Device fingerprinting in een post-cookietijdperk: de regelgevende en technische kaart van 2026

De uitdrukking "post-cookietijdperk" perst twee heel verschillende verhalen samen tot één, en die vermenging veroorzaakt het meeste van de verwarring rond de vraag of device fingerprinting in 2026 nog levensvatbaar is. Het ene verhaal is technisch: browsers beperkten en verwijderden vervolgens third-party cookies, en bouwden vervangende mechanismen. Het andere is juridisch: toezichthouders verduidelijkten dat fingerprinting onder dezelfde regels valt als cookies. Beide verhalen zijn echt, beide doen ertoe, en beide worden vaak verkeerd gelezen als "fingerprinting is dood", terwijl wat ze werkelijk vaststellen veel specifieker is.

Dit stuk brengt beide in kaart — wat er veranderde in de browsers, wat de wet zegt, en hoe de twee op elkaar inwerken — met een consistente rode draad: het doel van de identificatie, niet het mechanisme, bepaalt zowel de technische levensvatbaarheid als de juridische houdbaarheid. Het publiek bestaat uit privacy-, juridische en engineering-belanghebbenden die beslissen of en hoe ze device intelligence inzetten.

Wat het "post-cookietijdperk" daadwerkelijk verwijderde

De post-cookieverschuiving verwijderde third-party cookies — het cross-site trackingmechanisme — terwijl first-party state en first-party device-identificatie intact bleven. Dat onderscheid is het allerbelangrijkste feit om fingerprinting te beoordelen, en het is precies het feit dat het vaakst verloren gaat.

Een third-party cookie wordt geplaatst door een ander domein dan het domein in de adresbalk, en stelt die derde partij in staat een gebruiker te herkennen op alle niet-verwante sites waar zijn code draait. Dit is de motor van cross-site gedragsadvertenties, en dit is wat browsers ontmantelden. Een first-party cookie — geplaatst door de site die je daadwerkelijk bezoekt en alleen leesbaar door die site — was nooit het doelwit en blijft werken.

De browsers bewogen op verschillende tijdslijnen met verschillende mechanismen, maar de richting was uniform: dood cross-site third-party state, behoud de first-party relatie.

Safari (Intelligent Tracking Prevention). Apple's ITP blokkeert third-party cookies standaard sinds 2020 en heeft de opslagduur van first-party state die door scripts wordt geplaatst geleidelijk verkort om tracking-omwegen te beperken. ITP richt zich specifiek op de cross-site tracking use case.

Firefox (Enhanced Tracking Protection / Total Cookie Protection). Firefox blokkeert standaard third-party trackingcookies en partitioneert opslag per site, zodat een derde partij op elke site een aparte cookiepot krijgt in plaats van één gedeelde identiteit over alle sites heen. Ook hier is cross-site koppeling het doelwit.

Chrome (Privacy Sandbox). Chrome's traject was langer en meer betwist. In plaats van simpelweg third-party cookies te blokkeren, bouwde Google de Privacy Sandbox — een reeks doelgebonden API's (Topics voor interessesignalen, Protected Audience voor remarketing, Attribution Reporting voor conversiemeting) bedoeld om advertentie-uitkomsten te leveren zonder cross-site identifiers. De uitrol, het deprecatietijdpad en de exacte status van de gebruikerskeuze verschoven herhaaldelijk gedurende 2024–2026, maar de architecturale bedoeling bleef overeind: vervang de cross-site identifier door geaggregeerde, privacy-afgebakende mechanismen. De impact specifiek op fingerprinting wordt behandeld in Privacy Sandbox impact.

Elk van deze richt zich op hetzelfde: een derde partij die een gebruiker herkent op sites die hij niet bezit. Geen van hen richt zich — of zou zich kunnen richten, zonder het web te breken — op een site die zijn eigen bezoekers op zijn eigen pagina's herkent. Dat is de ruimte waarin fraudefingerprinting leeft.

First-party fraudefingerprinting is een andere use case

Fingerprinting voor fraudepreventie is van nature first-party en single-site: een platform identificeert zijn eigen bezoekers op zijn eigen pagina's om beveiligingsbeslissingen te nemen. Dit is categorisch anders dan de cross-site advertentie-use case die de browsers ontmantelden, en de browsermechanismen beperken het niet — omdat ze dat niet kunnen, zonder essentiële functionaliteit te breken waar elke site van afhangt.

Bedenk wat een browser zou moeten breken om first-party device-identificatie te stoppen. Hij zou moeten voorkomen dat een site de kenmerken leest van de browser die zijn eigen pagina's rendert — schermgrootte, taal, de timing en het rendergedrag die een site nodig heeft om te functioneren, de netwerkstack waarmee hij toch al praat. Dit zijn geen trackinghaken; het is de basale oppervlakte waarop een webapplicatie draait. Het beperken ervan breekt legitieme functionaliteit, dus browsers beperken de cross-site combinatie en het misbruik van deze signalen, niet de first-party observatie ervan.

