Plateforme QR code européenne : RGPD, DPP et conformité d’entreprise

Le RGPD (règlement UE 2016/679) s’applique à chaque scan d’un QR code : l’adresse IP du téléphone, l’heure de la requête et le type d’appareil transitent par les serveurs de la plateforme qui gère la redirection. Pour le DPO, la DSI ou l’acheteur public qui instruit le dossier, le choix d’une plateforme de QR codes relève donc de la conformité autant que du marketing. Le calendrier européen ajoute une seconde dimension : avec le règlement ESPR (Ecodesign for Sustainable Products Regulation, UE 2024/1781), le Passeport numérique des produits, le DPP, arrivera catégorie par catégorie, à commencer par les batteries en février 2027. Cet article passe en revue ce qu’une grille d’achat exigeante demande à une plateforme européenne : la résidence des données, les garanties contractuelles, la préparation au DPP et la gouvernance entre les équipes.

Un scan est un traitement de données

Techniquement, un scan est une requête web : le téléphone du consommateur appelle l’URL imprimée dans le code, le serveur de la plateforme la reçoit, puis mène le lecteur à la destination prévue. Cette requête transporte des données personnelles au sens du RGPD, l’adresse IP en premier lieu. Le traitement a donc lieu au moment précis où le consommateur lit le code, sur les serveurs du prestataire, dans le pays où ces serveurs se trouvent.

Deux conséquences en découlent pour l’entreprise. D’une part, elle est responsable de traitement : c’est sa marque qui figure sur l’emballage, son QR code que le consommateur lit. D’autre part, la plateforme agit comme sous-traitant au sens de l’article 28 du RGPD : un contrat de sous-traitance, le DPA, doit encadrer la localisation des serveurs, les durées de conservation et les sous-traitants ultérieurs.

Un exemple concret : une campagne d’affichage déployée sur trois pays produit des dizaines de milliers de requêtes, chacune portant une adresse IP. Que ces données servent ensuite des statistiques agrégées ne change rien à la qualification initiale : le traitement a eu lieu, il doit être encadré. C’est pour cette raison que le DPO doit voir le dossier avant la signature, quand les clauses se négocient encore, plutôt qu’au moment du premier incident.

Un point mérite d’être posé dès le cadrage : les statistiques de scans, précieuses pour le marketing, sont issues de ce même traitement. Leur durée de conservation et leur maille d’agrégation font partie du dossier de conformité au même titre que du cahier des charges marketing.

L’hébergement européen se vérifie dans le contrat

« Hébergement européen » figure sur beaucoup de plaquettes commerciales ; la grille d’achat demande des pièces. Trois questions suffisent à trier les réponses :

• où les données de scan sont-elles hébergées, et cet engagement figure-t-il dans le contrat ou seulement dans la documentation commerciale ?
• quels sous-traitants ultérieurs interviennent (hébergeur, mesure d’audience, envoi de courriels), et lesquels sont établis hors de l’Union européenne ?
• que prévoit le contrat en cas de changement d’hébergeur en cours d’exécution : information préalable, droit d’objection, délai ?
• où résident les sauvegardes, et sont-elles couvertes par le même engagement de localisation que la production ?

Un transfert hors UE découvert après signature se règle en avenants, en clauses contractuelles types et en semaines d’échanges juridiques ; le vérifier avant signature coûte une réunion. À l’inverse, un dossier où la résidence des données est contractuelle passe la revue du DPO sans réserve, et l’acheteur public peut le verser tel quel à son analyse des offres.

Pour l’acheteur public, ces questions se transposent directement en critères d’analyse des offres : la localisation contractuelle des données se vérifie sur pièce, la liste des sous-traitants se demande en annexe, et la procédure de changement d’hébergeur se lit dans le projet de contrat. Un candidat qui répond par des captures d’écran de son site plutôt que par des clauses fournit, sans le vouloir, un critère de départage.

