Enhetsfingeravtryck i en värld efter cookies: den regulatoriska och tekniska kartan för 2026

Uttrycket ”en värld efter cookies” pressar samman två mycket olika berättelser till en, och sammanblandningen orsakar det mesta av förvirringen kring huruvida enhetsfingeravtryck fortfarande är gångbart 2026. Den ena berättelsen är teknisk: webbläsarna begränsade och tog sedan bort tredjepartscookies och byggde ersättningsmekanismer. Den andra är juridisk: tillsynsmyndigheterna klargjorde att fingeravtryck styrs av samma regler som cookies. Båda berättelserna är verkliga, båda spelar roll, och båda misstolkas ofta som att ”fingeravtryck är dött” när det de faktiskt fastslår är långt mer specifikt.

Den här texten kartlägger båda — vad som förändrades i webbläsarna, vad lagen säger och hur de två samverkar — med en genomgående röd tråd: det är syftet med identifieringen, inte mekanismen, som avgör både teknisk gångbarhet och juridisk ställning. Målgruppen är intressenter inom integritet, juridik och teknik som ska avgöra om och hur enhetsintelligens ska införas.

Vad ”världen efter cookies” faktiskt tog bort

Skiftet efter cookies tog bort tredjeparts-cookies — mekanismen för spårning mellan webbplatser — samtidigt som förstaparts-tillstånd och förstaparts enhetsidentifiering lämnades intakta. Den distinktionen är det enskilt viktigaste faktumet för att bedöma fingeravtryck, och det är det som oftast går förlorat.

En tredjepartscookie sätts av en annan domän än den i adressfältet, och den låter denna tredje part känna igen en användare på alla de orelaterade webbplatser där dess kod körs. Detta är motorn i beteendebaserad annonsering mellan webbplatser, och det är detta webbläsarna monterade ned. En förstapartscookie — satt av den webbplats du faktiskt besöker, läsbar endast av den webbplatsen — var aldrig målet och fungerar fortfarande.

Webbläsarna rörde sig på olika tidslinjer med olika mekanismer, men riktningen var enhetlig: döda tredjepartstillstånd mellan webbplatser, bevara förstapartsrelationen.

Safari (Intelligent Tracking Prevention). Apples ITP har blockerat tredjepartscookies som standard sedan 2020 och successivt stramat åt livslängden för förstapartslagring av skriptsatt tillstånd för att begränsa kringgåenden av spårning. ITP riktar sig specifikt mot användningsfallet spårning mellan webbplatser.

Firefox (Enhanced Tracking Protection / Total Cookie Protection). Firefox blockerar spårande tredjepartscookies som standard och partitionerar lagringen per webbplats, så att en tredje part får en separat cookieburk på varje webbplats i stället för en delad identitet över alla. Återigen — sammankoppling mellan webbplatser är målet.

Chrome (Privacy Sandbox). Chromes väg var längre och mer omtvistad. I stället för att bara blockera tredjepartscookies byggde Google Privacy Sandbox — en uppsättning ändamålsavgränsade API:er (Topics för intressesignaler, Protected Audience för remarketing, Attribution Reporting för konverteringsmätning) avsedda att leverera annonsutfall utan identifierare mellan webbplatser. Utrullningen, tidslinjen för utfasning och det exakta läget för det användarvända valet skiftade upprepade gånger under 2024–2026, men den arkitektoniska avsikten höll: ersätt identifieraren mellan webbplatser med aggregerade, integritetsavgränsade mekanismer. Påverkan på just fingeravtryck behandlas i Privacy Sandboxs påverkan.

Var och en av dessa riktar sig mot samma sak: en tredje part som känner igen en användare på webbplatser den inte äger. Ingen av dem riktar sig mot — eller skulle kunna rikta sig mot, utan att bryta webben — en webbplats som känner igen sina egna besökare på sina egna sidor. Det är i den luckan bedrägerifingeravtryck lever.

Förstaparts bedrägerifingeravtryck är ett annat användningsfall

Fingeravtryck för bedrägeribekämpning är till sin natur förstaparts och begränsat till en enda webbplats: en plattform identifierar sina egna besökare på sina egna sidor för att fatta säkerhetsbeslut. Detta är kategoriskt annorlunda än användningsfallet annonsering mellan webbplatser som webbläsarna monterade ned, och webbläsarmekanismerna begränsar det inte — eftersom de inte kan, utan att bryta väsentlig funktionalitet som varje webbplats är beroende av.

