טביעת אצבע של מכשירים בעולם שאחרי העוגיות: המפה הרגולטורית והטכנית של 2026

הביטוי „עולם שאחרי העוגיות" מכווץ שני סיפורים שונים מאוד לאחד, וההכללה הזו גורמת לרוב הבלבול סביב השאלה אם טביעת אצבע של מכשירים עדיין בת-קיימא ב-2026. סיפור אחד הוא טכני: הדפדפנים הגבילו ואז הסירו עוגיות צד-שלישי, ובנו מנגנוני חלופה. הסיפור האחר הוא משפטי: הרגולטורים הבהירו שטביעת אצבע מוסדרת לפי אותם כללים כמו עוגיות. שני הסיפורים אמיתיים, שניהם חשובים, ושניהם נקראים לעיתים קרובות בטעות כ„טביעת אצבע מתה", בעוד שמה שהם למעשה קובעים הוא ספציפי הרבה יותר.

המאמר הזה ממפה את שניהם — מה השתנה בדפדפנים, מה החוק אומר, וכיצד השניים מתקשרים — עם חוט מקשר עקבי: מטרת הזיהוי, ולא המנגנון, היא שקובעת גם את הכדאיות הטכנית וגם את המעמד המשפטי. קהל היעד הוא בעלי עניין בתחומי פרטיות, משפט והנדסה שמחליטים אם וכיצד לפרוס בינת מכשירים.

מה שהעולם שאחרי העוגיות באמת הסיר

המעבר לעולם שאחרי העוגיות הסיר עוגיות צד-שלישי — מנגנון המעקב חוצה-האתרים — בעוד שהשאיר על כנם את מצב הצד-הראשון ואת זיהוי המכשיר מצד ראשון. ההבחנה הזו היא העובדה החשובה ביותר להערכת טביעת אצבע, והיא זו שהולכת לאיבוד לעיתים קרובות מכול.

עוגיית צד-שלישי נקבעת על ידי דומיין שאינו זה שבשורת הכתובת, והיא מאפשרת לאותו צד שלישי לזהות משתמש בכל האתרים הלא-קשורים שבהם רץ הקוד שלו. זהו המנוע של פרסום התנהגותי חוצה-אתרים, וזה מה שהדפדפנים פירקו. עוגיית צד-ראשון — שנקבעת על ידי האתר שבו אתה מבקר בפועל, וניתנת לקריאה רק על ידי אותו אתר — מעולם לא הייתה המטרה וממשיכה לעבוד.

הדפדפנים נעו בלוחות זמנים שונים ובמנגנונים שונים, אך הכיוון היה אחיד: לחסל מצב צד-שלישי חוצה-אתרים, לשמר את הקשר מצד ראשון.

Safari (Intelligent Tracking Prevention). ה-ITP של Apple חוסם עוגיות צד-שלישי כברירת מחדל מאז 2020, והדק בהדרגה את משך חיי האחסון מצד-ראשון עבור מצב שנקבע על ידי סקריפט, כדי להגביל דרכי עקיפה של מעקב. ITP מכוון באופן ספציפי לתרחיש השימוש של מעקב חוצה-אתרים.

Firefox (Enhanced Tracking Protection / Total Cookie Protection). Firefox חוסם כברירת מחדל עוגיות מעקב של צד-שלישי ומחלק את האחסון לפי אתר, כך שצד שלישי מקבל צנצנת עוגיות נפרדת בכל אתר במקום זהות משותפת אחת על פני כולם. שוב — קישור חוצה-אתרים הוא המטרה.

Chrome (Privacy Sandbox). הדרך של Chrome הייתה ארוכה ושנויה במחלוקת יותר. במקום פשוט לחסום עוגיות צד-שלישי, Google בנתה את Privacy Sandbox — מערך של ממשקי API מוגבלי-מטרה (Topics לאותות עניין, Protected Audience לרימרקטינג, Attribution Reporting למדידת המרות) שנועדו לספק תוצאות פרסום ללא מזהים חוצי-אתרים. ההשקה, לוח הזמנים להוצאה משימוש, והמעמד המדויק של הבחירה מול המשתמש השתנו שוב ושוב לאורך 2024–2026, אך הכוונה הארכיטקטונית נותרה: להחליף את המזהה חוצה-האתרים במנגנונים מצרפיים ומוגבלי-פרטיות. ההשפעה על טביעת אצבע באופן ספציפי מכוסה בהשפעת Privacy Sandbox.

