Device fingerprinting di dunia pasca-cookie: peta regulasi dan teknis 2026

Frasa "dunia pasca-cookie" meringkas dua cerita yang sangat berbeda menjadi satu, dan pencampuradukan ini menyebabkan sebagian besar kebingungan seputar apakah device fingerprinting masih layak digunakan pada 2026. Cerita pertama bersifat teknis: browser membatasi lalu menghapus cookie pihak ketiga, dan membangun mekanisme penggantinya. Cerita kedua bersifat hukum: regulator menegaskan bahwa fingerprinting diatur oleh aturan yang sama dengan cookie. Kedua cerita ini nyata, keduanya penting, dan keduanya kerap disalahbaca sebagai "fingerprinting sudah mati" padahal yang sebenarnya mereka tetapkan jauh lebih spesifik.

Tulisan ini memetakan keduanya — apa yang berubah pada browser, apa yang dikatakan hukum, dan bagaimana keduanya berinteraksi — dengan satu benang merah yang konsisten: tujuan identifikasi, bukan mekanismenya, itulah yang menentukan baik kelayakan teknis maupun kedudukan hukum. Sasaran pembacanya adalah pemangku kepentingan privasi, hukum, dan rekayasa yang memutuskan apakah dan bagaimana menerapkan device intelligence.

Apa yang sebenarnya dihapus oleh "dunia pasca-cookie"

Pergeseran pasca-cookie menghapus cookie pihak ketiga — mekanisme pelacakan lintas-situs — sembari membiarkan utuh state first-party dan identifikasi perangkat first-party. Perbedaan itu adalah fakta paling penting untuk menilai fingerprinting, dan justru itulah yang paling sering hilang dari pandangan.

Cookie pihak ketiga disetel oleh domain selain yang ada di address bar, dan memungkinkan pihak ketiga tersebut mengenali seorang pengguna di semua situs tak terkait tempat kodenya berjalan. Inilah mesin di balik iklan perilaku lintas-situs, dan inilah yang dibongkar oleh browser. Sebuah cookie first-party — disetel oleh situs yang benar-benar Anda kunjungi, hanya dapat dibaca oleh situs itu — tidak pernah menjadi sasaran dan tetap berfungsi.

Para browser bergerak pada lini waktu yang berbeda dengan mekanisme yang berbeda, tetapi arahnya seragam: matikan state pihak ketiga lintas-situs, pertahankan hubungan first-party.

Safari (Intelligent Tracking Prevention). ITP milik Apple telah memblokir cookie pihak ketiga secara default sejak 2020 dan secara progresif memperketat masa hidup penyimpanan first-party untuk state yang disetel skrip guna membatasi celah pelacakan. ITP secara spesifik menyasar kasus penggunaan pelacakan lintas-situs.

Firefox (Enhanced Tracking Protection / Total Cookie Protection). Firefox memblokir cookie pelacakan pihak ketiga secara default dan mempartisi penyimpanan per-situs, sehingga pihak ketiga mendapat cookie jar terpisah di setiap situs alih-alih satu identitas yang dipakai bersama di semuanya. Sekali lagi — keterkaitan lintas-situslah sasarannya.

Chrome (Privacy Sandbox). Jalur Chrome lebih panjang dan lebih diperdebatkan. Alih-alih sekadar memblokir cookie pihak ketiga, Google membangun Privacy Sandbox — sekumpulan API yang dibatasi menurut tujuan (Topics untuk sinyal minat, Protected Audience untuk remarketing, Attribution Reporting untuk pengukuran konversi) yang dimaksudkan untuk memberi hasil periklanan tanpa pengenal lintas-situs. Peluncuran, lini waktu deprekasi, dan status persis pilihan yang dihadapkan ke pengguna berubah berulang kali sepanjang 2024–2026, tetapi niat arsitekturalnya bertahan: mengganti pengenal lintas-situs dengan mekanisme teragregasi yang dibatasi cakupan privasinya. Dampaknya terhadap fingerprinting secara khusus dibahas di Privacy Sandbox impact.