Tänk på vad en webbläsare skulle behöva bryta för att stoppa förstaparts enhetsidentifiering. Den skulle behöva hindra en webbplats från att läsa egenskaperna hos webbläsaren som renderar dess egna sidor — skärmstorlek, språk, den timing och det renderingsbeteende en webbplats behöver för att fungera, den nätverksstack den redan kommunicerar med. Detta är inte spårningshakar; de är den grundläggande yta en webbapplikation körs på. Att begränsa dem bryter legitim funktionalitet, så webbläsarna begränsar kombinationen mellan webbplatser och missbruket av dessa signaler, inte deras förstapartsobservation.

Det är därför distinktionen mellan enhet och cookie spelar roll. Ett bedrägerisystem som identifierar en återkommande enhet på en enda plattform rekonstruerar inte en tredjepartscookie — det gör något tredjepartscookies aldrig gjorde särskilt bra ändå: producerar en stabil identitet som är motståndskraftig mot rensning, för webbplatsens eget säkerhetssyfte. Och gör det helt utan cookies, vilket kringgår hela frågan om utfasning av cookies.

Domen om teknisk gångbarhet är därför rättfram: webbläsarförändringarna efter cookies minskar fingeravtryck mellan webbplatser (svårare, mer begränsat) och lämnar förstaparts bedrägerifingeravtryck i huvudsak intakt. Ett bedrägerisystem som var beroende av signaldelning mellan webbplatser skulle vara i trubbel; ett som är byggt kring förstaparts enhetsidentitet är det inte.

Vad GDPR och ePrivacy faktiskt säger om fingeravtryck

Europeisk lag behandlar enhetsfingeravtryck på samma sätt som cookies: den reglerar utifrån syfte och utifrån åtkomst till användarens enhet, inte utifrån den specifika tekniken. Fingeravtryck slipper inte reglerna genom att inte vara en cookie, och det faller inte heller automatiskt under dem — analysen beror på varför du gör det.

Två instrument gäller, och de verkar i följd.

ePrivacy-direktivet (artikel 5.3) reglerar handlingen att lagra information i, eller få åtkomst till information som redan lagrats i, en användares terminalutrustning. Detta är ”cookielagen”, men dess text är teknikneutral — den omfattar ”information” och ”åtkomst”, vilket tillsynsmyndigheterna (och vägledningen från Europeiska dataskyddsstyrelsen) genomgående har läst som att den inkluderar fingeravtryckstekniker som får åtkomst till enhetsegenskaper. Så att läsa signaler från en enhet ligger inom ePrivacys tillämpningsområde oavsett om en cookie är inblandad eller inte.

Avgörande är att artikel 5.3 innehåller undantag. Samtycke krävs inte när åtkomsten är strikt nödvändig antingen för att överföra en kommunikation eller för att tillhandahålla en tjänst som uttryckligen begärts av användaren. Säkerhet och bedrägeribekämpning som den tjänst användaren begärt genuint är beroende av har en verklig grund för undantaget om strikt nödvändighet — en punkt som återkommer nedan.

GDPR reglerar behandlingen av alla personuppgifter som blir resultatet. Ett enhetsfingeravtryck som kan peka ut en individ är personuppgifter, så dess behandling behöver en rättslig grund enligt artikel 6. De relevanta grunderna för bedrägeriarbete är berättigat intresse (artikel 6.1 f) — och GDPR:s egna skäl namnger uttryckligen bedrägeribekämpning som ett berättigat intresse — och, där det är tillämpligt, rättslig förpliktelse. Det är här den detaljerade efterlevnadsmekaniken finns: ändamålsbegränsning, uppgiftsminimering, transparens, lagringsbegränsningar och en dokumenterad bedömning av berättigat intresse. Den praktiska formen på en regelefterlevande implementering beskrivs i GDPR-förenligt enhetsfingeravtryck.

De två instrumenten staplas: ePrivacy avgör om du behöver samtycke för att få åtkomst till enheten, GDPR avgör om du har en rättslig grund för att behandla det du fått fram. För bedrägeribekämpning är den rimliga vägen ePrivacys undantag för strikt nödvändighet plus GDPR:s berättigade intresse — men den vägen har villkor, och den är inte automatisk.

Behöver bedrägerifingeravtryck samtycke?

Det beror på syftet, och skiljelinjen är skarp: fingeravtryck för annonsering, analys eller spårning mellan webbplatser behöver samtycke; fingeravtryck som är strikt nödvändigt för en bedrägeribekämpningstjänst som användaren begärt har en genuin grund att verka utan samma opt-in. Mekanismen är identisk i båda fallen — den juridiska behandlingen skiljer sig helt beroende på varför.

För syften som annonsering och analys finns det inget seriöst argument: detta är precis vad ePrivacys samtyckeskrav skrevs för, det är inte strikt nödvändigt för någon tjänst användaren bett om, och det behöver föregående informerat samtycke precis som vilken spårningscookie som helst skulle behöva.

