6 
0 
Il QR code è un codice a barre bidimensionale che collega oggetti fisici a informazioni digitali tramite la scansione. In Italia e nell’UE, l’uso del codice QR incrocia regole su dati personali, sicurezza e accessibilità. Questa guida offre un quadro generale e non costituisce consulenza legale.
Cos’è un QR code, quali principi del GDPR incidono sul suo impiego, quando l’uso è appropriato in negozi e uffici, come ridurre i rischi di privacy e sicurezza e cosa sapere sul QR legato a SDI e fatture elettroniche.
Come funziona un QR code?
Un QR code è una matrice di moduli neri e bianchi che codifica testo o bit in aree strutturate (posizionamento, sincronizzazione, dati). Lo standard ISO/IEC 18004:2015 definisce simboli, capacità e livelli di correzione d’errore (L, M, Q, H), così da mantenere la lettura anche se il codice è parzialmente danneggiato.
Quali dati può contenere?
Un QR può includere URL, numeri di telefono, stringhe, vCard o payload applicativi. Non è “intelligente”: espone ciò che codifichi. Per ridurre rischi, privilegia la minimizzazione dei dati: inserisci solo ciò che serve e, se possibile, rimanda a una pagina che fornisce dettagli e contesto invece di codificare dati personali direttamente nel simbolo.
È uguale a un codice a barre?
No. Entrambi sono identificatori, ma il QR è bidimensionale e più capiente, supporta correzione d’errore e lettura omnidirezionale. Un codice a barre lineare (1D) è semplice e robusto per identificativi brevi; il QR è utile quando servono più dati o un link a contenuti digitali.
Quali norme si applicano in Italia e UE?
L’uso del QR non è regolato in sé; contano i dati e il contesto. Quando il QR rimanda o contiene dati personali, si applica il Regolamento (UE) 2016/679 (GDPR). I principi chiave sono: liceità e base giuridica, minimizzazione, limitazione della finalità, sicurezza e responsabilizzazione.
I dati personali devono essere trattati in modo lecito, corretto e trasparente nei confronti dell’interessato.
In pratica, se un QR conduce a una pagina che raccoglie dati (per esempio prenotazioni), serve un’informativa trasparente e una base giuridica adeguata (consenso, contratto, interesse legittimo, ecc.), con misure di sicurezza proporzionate. Dove non tratti dati (per esempio QR per un menù digitale statico), il GDPR non si applica al contenuto, ma restano buone pratiche su accessibilità e sicurezza. Considera anche norme di settore (consumi, sanità, lavoro) quando pertinenti.
Cosa fare e cosa evitare
- Fornisci un’informativa chiara vicino al QR e spiega lo scopo.
- Codifica solo il minimo indispensabile; evita dati personali nel simbolo.
- Usa domini controllati e verifica i link prima di stamparli.
- Imposta scadenze o rotazioni per i QR usati in campagne.
- Offri alternative accessibili per chi non può scansionare.
- Evita di codificare credenziali, dati sensibili o segreti aziendali.
Quando è lecito usarlo in negozi e uffici?
Dipende dalla finalità. Se un QR mostra informazioni non personali (per esempio il menù del giorno o istruzioni di sicurezza), in genere non entri nel perimetro dei dati personali. Se, invece, conduce a una pagina che raccoglie nome, contatti o preferenze, devi individuare una base giuridica adeguata (per esempio consenso o contratto) e informare gli interessati.
Per eventi o code di accesso, un QR può servire da token di prenotazione. Evita di stampare su quel codice informazioni anagrafiche: meglio un identificativo casuale che rinvia a dati memorizzati in modo sicuro lato server. Nei contesti con minori o dati sensibili (salute, convinzioni), alza l’asticella: valuta rischi, riduci i dati e, se del caso, consulta il tuo DPO.
Come proteggere privacy e sicurezza
La sicurezza non riguarda solo l’app che legge il codice, ma l’intero percorso: generazione, stampa, canale di rete, pagina di destinazione, registri e dismissione. Di seguito una checklist essenziale per ridurre rischi tecnici e organizzativi.
- Minimizzazione dei dati. Inserisci nel QR solo identificativi non parlanti. Sposta i dettagli in un endpoint controllato che applica autenticazione e autorizzazioni.
- Controllo dei link. Usa domini sotto il tuo controllo e evita URL accorciati opachi. Implementa reindirizzamenti sicuri e monitorati per ridurre il rischio di abusi.
