Fingerprinting urządzeń w świecie po ciasteczkach: mapa regulacyjna i techniczna na 2026 rok

Sformułowanie „świat po ciasteczkach” zbija w jedno dwie zupełnie różne historie, a to pomieszanie jest źródłem większości nieporozumień wokół tego, czy fingerprinting urządzeń jest w 2026 roku nadal opłacalny. Jedna historia jest techniczna: przeglądarki ograniczyły, a potem usunęły ciasteczka third-party i zbudowały mechanizmy zastępcze. Druga jest prawna: regulatorzy wyjaśnili, że fingerprinting podlega tym samym regułom co ciasteczka. Obie historie są prawdziwe, obie mają znaczenie i obie są często błędnie odczytywane jako „fingerprinting umarł”, podczas gdy w rzeczywistości ustalają coś znacznie bardziej precyzyjnego.

Ten tekst mapuje obie — co zmieniło się w przeglądarkach, co mówi prawo i jak jedno oddziałuje na drugie — z konsekwentną myślą przewodnią: to cel identyfikacji, a nie mechanizm, decyduje zarówno o technicznej opłacalności, jak i o statusie prawnym. Odbiorcami są interesariusze z obszaru prywatności, prawa i inżynierii, którzy decydują, czy i jak wdrażać device intelligence.

Co „świat po ciasteczkach” faktycznie usunął

Zmiana po ciasteczkach usunęła ciasteczka third-party — mechanizm śledzenia międzywitrynowego — pozostawiając nienaruszonym first-party stan i identyfikację urządzeń first-party. To rozróżnienie jest najważniejszym pojedynczym faktem przy ocenie fingerprintingu i to właśnie ono jest najczęściej gubione.

Ciasteczko third-party jest ustawiane przez domenę inną niż ta w pasku adresu i pozwala tej stronie trzeciej rozpoznawać użytkownika we wszystkich niepowiązanych witrynach, na których działa jej kod. To silnik behawioralnej reklamy międzywitrynowej i to właśnie zdemontowały przeglądarki. Ciasteczko first-party — ustawiane przez witrynę, którą faktycznie odwiedzasz, i czytelne tylko dla niej — nigdy nie było celem i nadal działa.

Przeglądarki poruszały się według różnych harmonogramów i różnymi mechanizmami, ale kierunek był jednolity: zabić międzywitrynowy stan third-party, zachować relację first-party.

Safari (Intelligent Tracking Prevention). ITP firmy Apple domyślnie blokuje ciasteczka third-party od 2020 roku i stopniowo skraca czasy życia pamięci first-party dla stanu ustawianego skryptem, aby ograniczyć obejścia śledzenia. ITP celuje konkretnie w przypadek użycia, jakim jest śledzenie międzywitrynowe.

Firefox (Enhanced Tracking Protection / Total Cookie Protection). Firefox domyślnie blokuje ciasteczka śledzące third-party i partycjonuje pamięć per witryna, więc strona trzecia otrzymuje osobny słoik ciasteczek na każdej witrynie zamiast jednej wspólnej tożsamości we wszystkich. Ponownie — celem jest powiązanie międzywitrynowe.

Chrome (Privacy Sandbox). Droga Chrome była dłuższa i bardziej sporna. Zamiast po prostu blokować ciasteczka third-party, Google zbudował Privacy Sandbox — zestaw API o zakresie zawężonym do celu (Topics dla sygnałów zainteresowań, Protected Audience dla remarketingu, Attribution Reporting dla pomiaru konwersji) mających dostarczać wyniki reklamowe bez identyfikatorów międzywitrynowych. Wdrożenie, harmonogram wycofania i dokładny status wyboru widocznego dla użytkownika zmieniały się wielokrotnie w latach 2024–2026, ale intencja architektoniczna się utrzymała: zastąpić identyfikator międzywitrynowy zagregowanymi mechanizmami o zawężonym zakresie prywatności. Wpływ konkretnie na fingerprinting omawia Wpływ Privacy Sandbox.