För bedrägeribekämpning är fallet för undantaget om strikt nödvändighet verkligt men villkorat. Det håller starkast när:

• Fingeravtrycket genuint är nödvändigt för att leverera en tjänst användaren begärt — att säkra deras inloggning, skydda deras betalning, förhindra kapning av deras konto. Säkerheten är en del av det användaren ber om när de använder tjänsten.
• Behandlingen är begränsad till säkerhetssyftet och inte återanvänds för marknadsföring, profilering eller något användaren inte begärt. Ändamålsbegränsningen gör verkligt arbete här; i det ögonblick samma fingeravtryck matar annonsering kollapsar argumentet om undantag.
• Datainsamlingen är minimerad till vad säkerhetssyftet behöver, lagringen är avgränsad, och behandlingen är dokumenterad och transparent (redovisad i integritetsmeddelandet även om samtycke inte är grunden).

Detta är inget kryphål och bör inte behandlas som ett. Det är ett ändamålsbundet undantag som överlever bara så länge syftet förblir avgränsat. Ett bedrägerisystem som i det tysta delar sina signaler in i en annonsgraf ägnar sig inte längre åt strikt nödvändig säkerhetsbehandling, och det förlorar undantaget. Den hållbara positionen är en bedrägeriimplementering som är, och förblir, precis vad den utger sig för att vara: förstaparts, säkerhetssyftad, minimerad och separerad från marknadsföring.

Inget av detta är juridisk rådgivning, och den exakta tillämpningen beror på jurisdiktion, nationella genomföranden av ePrivacy, sektorsregler och just din specifika behandling — analysen här är den generella regulatoriska formen, och en verklig implementering behöver sin egen bedömning av berättigat intresse och juridisk granskning.

Den hållbara arkitekturen

Arkitekturen som överlever både det tekniska och det juridiska skiftet är den som bedrägerifokuserat fingeravtryck redan konvergerade mot: förstaparts, viktad mot serversidiga signaler, ändamålsbegränsad till säkerhet och oberoende av mekanismer mellan webbplatser.

Tre designåtaganden följer av kartan ovan.

Luta dig mot förstaparts och serversidiga signaler. Webbläsarförändringarna begränsar klientsidiga sonder mellan webbplatser hårdast. Serversidiga signaler — fingeravtryck av nätverksstacken, TLS-egenskaper, anslutningsbeteende — observeras från din egen infrastruktur när användaren ansluter till din tjänst, är i sig förstaparts och omfattas inte av de klientsidiga begränsningar webbläsarna stramar åt. Ett system som är viktat mot dessa åldras bättre än ett byggt på klientsidiga sonder som kan komma att beskäras.

Håll syftet avgränsat och synligt. Den juridiska gångbarheten beror helt på att hålla sig inom säkerhetssyftet. Det innebär att inte återanvända bedrägerisignaler för marknadsföring, att inte bygga en graf mellan webbplatser, att redovisa behandlingen i integritetsmeddelandet, att minimera insamlingen och att avgränsa lagringen. Detta är inte efterlevnadskostnader som skruvas på i efterhand — de är de villkor under vilka hela ansatsen är laglig.

Var inte beroende av signaldelning mellan webbplatser för det centrala utslaget. Anonymiserad, aggregerad intelligens mellan kunder kan stärka detektionen, men den primära enhetsidentiteten bör stå på förstapartssignaler enbart, så att systemet inte vilar på de mekanismer mellan webbplatser som både är tekniskt begränsade och juridiskt samtyckeskrävande.

Ett bedrägerifingeravtryckssystem byggt på detta sätt är genuint efter cookies: det använder inte cookies, behöver dem inte, förlitar sig inte på tredjepartstillstånd och faller inte samman när nästa funktion för spårningsskydd släpps — eftersom det aldrig ägnade sig åt spårning mellan webbplatser från början.

Tracio är byggt på exakt denna form. Identiteten är förstaparts och cookielös, viktad över serversidiga nätverkssignaler och klientsidiga enhetssignaler, ändamålsbegränsad till säkerhets- och bedrägeribeslut, och den matar inte en annonsgraf. Den är utformad för att förbli stabil genom webbläsarnas integritetsförändringar eftersom den inte är beroende av de mekanismer mellan webbplatser som dessa förändringar riktar sig mot. För den detaljerade efterlevnadsmekaniken, se GDPR-implementeringsguiden; ordlistan täcker de underliggande begreppen.

Vill du se hur en förstaparts, säkerhetssyftad enhetsidentitet passar din integritets- och efterlevnadshållning?

Starta din kostnadsfria provperiod — 2 500 verifieringar gratis, inget kreditkort krävs. Boka en demo för att gå igenom arkitekturen och datahanteringen med vårt team.