Daarom doet het onderscheid tussen device en cookie ertoe. Een fraudesysteem dat een terugkerend apparaat op één platform identificeert, reconstrueert geen third-party cookie — het doet iets wat third-party cookies sowieso nooit goed deden: een stabiele identiteit produceren die bestand is tegen wissen, voor het eigen beveiligingsdoel van de site. En het doet dat helemaal zonder cookies, wat de hele kwestie van cookie-deprecatie omzeilt.

Het oordeel over technische levensvatbaarheid is daarom eenvoudig: de post-cookie browserwijzigingen verminderen cross-site fingerprinting (moeilijker, meer beperkt) en laten first-party fraudefingerprinting in wezen intact. Een fraudesysteem dat afhing van cross-site signaaldeling zou in de problemen zitten; een systeem dat is gebouwd rond first-party device-identiteit niet.

Wat de AVG en ePrivacy daadwerkelijk zeggen over fingerprinting

Het Europese recht behandelt device fingerprinting op dezelfde manier als cookies: het reguleert naar doel en naar toegang tot het apparaat van de gebruiker, niet naar de specifieke technologie. Fingerprinting ontsnapt niet aan de regels door geen cookie te zijn, en valt er ook niet automatisch onder — de analyse draait om waarom je het doet.

Twee instrumenten zijn van toepassing, en ze werken in volgorde.

De ePrivacyrichtlijn (artikel 5, lid 3) reguleert het opslaan van informatie op, of het verkrijgen van toegang tot informatie die al is opgeslagen in, de eindapparatuur van een gebruiker. Dit is de "cookiewet", maar de tekst is technologieneutraal — hij dekt "informatie" en "toegang", wat toezichthouders (en de richtsnoeren van de European Data Protection Board) consistent zo hebben gelezen dat het fingerprinting-technieken omvat die device-kenmerken benaderen. Het uitlezen van signalen van een apparaat valt dus binnen de reikwijdte van ePrivacy, ongeacht of er een cookie bij betrokken is.

Cruciaal is dat artikel 5, lid 3 vrijstellingen bevat. Toestemming is niet vereist wanneer de toegang strikt noodzakelijk is om ofwel een communicatie te verzenden ofwel een dienst te leveren die uitdrukkelijk door de gebruiker is gevraagd. Beveiliging en fraudepreventie waar de gevraagde dienst van de gebruiker daadwerkelijk van afhangt, hebben een reële grondslag voor de vrijstelling voor strikte noodzaak — een punt waar hieronder op wordt teruggekomen.

De AVG reguleert de verwerking van eventuele daaruit voortvloeiende persoonsgegevens. Een device fingerprint die een individu kan onderscheiden is een persoonsgegeven, dus de verwerking ervan heeft een rechtsgrond nodig op grond van artikel 6. De relevante grondslagen voor fraudewerk zijn gerechtvaardigd belang (artikel 6, lid 1, onder f) — en de overwegingen van de AVG zelf noemen fraudepreventie uitdrukkelijk als een gerechtvaardigd belang — en, waar van toepassing, wettelijke verplichting. Hier bevindt zich de gedetailleerde compliance-mechaniek: doelbinding, dataminimalisatie, transparantie, bewaartermijnen en een gedocumenteerde beoordeling van gerechtvaardigd belang. De praktische vorm van een compliant inzet wordt uiteengezet in AVG-compliant device fingerprinting.

De twee instrumenten stapelen: ePrivacy bepaalt of je toestemming nodig hebt om het apparaat te benaderen, de AVG bepaalt of je een rechtsgrond hebt om te verwerken wat je hebt verkregen. Voor fraudepreventie is het aannemelijke pad de vrijstelling voor strikte noodzaak van ePrivacy plus gerechtvaardigd belang onder de AVG — maar dat pad heeft voorwaarden, en het is niet automatisch.

Vereist fraudefingerprinting toestemming?

Het hangt af van het doel, en de scheidslijn is scherp: fingerprinting voor advertenties, analytics of cross-site tracking vereist toestemming; fingerprinting die strikt noodzakelijk is voor een fraudepreventiedienst die de gebruiker heeft gevraagd, heeft een reële grondslag om zonder dezelfde opt-in te werken. Het mechanisme is in beide gevallen identiek — de juridische behandeling loopt volledig uiteen naar het waarom.

Voor de advertentie- en analyticsdoelen bestaat er geen serieus argument: dit is precies waarvoor de toestemmingseis van ePrivacy is geschreven, het is niet strikt noodzakelijk voor enige dienst die de gebruiker heeft gevraagd, en het heeft voorafgaande geïnformeerde toestemming nodig zoals elke trackingcookie dat zou hebben.