Każde z tych rozwiązań celuje w to samo: stronę trzecią rozpoznającą użytkownika na witrynach, których nie jest właścicielem. Żadne z nich nie celuje — i nie mogłoby, nie łamiąc sieci — w witrynę rozpoznającą własnych odwiedzających na własnych stronach. To luka, w której żyje fingerprinting antyfraudowy.

First-party fingerprinting antyfraudowy to inny przypadek użycia

Fingerprinting do przeciwdziałania fraudowi jest z natury first-party i jednowitrynowy: platforma identyfikuje własnych odwiedzających na własnych stronach, aby podejmować decyzje o bezpieczeństwie. To kategorialnie coś innego niż międzywitrynowy przypadek reklamowy, który przeglądarki zdemontowały, i mechanizmy przeglądarek go nie ograniczają — bo nie mogą, nie psując podstawowej funkcjonalności, na której opiera się każda witryna.

Zastanów się, co przeglądarka musiałaby zepsuć, aby powstrzymać identyfikację urządzeń first-party. Musiałaby uniemożliwić witrynie odczyt charakterystyk przeglądarki renderującej jej własne strony — rozmiaru ekranu, języka, czasów i zachowania renderowania potrzebnych witrynie do działania, stosu sieciowego, z którym już się komunikuje. To nie są haki śledzące; to podstawowa powierzchnia, na której działa aplikacja webowa. Ograniczenie ich psuje legalną funkcjonalność, więc przeglądarki ograniczają międzywitrynowe łączenie i nadużywanie tych sygnałów, a nie ich obserwację first-party.

Dlatego właśnie rozróżnienie urządzenie kontra ciasteczko ma znaczenie. System antyfraudowy identyfikujący powracające urządzenie na pojedynczej platformie nie odtwarza ciasteczka third-party — robi coś, czego ciasteczka third-party i tak nigdy nie robiły dobrze: wytwarza stabilną tożsamość odporną na czyszczenie, na potrzeby własnego bezpieczeństwa witryny. I robi to zupełnie bez ciasteczek, co całkowicie omija kwestię wycofywania ciasteczek.

Werdykt co do technicznej opłacalności jest zatem prosty: zmiany w przeglądarkach po ciasteczkach ograniczają fingerprinting międzywitrynowy (trudniejszy, bardziej ograniczony) i pozostawiają first-party fingerprinting antyfraudowy zasadniczo nietkniętym. System antyfraudowy zależny od międzywitrynowego dzielenia sygnałów miałby kłopoty; ten zbudowany wokół tożsamości urządzenia first-party — nie.

Co RODO i ePrivacy faktycznie mówią o fingerprintingu

Prawo europejskie traktuje fingerprinting urządzeń tak samo, jak traktuje ciasteczka: reguluje według celu i dostępu do urządzenia użytkownika, a nie według konkretnej technologii. Fingerprinting nie wymyka się regułom przez to, że nie jest ciasteczkiem, ani nie podpada pod nie automatycznie — analiza obraca się wokół tego, po co go stosujesz.

Zastosowanie mają dwa akty prawne i działają one sekwencyjnie.

Dyrektywa ePrivacy (art. 5 ust. 3) reguluje czynność przechowywania informacji na urządzeniu końcowym użytkownika lub uzyskiwania dostępu do informacji już tam przechowywanych. To „prawo o ciasteczkach”, ale jego tekst jest neutralny technologicznie — obejmuje „informacje” i „dostęp”, co regulatorzy (oraz wytyczne Europejskiej Rady Ochrony Danych) konsekwentnie odczytują jako obejmujące techniki fingerprintingu, które sięgają po charakterystyki urządzenia. Odczyt sygnałów z urządzenia mieści się więc w zakresie ePrivacy niezależnie od tego, czy w grę wchodzi ciasteczko.