Setiap langkah ini menyasar hal yang sama: pihak ketiga yang mengenali pengguna di situs-situs yang bukan miliknya. Tidak satu pun dari langkah-langkah ini menyasar — atau bisa menyasar, tanpa merusak web — situs yang mengenali pengunjungnya sendiri di halamannya sendiri. Di celah itulah fraud fingerprinting berada.

Fraud fingerprinting first-party adalah kasus penggunaan yang berbeda

Fingerprinting untuk pencegahan fraud secara hakikat bersifat first-party dan berada di satu situs: sebuah platform mengidentifikasi pengunjungnya sendiri di halamannya sendiri untuk mengambil keputusan keamanan. Ini secara kategoris berbeda dari kasus penggunaan iklan lintas-situs yang dibongkar oleh browser, dan mekanisme browser tidak membatasinya — karena mereka tidak bisa, tanpa merusak fungsi esensial yang menjadi sandaran setiap situs.

Bayangkan apa yang harus dirusak sebuah browser untuk menghentikan identifikasi perangkat first-party. Ia harus mencegah sebuah situs membaca karakteristik browser yang me-render halamannya sendiri — ukuran layar, bahasa, perilaku waktu dan rendering yang dibutuhkan situs agar berfungsi, tumpukan jaringan yang sudah menjadi lawan bicaranya. Ini bukan kait pelacakan; ini adalah permukaan dasar tempat aplikasi web berjalan. Membatasinya akan merusak fungsi yang sah, jadi browser membatasi kombinasi lintas-situs dan penyalahgunaan sinyal-sinyal ini, bukan pengamatan first-party-nya.

Inilah mengapa pembedaan perangkat-versus-cookie itu penting. Sistem fraud yang mengidentifikasi perangkat yang kembali di satu platform bukanlah merekonstruksi cookie pihak ketiga — ia melakukan sesuatu yang toh tidak pernah bisa dilakukan cookie pihak ketiga dengan baik: menghasilkan identitas stabil yang tahan terhadap penghapusan, untuk tujuan keamanan situs itu sendiri. Dan melakukannya tanpa cookie sama sekali, sehingga menyingkir dari seluruh pertanyaan soal deprekasi cookie.

Karena itu vonis kelayakan teknisnya lugas: perubahan browser pasca-cookie mengurangi fingerprinting lintas-situs (lebih sulit, lebih dibatasi) dan membiarkan fraud fingerprinting first-party pada dasarnya tetap utuh. Sistem fraud yang bergantung pada berbagi sinyal lintas-situs akan menghadapi masalah; sistem yang dibangun di sekitar identitas perangkat first-party tidak.

Apa yang sebenarnya dikatakan GDPR dan ePrivacy tentang fingerprinting

Hukum Eropa memperlakukan device fingerprinting sama seperti memperlakukan cookie: ia mengatur berdasarkan tujuan dan berdasarkan akses ke perangkat pengguna, bukan berdasarkan teknologi spesifiknya. Fingerprinting tidak lolos dari aturan hanya karena bukan cookie, dan ia juga tidak otomatis tunduk padanya — analisisnya bergantung pada mengapa Anda melakukannya.

Ada dua instrumen yang berlaku, dan keduanya beroperasi secara berurutan.

ePrivacy Directive (Pasal 5(3)) mengatur tindakan menyimpan informasi pada, atau memperoleh akses ke informasi yang sudah tersimpan di, terminal equipment pengguna. Inilah "hukum cookie", tetapi teksnya netral-teknologi — ia mencakup "informasi" dan "akses", yang oleh regulator (dan panduan European Data Protection Board) secara konsisten dibaca mencakup teknik fingerprinting yang mengakses karakteristik perangkat. Jadi membaca sinyal dari sebuah perangkat berada dalam lingkup ePrivacy terlepas dari apakah cookie terlibat.