Unitag héberge sa plateforme et les données de scan en Europe, opère depuis Toulouse et Londres depuis 2011, et sert environ 1 000 clients dans 189 pays. Ces engagements figurent au contrat, DPA compris ; le périmètre complet est décrit sur notre page entreprise.

La grille du DPO et de l’acheteur public

Pour un appel d’offres ou une simple mise en concurrence, six lignes couvrent l’essentiel du volet conformité. Chacune appelle une réponse de niveau contractuel : une clause, une annexe, un engagement daté. Les lignes à inscrire dans la grille :

• la résidence des données : localisation contractuelle de l’hébergement et des sauvegardes ;
• le DPA : signé, à jour, avec la liste complète des sous-traitants ultérieurs ;
• les durées de conservation : combien de temps les données de scan sont gardées, à quelle maille, et qui peut les purger ;
• les droits d’accès : qui, dans l’entreprise et chez le prestataire, peut consulter ou modifier quoi, avec quel journal des modifications ;
• la réversibilité : exportation des QR codes et de l’historique de statistiques dans un format réutilisable ;
• le domaine : les URL imprimées reposent-elles sur votre domaine ou sur celui du prestataire, et qu’advient-il des codes déjà imprimés à la fin du contrat ?

La dernière ligne pèse plus lourd qu’il n’y paraît. Un QR code imprimé sur un emballage circule pendant des années ; si l’URL appartient au prestataire, la fin du contrat condamne les codes en circulation à la réimpression. Sur votre propre domaine, les codes déjà imprimés continuent de fonctionner quel que soit l’outil qui les gère : c’est la garantie de continuité la plus solide qu’une grille d’achat puisse exiger.

Deux autres lignes appellent un commentaire. Les durées de conservation, d’abord : la bonne réponse dépend de l’usage. Le marketing veut un historique long pour comparer les saisons ; le DPO veut une durée justifiée et documentée. Les deux se réconcilient par l’agrégation : conserver longtemps des statistiques par pays et par appareil, sans garder les données brutes au-delà du nécessaire. Les droits d’accès, ensuite : dans un groupe, la question « qui peut modifier la destination d’un code en circulation ? » mérite une réponse écrite, journal des modifications à l’appui.

La grille vaut d’ailleurs au-delà du packaging. Les mêmes questions s’appliquent aux QR codes des affiches, des documents imprimés et des cartes de visite digitales : ces usages produisent les mêmes données de scan, souvent hors du champ de vision du DPO parce qu’ils sont nés dans une équipe, sans appel d’offres. Les intégrer au recensement initial évite d’ouvrir un deuxième dossier dans un an.

Nous avons détaillé la version complète de cette grille, sections techniques et commerciales comprises, dans notre article Évaluer un fournisseur de QR codes.

Le DPP donne l’horizon de la décision

Le règlement ESPR est entré en vigueur le 18 juillet 2024 et fait du Passeport numérique des produits l’instrument central de la politique européenne d’Écoconception. Chaque catégorie de produits recevra, par acte délégué, la liste des informations à publier ; la première échéance ferme concerne les batteries, en février 2027, au titre du règlement UE 2023/1542. La France a préparé le terrain avec la loi AGEC (2020), et la filière viticole publie déjà ses étiquettes digitales en application du règlement UE 2021/2117, applicable depuis décembre 2023.

Ces précédents sectoriels suivent le même schéma : une obligation d’information, un support imprimé limité, un QR code pour porter le reste. La filière viticole a déplacé la liste des ingrédients et la déclaration nutritionnelle vers l’étiquette digitale ; la loi AGEC a installé le réflexe de l’information consommateur en France ; le passeport batteries fixera, dès février 2027, le premier gabarit complet de DPP. Une entreprise multi-gammes a intérêt à croiser ces calendriers avec son catalogue : certaines références seront concernées tôt, d’autres profiteront du même socle technique sans contrainte immédiate.