Co kluczowe, art. 5 ust. 3 zawiera wyjątki. Zgoda nie jest wymagana, gdy dostęp jest ściśle niezbędny albo do przesłania komunikatu, albo do świadczenia usługi wyraźnie zażądanej przez użytkownika. Bezpieczeństwo i przeciwdziałanie fraudowi, od których faktycznie zależy zażądana usługa użytkownika, mają realną podstawę do wyjątku „ściśle niezbędne” — do czego wracamy poniżej.

RODO reguluje przetwarzanie wszelkich powstałych danych osobowych. Fingerprint urządzenia, który potrafi wyodrębnić jednostkę, jest danymi osobowymi, więc jego przetwarzanie wymaga podstawy prawnej na mocy art. 6. Właściwe podstawy dla działań antyfraudowych to prawnie uzasadniony interes (art. 6 ust. 1 lit. f) — a same motywy RODO wprost wymieniają przeciwdziałanie fraudowi jako prawnie uzasadniony interes — oraz, gdy ma to zastosowanie, obowiązek prawny. Tu żyje szczegółowa mechanika zgodności: ograniczenie celu, minimalizacja danych, przejrzystość, limity retencji oraz udokumentowana ocena prawnie uzasadnionego interesu. Praktyczny kształt zgodnego wdrożenia przedstawia Fingerprinting urządzeń zgodny z RODO.

Oba akty się nakładają: ePrivacy decyduje, czy potrzebujesz zgody na dostęp do urządzenia, RODO decyduje, czy masz podstawę prawną do przetwarzania tego, co uzyskałeś. Dla przeciwdziałania fraudowi wiarygodną ścieżką jest wyjątek „ściśle niezbędne” z ePrivacy plus prawnie uzasadniony interes z RODO — ale ta ścieżka ma warunki i nie jest automatyczna.

Czy fingerprinting antyfraudowy wymaga zgody?

To zależy od celu, a podział jest ostry: fingerprinting do reklamy, analityki lub śledzenia międzywitrynowego wymaga zgody; fingerprinting ściśle niezbędny do usługi antyfraudowej zażądanej przez użytkownika ma rzeczywistą podstawę, by działać bez takiego opt-in. Mechanizm w obu przypadkach jest identyczny — traktowanie prawne rozchodzi się całkowicie ze względu na dlaczego.

Dla celów reklamowych i analitycznych nie ma poważnego sporu: to dokładnie to, dla czego napisano wymóg zgody w ePrivacy, nie jest to ściśle niezbędne do żadnej usługi, o którą prosił użytkownik, i wymaga uprzedniej świadomej zgody tak samo jak każde ciasteczko śledzące.

Dla przeciwdziałania fraudowi argument za wyjątkiem „ściśle niezbędne” jest realny, ale warunkowy. Trzyma się najmocniej, gdy:

• Fingerprinting jest faktycznie niezbędny do świadczenia usługi zażądanej przez użytkownika — zabezpieczenia jego logowania, ochrony jego płatności, zapobiegania przejęciu jego konta. Bezpieczeństwo jest częścią tego, o co użytkownik prosi, gdy korzysta z usługi.
• Przetwarzanie jest ograniczone do celu bezpieczeństwa i nie przenaczane na marketing, profilowanie ani cokolwiek, czego użytkownik nie zażądał. Ograniczenie celu wykonuje tu realną pracę; w chwili, gdy ten sam fingerprint zasila reklamę, argument o wyjątku się rozpada.
• Zbieranie danych jest zminimalizowane do tego, czego potrzebuje cel bezpieczeństwa, retencja jest ograniczona, a przetwarzanie udokumentowane i przejrzyste (ujawnione w informacji o prywatności, nawet jeśli zgoda nie jest podstawą).

To nie jest luka prawna i nie należy jej tak traktować. To wyjątek związany z celem, który przetrwa tylko tak długo, jak długo cel pozostaje ograniczony. System antyfraudowy, który po cichu dzieli swoje sygnały do grafu reklamowego, nie prowadzi już ściśle niezbędnego przetwarzania na potrzeby bezpieczeństwa i traci wyjątek. Trwałą pozycją jest wdrożenie antyfraudowe, które jest — i pozostaje — dokładnie tym, za co się podaje: first-party, o celu bezpieczeństwa, zminimalizowane i oddzielone od marketingu.