Voor fraudepreventie is het argument voor de vrijstelling voor strikte noodzaak reëel maar voorwaardelijk. Het houdt het sterkst stand wanneer:

• De fingerprinting daadwerkelijk noodzakelijk is om een dienst te leveren die de gebruiker heeft gevraagd — het beveiligen van zijn login, het beschermen van zijn betaling, het voorkomen van overname van zijn account. De beveiliging maakt deel uit van wat de gebruiker vraagt wanneer hij de dienst gebruikt.
• De verwerking beperkt is tot het beveiligingsdoel en niet wordt hergebruikt voor marketing, profilering of iets wat de gebruiker niet heeft gevraagd. Doelbinding doet hier echt werk; op het moment dat dezelfde fingerprint advertenties voedt, stort het vrijstellingsargument in.
• De dataverzameling is geminimaliseerd tot wat het beveiligingsdoel nodig heeft, de bewaring is begrensd, en de verwerking is gedocumenteerd en transparant (bekendgemaakt in de privacyverklaring, ook al is toestemming niet de grondslag).

Dit is geen maas in de wet en moet er ook niet als zodanig worden behandeld. Het is een doelgebonden vrijstelling die alleen overleeft zolang het doel begrensd blijft. Een fraudesysteem dat stiekem zijn signalen deelt in een advertentiegraph doet niet langer strikt noodzakelijke beveiligingsverwerking, en verliest de vrijstelling. De duurzame positie is een fraude-inzet die is, en blijft, precies wat hij beweert te zijn: first-party, met een beveiligingsdoel, geminimaliseerd en gescheiden van marketing.

Niets hiervan is juridisch advies, en de exacte toepassing hangt af van jurisdictie, nationale ePrivacy-implementaties, sectorregels en jouw specifieke verwerking — de analyse hier is de algemene regelgevende vorm, en een echte inzet vereist een eigen beoordeling van gerechtvaardigd belang en juridische toetsing.

De duurzame architectuur

De architectuur die zowel de technische als de juridische verschuiving overleeft, is precies die waar op fraude gerichte fingerprinting al naartoe convergeerde: first-party, gewogen richting server-side signalen, doelgebonden aan beveiliging en onafhankelijk van cross-site mechanismen.

Drie ontwerpkeuzes volgen uit de kaart hierboven.

Leun op first-party en server-side signalen. De browserwijzigingen beperken cross-site client-side probes het hardst. Server-side signalen — netwerkstack-fingerprints, TLS-kenmerken, verbindingsgedrag — worden waargenomen vanuit je eigen infrastructuur terwijl de gebruiker verbinding maakt met je dienst, zijn inherent first-party, en zijn niet onderworpen aan de client-side beperkingen die de browsers aanscherpen. Een systeem dat naar deze signalen weegt, veroudert beter dan een systeem gebouwd op client-side probes die mogelijk worden ingeperkt.

Houd het doel begrensd en zichtbaar. De juridische levensvatbaarheid hangt volledig af van het binnen het beveiligingsdoel blijven. Dat betekent: fraudesignalen niet hergebruiken voor marketing, geen cross-site graph bouwen, de verwerking bekendmaken in de privacyverklaring, de verzameling minimaliseren en de bewaring begrenzen. Dit is geen compliance-overhead die er achteraf op wordt vastgeschroefd — het zijn de voorwaarden waaronder de hele aanpak rechtmatig is.

Reken voor het kernoordeel niet op cross-site signaaldeling. Geanonimiseerde, geaggregeerde intelligentie over klanten heen kan detectie versterken, maar de primaire device-identiteit moet op first-party signalen alleen staan, zodat het systeem niet rust op de cross-site mechanismen die zowel technisch beperkt als juridisch toestemmingsplichtig zijn.

Een fraudefingerprinting-systeem dat zo is gebouwd, is werkelijk post-cookie: het gebruikt geen cookies, heeft ze niet nodig, steunt niet op third-party state, en valt niet uit elkaar wanneer de volgende tracking-preventiefunctie wordt uitgebracht — omdat het sowieso nooit cross-site tracking deed.

Tracio is gebouwd op precies deze vorm. De identiteit is first-party en cookieloos, gewogen over server-side netwerksignalen en client-side device-signalen, doelgebonden aan beveiligings- en fraudebeslissingen, en voedt geen advertentiegraph. Ze is ontworpen om stabiel te blijven door browser-privacywijzigingen heen, omdat ze niet afhangt van de cross-site mechanismen waarop die wijzigingen zich richten. Voor de gedetailleerde compliance-mechaniek, zie de AVG-inzetgids; de woordenlijst behandelt de onderliggende concepten.

Wil je zien hoe een first-party device-identiteit met een beveiligingsdoel past bij jouw privacy- en compliance-houding?

Start je gratis proefperiode — 2.500 verificaties gratis, geen creditcard vereist. Boek een demo om de architectuur en gegevensverwerking met ons team door te nemen.