- Protezione in rete. Prediligi connessioni cifrate end-to-end e politiche anti‑manomissione sulla pagina di destinazione. Evita che contenuti terzi traccino gli utenti senza base giuridica.
- Rotazione e scadenza. Per campagne, badge o poster pubblici, usa QR con validità limitata e meccanismi anti‑riuso (per esempio token monouso con TTL).
- Registri e auditing. Tieni traccia, in modo aggregato e rispettoso della privacy, di chi genera e modifica i QR. Semplifica le procedure di revoca per disattivare rapidamente contenuti compromessi.
- Prevenzione del “quishing”. Forma il personale a riconoscere QR sospetti e a non scansionare codici non attesi. Comunica al pubblico URL ufficiali e canali alternativi.
- Accessibilità. Fornisci alternative testuali e percorsi equivalenti; il criterio “Text Alternatives” della WCAG 2.1 è un buon riferimento.
- Qualità della stampa. Mantieni contrasto, dimensioni e margini adeguati. Evita superfici curve o lucide che riducono la leggibilità e testa con device diversi.
Cosa cambia con SDI e fatture elettroniche?
Nel perimetro della fatturazione elettronica italiana, il QR collegato al Sistema di Interscambio (SDI) agevola l’acquisizione dei dati identificativi del soggetto IVA e del canale di ricezione. È uno strumento di comodità: non contiene l’intera fattura e non sostituisce la fattura né gli adempimenti fiscali.
Stampare o esporre un QR SDI può velocizzare front‑office e ridurre errori di digitazione. Anche qui valgono le stesse cautele: minimizzare ciò che si mostra, proteggere i flussi, aggiornare i codici quando cambiano i dati, informare gli utenti su finalità e modalità di trattamento. In caso di dubbi interpretativi, confrontati con il tuo consulente o DPO.
Domande frequenti
Il QR code è un dato personale?
No, il QR è un contenitore. Diventa rilevante per la privacy quando codifica o rimanda a dati personali. In quel caso si applicano i principi del GDPR e le misure adeguate.
Serve il consenso per usare un QR code al ristorante?
Se il QR mostra solo il menù, in genere no. Se raccoglie dati (per esempio prenotazioni o feedback nominali), occorre una base giuridica idonea e un’informativa chiara.
Che cosa devo indicare nell’informativa vicino al QR?
Scopo, base giuridica, dati trattati, tempi di conservazione, diritti degli interessati e contatti del titolare. Mantieni un linguaggio semplice e indirizza a una versione estesa se necessario.
Il QR code è valido come prova legale?
Il simbolo in sé no; contano i sistemi che lo generano e i log associati. Per valore probatorio servono procedure di integrità, tracciabilità e conservazione a norma del documento.
Qual è la differenza tra codice a barre e QR code?
Il codice a barre è lineare (1D) e porta poche cifre; il QR è bidimensionale, più capiente e tollera errori. Si scelgono in base a dati, spazio e affidabilità richiesta.
Cosa contiene il QR legato a SDI?
Di norma, dati identificativi IVA e il canale di ricezione per la fatturazione elettronica. È pensato per velocizzare l’acquisizione dei dati, non per sostituire documenti fiscali.
Riepilogo essenziale
- Il QR code è un identificatore bidimensionale: la conformità dipende da contenuti e contesto.
- Quando coinvolge dati personali, si applica il GDPR: informativa, base giuridica e sicurezza.
- Riduci i rischi con minimizzazione, domini controllati, scadenze e auditing.
- Prevedi alternative accessibili e canali equivalenti per chi non scansiona.
- Nel contesto SDI, il QR facilita i dati anagrafici ma non sostituisce la fattura.
Il QR è uno strumento semplice e potente: il suo impatto dipende da scelte progettuali, trasparenza e governante interna. Adotta un approccio prudente: minimizza i dati, verifica i flussi e informa chiaramente le persone. Se il caso d’uso è delicato o regolato, coinvolgi per tempo DPO e funzioni legali per valutare rischi e controlli proporzionati.
Infine, testa periodicamente lettura, resilienza e contenuti collegati al QR su dispositivi diversi. Una buona manutenzione riduce errori, fraude e frizioni d’uso e mantiene alta la fiducia degli utenti senza sacrificare la semplicità operativa.