Nic z tego nie stanowi porady prawnej, a dokładne zastosowanie zależy od jurysdykcji, krajowych implementacji ePrivacy, reguł sektorowych i Twojego konkretnego przetwarzania — analiza tutaj to ogólny kształt regulacyjny, a rzeczywiste wdrożenie potrzebuje własnej oceny prawnie uzasadnionego interesu i przeglądu przez radcę prawnego.

Trwała architektura

Architektura, która przetrwa zarówno zmianę techniczną, jak i prawną, to ta, ku której fingerprinting antyfraudowy już się zbiegał: first-party, z przewagą sygnałów po stronie serwera, ograniczona celowo do bezpieczeństwa i niezależna od mechanizmów międzywitrynowych.

Z powyższej mapy wynikają trzy zobowiązania projektowe.

Oprzyj się na sygnałach first-party i po stronie serwera. Zmiany w przeglądarkach najmocniej ograniczają międzywitrynowe sondy po stronie klienta. Sygnały po stronie serwera — fingerprinty stosu sieciowego, charakterystyki TLS, zachowanie połączenia — są obserwowane z Twojej własnej infrastruktury, gdy użytkownik łączy się z Twoją usługą, są z natury first-party i nie podlegają ograniczeniom po stronie klienta, które przeglądarki zaostrzają. System z przewagą tych sygnałów starzeje się lepiej niż zbudowany na sondach po stronie klienta, które mogą zostać obcięte.

Utrzymuj cel ograniczony i widoczny. Opłacalność prawna zależy całkowicie od pozostawania w obrębie celu bezpieczeństwa. To oznacza nieprzenaczanie sygnałów antyfraudowych na marketing, niebudowanie grafu międzywitrynowego, ujawnianie przetwarzania w informacji o prywatności, minimalizowanie zbierania i ograniczanie retencji. To nie jest doczepiony po fakcie narzut zgodności — to warunki, pod którymi całe podejście jest legalne.

Nie uzależniaj kluczowego werdyktu od międzywitrynowego dzielenia sygnałów. Zanonimizowana, zagregowana wiedza między klientami może wzmocnić detekcję, ale podstawowa tożsamość urządzenia powinna opierać się wyłącznie na sygnałach first-party, tak aby system nie spoczywał na mechanizmach międzywitrynowych, które są zarazem technicznie ograniczone i prawnie wymagające zgody.

System fingerprintingu antyfraudowego zbudowany w ten sposób jest naprawdę post-cookie: nie używa ciasteczek, nie potrzebuje ich, nie polega na stanie third-party i nie rozpada się, gdy pojawia się kolejna funkcja przeciwdziałająca śledzeniu — bo od początku nie zajmował się śledzeniem międzywitrynowym.

Tracio jest zbudowane dokładnie na tym kształcie. Tożsamość jest first-party i bez ciasteczek, rozłożona między sygnały sieciowe po stronie serwera i sygnały urządzenia po stronie klienta, ograniczona celowo do decyzji o bezpieczeństwie i fraudzie, i nie zasila grafu reklamowego. Została zaprojektowana tak, by pozostać stabilna mimo zmian prywatności w przeglądarkach, bo nie zależy od mechanizmów międzywitrynowych, w które te zmiany celują. Szczegółową mechanikę zgodności opisuje przewodnik wdrożenia zgodnego z RODO; słownik obejmuje pojęcia leżące u podstaw.

Chcesz zobaczyć, jak first-party, ukierunkowana na bezpieczeństwo tożsamość urządzenia pasuje do Twojej postawy w zakresie prywatności i zgodności?

Rozpocznij bezpłatny okres próbny — 2500 weryfikacji za darmo, bez karty kredytowej. Umów demo, aby przejrzeć architekturę i przetwarzanie danych z naszym zespołem.