Сам по себе код "безопасен", но в него можно вложить например "открть страничку Х", "позвонить по телефону А", "соединить с сеткой Б", "переправить все голые фотки на сервер В" и т.д и т.п - отсюда и можно "узнать" что-то другое. Вобщем всё, что можно загнать в рамки 4,296 символов или 2952 бин-байтов (хотя тут ещё от версии зависит - https://blog.qr4.nl/page/QR-Code-Data-Capacity.aspx ), можно загнать в этот код, который ты отсканируешь.

К этому прибавляем саму программу-сканер, которая, например, может, при своём использовании, скачивать всю базу твоего телефона и отправлять её на Х-сервер разработчика. Ты ведь разрешил ей это делать путём "разрешить доступ к камере и файловой системе" когда инсталировал, да?

Ну а если добавить то, что регистрация симок уже много лет как с подтверждением личности, то и на дом можно выехать и по фото распознать если что. Так что фотографироваться на паспорт нужно строго в шапочке из фольги - иначе никак. Да, и обязательно с маской, а то Корона - сами понимаете... :)