Yang krusial, Pasal 5(3) memuat pengecualian. Consent tidak diperlukan bila akses tersebut strictly necessary baik untuk mentransmisikan sebuah komunikasi maupun untuk menyediakan layanan yang secara eksplisit diminta oleh pengguna. Keamanan dan pencegahan fraud yang benar-benar menjadi sandaran layanan yang diminta pengguna memiliki dasar nyata untuk pengecualian strictly-necessary — sebuah poin yang akan dibahas kembali di bawah.

GDPR mengatur pemrosesan setiap data pribadi yang dihasilkan. Sebuah device fingerprint yang dapat menyaring seorang individu adalah data pribadi, sehingga pemrosesannya memerlukan dasar hukum menurut Pasal 6. Dasar yang relevan untuk pekerjaan fraud adalah kepentingan sah (Pasal 6(1)(f)) — dan resital GDPR sendiri secara eksplisit menyebut pencegahan fraud sebagai kepentingan sah — dan, jika berlaku, kewajiban hukum. Di sinilah mekanika kepatuhan yang rinci berada: pembatasan tujuan, minimisasi data, transparansi, batas retensi, dan penilaian kepentingan-sah yang terdokumentasi. Bentuk praktis dari penerapan yang patuh diuraikan di GDPR-compliant device fingerprinting.

Kedua instrumen ini bertumpuk: ePrivacy menentukan apakah Anda butuh consent untuk mengakses perangkat, GDPR menentukan apakah Anda punya dasar hukum untuk memproses apa yang Anda peroleh. Untuk pencegahan fraud, jalur yang masuk akal adalah pengecualian strictly-necessary ePrivacy plus kepentingan sah GDPR — tetapi jalur itu punya syarat, dan tidak otomatis.

Apakah fraud fingerprinting butuh consent?

Itu bergantung pada tujuan, dan pemisahannya tajam: fingerprinting untuk iklan, analitik, atau pelacakan lintas-situs butuh consent; fingerprinting yang strictly necessary bagi layanan pencegahan fraud yang diminta pengguna punya dasar sungguhan untuk beroperasi tanpa opt-in yang sama. Mekanismenya identik dalam kedua kasus — perlakuan hukumnya bercabang sepenuhnya pada mengapa.

Untuk tujuan iklan dan analitik, tidak ada argumen serius: inilah persis yang menjadi alasan ditulisnya syarat consent ePrivacy, ia tidak strictly necessary bagi layanan apa pun yang diminta pengguna, dan ia butuh consent yang terinformasi lebih dahulu sebagaimana cookie pelacakan mana pun.

Untuk pencegahan fraud, argumen bagi pengecualian strictly-necessary itu nyata tetapi bersyarat. Ia berdiri paling kuat ketika:

• Fingerprinting benar-benar diperlukan untuk memberikan layanan yang diminta pengguna — mengamankan login mereka, melindungi pembayaran mereka, mencegah pengambilalihan akun mereka. Keamanan itu bagian dari apa yang diminta pengguna ketika mereka memakai layanan.
• Pemrosesan dibatasi pada tujuan keamanan dan tidak dialihgunakan untuk pemasaran, profiling, atau apa pun yang tidak diminta pengguna. Pembatasan tujuan benar-benar bekerja di sini; begitu fingerprint yang sama memberi makan periklanan, argumen pengecualian itu runtuh.
• Pengumpulan data diminimalkan pada apa yang dibutuhkan tujuan keamanan, retensi dibatasi, dan pemrosesan terdokumentasi serta transparan (diungkapkan dalam pemberitahuan privasi bahkan bila consent bukan dasarnya).

Ini bukan celah hukum dan tidak boleh diperlakukan seperti itu. Ini adalah pengecualian yang terikat tujuan yang hanya bertahan selama tujuannya tetap terbatas. Sistem fraud yang diam-diam berbagi sinyalnya ke sebuah graf iklan tidak lagi melakukan pemrosesan keamanan yang strictly-necessary, dan ia kehilangan pengecualiannya. Posisi yang tahan lama adalah penerapan fraud yang, dan tetap, persis seperti yang diklaimnya: first-party, bertujuan keamanan, diminimalkan, dan terpisah dari pemasaran.