Pour l’acheteur, la conséquence tient en une phrase : la plateforme retenue aujourd’hui doit pouvoir porter demain un QR Code augmenté GS1, c’est-à-dire une URL au standard GS1 Digital Link, lisible par les scanners de caisse et capable de mener au passeport réglementaire comme à la page de marque. GS1 a fixé l’horizon Sunrise 2027 : à la fin 2027, les distributeurs devront être en mesure d’accepter en caisse des QR codes au standard GS1 Digital Link, en complément du code-barres traditionnel, qui reste lu pendant toute la transition. Rien n’impose de précipitation ; tout invite à choisir dès maintenant une plateforme qui n’obligera pas à réimprimer les emballages quand ces échéances se préciseront.

Unitag est référencé en tant que GS1 Solution Provider ; son Résolveur Digital Link, certifié par GS1, fonctionne sur votre propre domaine et repose sur le même hébergement européen que le reste de la plateforme.

La gouvernance entre équipes fait partie de la conformité

Dans un groupe multi-marques ou présent dans plusieurs pays, les QR codes naissent partout : le marketing France lance une campagne, la filiale allemande imprime un catalogue, la DSI génère des codes en série pour le packaging. Sans cadre commun, le DPO finit par découvrir des comptes ouverts sur des adresses personnelles et des données de scan dispersées chez trois prestataires, sans DPA pour deux d’entre eux.

La réponse relève de l’organisation autant que de la technique : une plateforme unique qui organise les QR codes de l’entreprise entre les équipes. Chez Unitag, les sous-organisations attribuent à chaque marque, à chaque pays ou à chaque agence son espace et ses droits ; les filtres par langue, par appareil et par pays mènent chaque lecteur à la bonne destination ; les statistiques remontent dans une vue commune, à la maille dont chaque équipe a besoin. Le DPO conserve un point de contrôle unique, et la DSI un seul contrat à auditer, sans retirer au marketing sa liberté de campagne.

Le partage du travail suit alors les lignes réelles de l’organisation. La DSI crée les codes en série pour le packaging, par lots, avec la syntaxe GS1 Digital Link quand les produits passent en caisse ; le marketing gère ses campagnes dans l’interface, avec ses conventions d’UTM ; chaque filiale lit ses propres statistiques sans voir celles des autres. Cette répartition n’a rien de théorique : c’est elle qui évite le retour des comptes parallèles, cause première de la dispersion que le DPO cherche justement à résorber.

Cette organisation par sous-organisations et droits différenciés est détaillée sur notre page entreprise, avec le cadre d’accompagnement associé : cadrage initial, audit de l’existant, déploiement équipe par équipe et interlocuteur dédié.

Par où commencer

Aucune des échéances évoquées ici ne justifie l’urgence ; toutes récompensent la méthode. Trois gestes lancent le dossier sans mobiliser un projet entier. Recenser les QR codes déjà publiés par les équipes, avec le prestataire et le domaine de chacun : l’inventaire réserve presque toujours des surprises. Poser par écrit aux prestataires en place les six questions de la grille ci-dessus : les réponses réellement contractuelles sont rares, et l’écart se voit vite. Enfin, associer le DPO au cadrage dès la première réunion plutôt qu’à la relecture finale : c’est la façon la plus sûre d’éviter l’avenant de dernière minute.

Si le dossier débouche sur une mise en concurrence, notre page entreprise décrit le périmètre exact de la plateforme, et l’équipe, installée à Toulouse et à Londres, répond en français comme en anglais. La grille de cet article peut servir de trame au cahier des charges ; les sections techniques (résolveur, API, filtres) s’y ajouteront selon votre périmètre.

Pour aller plus loin

• Évaluer un fournisseur de QR codes : la grille pour votre appel d’offres
• Sécurité des QR codes en entreprise : certifications et résidence des données
• Conformité DPP en entreprise : la check-list pratique