כל אחד מאלה מכוון לאותו דבר: צד שלישי שמזהה משתמש על פני אתרים שאינם בבעלותו. אף אחד מהם אינו מכוון — ולא יכול לכוון, מבלי לשבור את הרשת — לאתר שמזהה את המבקרים שלו עצמו בעמודים שלו עצמו. זהו הפער שבו חיה טביעת האצבע למניעת הונאות.

טביעת אצבע צד-ראשון למניעת הונאות היא תרחיש שימוש שונה

טביעת אצבע למניעת הונאות היא מטבעה צד-ראשון וחד-אתרית: פלטפורמה מזהה את המבקרים שלה עצמה בעמודים שלה עצמה כדי לקבל החלטות אבטחה. זה שונה מהותית מתרחיש השימוש של פרסום חוצה-אתרים שהדפדפנים פירקו, ומנגנוני הדפדפן אינם מגבילים אותו — משום שאינם יכולים, מבלי לשבור פונקציונליות חיונית שכל אתר תלוי בה.

שקלו מה דפדפן היה צריך לשבור כדי לעצור זיהוי מכשיר מצד ראשון. הוא היה צריך למנוע מאתר לקרוא את מאפייני הדפדפן שמרנדר את העמודים שלו עצמו — גודל מסך, שפה, העיתוי והתנהגות הרינדור שאתר צריך כדי לתפקד, ומחסנית הרשת שאיתה הוא כבר מתקשר. אלה אינם ווים למעקב; הם המשטח הבסיסי שעליו רצה אפליקציית ווב. הגבלתם שוברת פונקציונליות לגיטימית, ולכן הדפדפנים מגבילים את הצירוף חוצה-האתרים ואת ניצול לרעה של האותות האלה, ולא את התצפית מצד-ראשון עליהם.

זו הסיבה שההבחנה בין מכשיר לעוגייה חשובה. מערכת למניעת הונאות שמזהה מכשיר חוזר בפלטפורמה יחידה אינה משחזרת עוגיית צד-שלישי — היא עושה משהו שעוגיות צד-שלישי ממילא מעולם לא עשו היטב: מייצרת זהות יציבה עמידה בפני מחיקה, לצורך האבטחה של האתר עצמו. ועושה זאת ללא עוגיות כלל, מה שעוקף לחלוטין את שאלת הוצאת העוגיות משימוש.

פסק הדין לגבי הכדאיות הטכנית הוא לפיכך פשוט: שינויי הדפדפן שאחרי העוגיות מצמצמים טביעת אצבע חוצה-אתרים (קשה יותר, מוגבל יותר) ומשאירים את טביעת האצבע צד-ראשון למניעת הונאות שלמה במהותה. מערכת למניעת הונאות שהסתמכה על שיתוף אותות חוצה-אתרים הייתה בצרות; מערכת שנבנתה סביב זהות מכשיר צד-ראשון אינה כזו.

מה ש-GDPR ו-ePrivacy באמת אומרים על טביעת אצבע

המשפט האירופי מתייחס לטביעת אצבע של מכשירים באותו אופן שבו הוא מתייחס לעוגיות: הוא מסדיר לפי מטרה ולפי גישה למכשיר המשתמש, ולא לפי הטכנולוגיה הספציפית. טביעת אצבע אינה חומקת מהכללים בכך שאינה עוגייה, וגם אינה נופלת תחתיהם אוטומטית — הניתוח תלוי בשאלה מדוע אתם עושים זאת.

שני מכשירים משפטיים חלים, והם פועלים ברצף.

דירקטיבת ה-ePrivacy (סעיף 5(3)) מסדירה את פעולת האחסון של מידע על, או השגת גישה למידע המאוחסן כבר ב, ציוד הקצה של המשתמש. זהו „חוק העוגיות", אך הטקסט שלו ניטרלי-טכנולוגית — הוא מכסה „מידע" ו„גישה", מה שהרגולטורים (וההנחיות של המועצה האירופית להגנת מידע) קראו בעקביות ככולל טכניקות טביעת אצבע שניגשות למאפייני המכשיר. כך שקריאת אותות ממכשיר נמצאת בתחולת ה-ePrivacy ללא קשר לשאלה אם מעורבת עוגייה.