Tidak ada dari ini yang merupakan nasihat hukum, dan penerapan persisnya bergantung pada yurisdiksi, implementasi ePrivacy nasional, aturan sektoral, dan pemrosesan spesifik Anda — analisis di sini adalah bentuk regulasi secara umum, dan penerapan nyata membutuhkan penilaian kepentingan-sahnya sendiri serta tinjauan penasihat hukum.

Arsitektur yang tahan lama

Arsitektur yang selamat melewati pergeseran teknis maupun hukum adalah arsitektur yang memang sudah menjadi titik konvergensi fingerprinting yang berfokus fraud: first-party, condong ke sinyal server-side, dibatasi tujuannya pada keamanan, dan independen dari mekanisme lintas-situs.

Tiga komitmen desain mengikuti dari peta di atas.

Bersandarlah pada sinyal first-party dan server-side. Perubahan browser membatasi paling keras probe sisi-klien lintas-situs. Sinyal server-side — fingerprint tumpukan jaringan, karakteristik TLS, perilaku koneksi — diamati dari infrastruktur Anda sendiri saat pengguna terhubung ke layanan Anda, secara hakikat bersifat first-party, dan tidak tunduk pada pembatasan sisi-klien yang tengah diperketat browser. Sistem yang condong ke sinyal ini menua lebih baik dibanding sistem yang dibangun di atas probe sisi-klien yang mungkin dipangkas.

Jaga agar tujuan tetap terbatas dan terlihat. Kelayakan hukum sepenuhnya bergantung pada tetap berada dalam tujuan keamanan. Itu berarti tidak mengalihgunakan sinyal fraud untuk pemasaran, tidak membangun graf lintas-situs, mengungkapkan pemrosesan dalam pemberitahuan privasi, meminimalkan pengumpulan, dan membatasi retensi. Ini bukan beban kepatuhan yang dipasang belakangan — ini adalah syarat yang membuat seluruh pendekatannya sah.

Jangan bergantung pada berbagi sinyal lintas-situs untuk vonis inti. Intelijen lintas-pelanggan yang dianonimkan dan teragregasi dapat memperkuat deteksi, tetapi identitas perangkat utama harus berdiri di atas sinyal first-party saja, sehingga sistem tidak bertumpu pada mekanisme lintas-situs yang secara teknis dibatasi sekaligus secara hukum mensyaratkan consent.

Sistem fraud fingerprinting yang dibangun dengan cara ini benar-benar pasca-cookie: ia tidak memakai cookie, tidak membutuhkannya, tidak bergantung pada state pihak ketiga, dan tidak runtuh ketika fitur pencegahan-pelacakan berikutnya dirilis — karena ia memang tidak pernah melakukan pelacakan lintas-situs sejak awal.

Tracio dibangun tepat dalam bentuk ini. Identitasnya first-party dan tanpa cookie, dibobot lintas sinyal jaringan server-side dan sinyal perangkat sisi-klien, dibatasi tujuannya pada keputusan keamanan dan fraud, serta tidak memberi makan graf periklanan. Ia dirancang untuk tetap stabil melewati perubahan privasi browser karena ia tidak bergantung pada mekanisme lintas-situs yang menjadi sasaran perubahan itu. Untuk mekanika kepatuhan yang rinci, lihat GDPR deployment guide; glosarium membahas konsep-konsep yang mendasarinya.

Ingin melihat bagaimana identitas perangkat first-party yang bertujuan keamanan cocok dengan postur privasi dan kepatuhan Anda?

Mulai uji coba gratis Anda — 2.500 verifikasi gratis, tanpa kartu kredit. Pesan demo untuk meninjau arsitektur dan penanganan data bersama tim kami.