QR Code kan cuma menerjemahkan gambar menjadi teks/instruksi saja, jadinya aman tidaknya itu tergantung QR Codenya legit atau tidak. Jadi ya agak rumit juga kalau ada poster atau media apa saja yang ngasih QR Code, kita tidak bisa tau itu gambarnya bersifat "malicious" atau tidak. Lebih aman pakai langsung URL karena kita bisa baca dan langsung tau itu phishing atau bukan.
Pokoknya kalau scan QR Code harus dibaca lagi itu URLnya, addressnya, dsb. QR Code cuma memudahkan kita agar tidak perlu ngetik.
Sejatinya, QR Code tidak membagikan data secara langsung terhadap pembuat, namun untuk sebagian kepentingan bisnis, pembuat QR dapat menambahkan fitur live-track untuk mengetahui potensi dari prospek. yang mana, orang yang memindai QR ini dianggap sebagai orang yang potensial. Umumnya, live-track ini disematkan pada URL/Link yang dikoversi ke QR. Untuk pemindaian dalam pembayaran, saya kurang paham, karena belum menemukan artikel yang memberikan penjelasan detil tentang apakah dalam pembayaran menggunakan live-track atau tidak.
Tracking bisa pakai UTM sama kek campaign pada umumnya, atau pakai link shortener.