באופן קריטי, סעיף 5(3) מכיל פטורים. הסכמה אינה נדרשת כאשר הגישה הכרחית לחלוטין או לצורך העברת תקשורת, או לצורך אספקת שירות שהמשתמש ביקש במפורש. לאבטחה ולמניעת הונאות שהשירות שהמשתמש ביקש באמת תלוי בהן, יש בסיס אמיתי לפטור „הכרחי לחלוטין" — נקודה שנחזור אליה בהמשך.

ה-GDPR מסדיר את עיבוד כל מידע אישי שנובע מכך. טביעת אצבע של מכשיר שיכולה לייחד אדם היא מידע אישי, ולכן עיבודה דורש בסיס חוקי לפי סעיף 6. הבסיסים הרלוונטיים לעבודת מניעת הונאות הם אינטרסים לגיטימיים (סעיף 6(1)(f)) — וההצהרות המקדימות של ה-GDPR עצמן מציינות במפורש את מניעת ההונאות כאינטרס לגיטימי — וכן, במקרים הרלוונטיים, חובה חוקית. כאן שוכנים המנגנונים המפורטים של הציות: הגבלת מטרה, מזעור נתונים, שקיפות, מגבלות שמירה, והערכת אינטרסים לגיטימיים מתועדת. הצורה המעשית של פריסה תואמת מפורטת בטביעת אצבע של מכשירים תואמת-GDPR.

שני המכשירים מצטברים: ה-ePrivacy מחליטה אם אתם צריכים הסכמה כדי לגשת למכשיר, ה-GDPR מחליט אם יש לכם בסיס חוקי לעבד את מה שהשגתם. עבור מניעת הונאות, הנתיב הסביר הוא הפטור „הכרחי לחלוטין" של ה-ePrivacy בתוספת אינטרסים לגיטימיים של ה-GDPR — אך לנתיב הזה יש תנאים, והוא אינו אוטומטי.

האם טביעת אצבע למניעת הונאות זקוקה להסכמה?

זה תלוי במטרה, והפיצול חד: טביעת אצבע לפרסום, אנליטיקה או מעקב חוצה-אתרים זקוקה להסכמה; לטביעת אצבע הכרחית לחלוטין לשירות מניעת הונאות שהמשתמש ביקש יש בסיס אמיתי לפעול ללא אותה הצטרפות מפורשת. המנגנון זהה בשני המקרים — הטיפול המשפטי מתפצל לחלוטין לפי מדוע.

עבור מטרות הפרסום והאנליטיקה, אין טיעון רציני: זה בדיוק מה שדרישת ההסכמה של ה-ePrivacy נכתבה עבורו, זה אינו הכרחי לחלוטין לשום שירות שהמשתמש ביקש, וזה זקוק להסכמה מדעת מוקדמת כמו כל עוגיית מעקב.

עבור מניעת הונאות, המקרה לפטור „הכרחי לחלוטין" אמיתי אך מותנה. הוא מתקיים בעוצמה הרבה ביותר כאשר:

• טביעת האצבע באמת הכרחית כדי לספק שירות שהמשתמש ביקש — אבטחת הכניסה שלו, הגנה על התשלום שלו, מניעת השתלטות על החשבון שלו. האבטחה היא חלק ממה שהמשתמש מבקש כשהוא משתמש בשירות.
• העיבוד מוגבל למטרת האבטחה ואינו מוסב מחדש לשיווק, פרופיילינג, או כל דבר שהמשתמש לא ביקש. הגבלת המטרה עושה כאן עבודה אמיתית; ברגע שאותה טביעת אצבע מזינה פרסום, טיעון הפטור קורס.
• איסוף הנתונים ממוזער למה שמטרת האבטחה זקוקה לו, השמירה מוגבלת, והעיבוד מתועד ושקוף (מפורסם בהודעת הפרטיות גם אם ההסכמה אינה הבסיס).

זו אינה פרצה ואין להתייחס אליה ככזו. זהו פטור כבול-מטרה ששורד רק כל עוד המטרה נשארת כבולה. מערכת למניעת הונאות שמשתפת בשקט את האותות שלה לתוך גרף פרסום כבר אינה מבצעת עיבוד אבטחה הכרחי לחלוטין, והיא מאבדת את הפטור. העמדה בת-הקיימא היא פריסה למניעת הונאות שהיא, ונשארת, בדיוק מה שהיא טוענת שהיא: צד-ראשון, ממוקדת-אבטחה, ממוזערת, ומופרדת מהשיווק.

