成する場合： QR公開前に目的・法的根拠・保存期間を定義する
- 宛先フォームに要配慮個人情報が含まれる場合 → 保護されたQR＋特定の同意
- 公共の静的QRのURLに絶対に個人データを埋め込まない
- スキャン追跡は正当 — ただしプライバシーポリシーに記載する
- スキャンする場合： QR単体では個人データにアクセスできない — リスクは宛先フォームやアプリにある
- 動的QR = より多くのコントロール、コンプライアンス維持が容易
宛先コンテンツが制限されているまたは機微なデータを含む場合は、必ずパスワード保護付きQRコードを使用しましょう。責任ある運用でユーザーの信頼を守りましょう。
