Вы путаете различный вещи:

3. Место где расположен код
4. Программа для сканирования кода
5. Какие либо ссылки в QR коде

Правильно ли я понимаю то, что вы написали:

А вот 3, если это веб страница может передать владельцам многое, безотносительно того сканировали ли Вы код или нет.

3. Если QR-Code не был вообще сосканирован; то вроде и никакой информации никто получить не может?

Мне кажется, что это логично. Нет действия, нет и последствий.

А вот если он сосканирован, то что и как может быть прочитано?

Например можно ли узнать конкретное место положение (географические координаты, если чтение QR-Code было с смартфона)?

П. 4 тоже может содержать вредоносный код, хотя для популярных программ практически нереально.

4. Ну это только дело совести создателей популярных программ или созсателей / владельцев интернет сайтов.

Или в правиле создания QR-Code стоят какие-то ограничения на то, что м/б запрошено от читателя QR-Code в т.ч. и без его разрешения на такое считывание?

П. 5 может вести также на какой то "плохой сайт", но обычно автоматом переходов не происходит.

5. Ну этого читатель QR-Code заранее не может знать и этому воспрепятствовать.

Как я понял, читатель QR-Code не может узнать:

- кому он принадлежит

- содержится ли в нем какая-то полезная информация

- или будет перенаправление на какой-либо сайт (может быть и безвредный)

- что может быть считано с его компьютера / смартфона?