שום דבר מכאן אינו ייעוץ משפטי, והיישום המדויק תלוי בתחום השיפוט, ביישומי ePrivacy הלאומיים, בכללים הסקטוריאליים, ובעיבוד הספציפי שלכם — הניתוח כאן הוא הצורה הרגולטורית הכללית, ופריסה אמיתית זקוקה להערכת אינטרסים לגיטימיים משלה ולבחינת יועץ משפטי.

הארכיטקטורה בת-הקיימא

הארכיטקטורה ששורדת גם את השינוי הטכני וגם את המשפטי היא זו שאליה טביעת אצבע ממוקדת-הונאות ממילא התכנסה: צד-ראשון, מוטית לכיוון אותות בצד-השרת, מוגבלת-מטרה לאבטחה, ובלתי-תלויה במנגנונים חוצי-אתרים.

שלוש התחייבויות עיצוב נובעות מהמפה שלמעלה.

הישענו על אותות צד-ראשון ובצד-השרת. שינויי הדפדפן מגבילים בחוזקה הרבה ביותר בדיקות צד-לקוח חוצות-אתרים. אותות בצד-השרת — טביעות אצבע של מחסנית הרשת, מאפייני TLS, התנהגות חיבור — נצפים מהתשתית שלכם עצמכם כאשר המשתמש מתחבר לשירות שלכם, הם מטבעם צד-ראשון, ואינם כפופים להגבלות צד-הלקוח שהדפדפנים מהדקים. מערכת המוטית לכיוון אלה מתיישנת טוב יותר מזו שנבנתה על בדיקות צד-לקוח שעלולות להיות מקוצצות.

שמרו על המטרה כבולה וגלויה. הכדאיות המשפטית תלויה לחלוטין בהישארות בגבולות מטרת האבטחה. משמעות הדבר היא לא להסב מחדש אותות מניעת הונאות לשיווק, לא לבנות גרף חוצה-אתרים, לפרסם את העיבוד בהודעת הפרטיות, למזער איסוף, ולהגביל שמירה. אלה אינם תקורת ציות שהוברגה בדיעבד — הם התנאים שתחתם כל הגישה חוקית.

אל תסתמכו על שיתוף אותות חוצה-אתרים עבור פסק הדין המרכזי. בינה מצרפית ואנונימית בין לקוחות יכולה לחזק את הזיהוי, אך זהות המכשיר העיקרית צריכה לעמוד על אותות צד-ראשון בלבד, כך שהמערכת אינה נשענת על המנגנונים חוצי-האתרים שהם גם מוגבלים טכנית וגם מחייבי-הסכמה משפטית.

מערכת טביעת אצבע למניעת הונאות שנבנתה כך היא באמת שאחרי-עוגיות: היא אינה משתמשת בעוגיות, אינה זקוקה להן, אינה מסתמכת על מצב צד-שלישי, ואינה מתפרקת כשתכונת מניעת המעקב הבאה יוצאת — משום שמלכתחילה מעולם לא ביצעה מעקב חוצה-אתרים.

Tracio בנויה בדיוק על הצורה הזו. הזהות היא צד-ראשון וללא עוגיות, מוטית על פני אותות רשת בצד-השרת ואותות מכשיר בצד-הלקוח, מוגבלת-מטרה להחלטות אבטחה ומניעת הונאות, ואינה מזינה גרף פרסום. היא מתוכננת להישאר יציבה לאורך שינויי הפרטיות בדפדפנים משום שאינה תלויה במנגנונים חוצי-האתרים שאותם שינויים מכוונים אליהם. למנגנוני הציות המפורטים, ראו את מדריך הפריסה ל-GDPR; המילון מונחים מכסה את המושגים הבסיסיים.

רוצים לראות כיצד זהות מכשיר צד-ראשון, ממוקדת-אבטחה, מתאימה לעמדת הפרטיות והציות שלכם?

התחילו את הניסיון החינמי שלכם — 2,500 אימותים חינם, ללא צורך בכרטיס אשראי. הזמינו הדגמה כדי לסקור את הארכיטקטורה וטיפול הנתונים עם הצוות שלנו.