# Browser fingerprinting: защита на данните без бисквитка

> Browser fingerprinting обяснен: как работи, защо § 25 TDDDG и § 165 TKG могат да се прилагат и без бисквитка и къде е границата със сървъра.

Quelle: https://whovisit.app/bg/blog/brauzar-fingerprinting-zashtita-na-danni
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

„Не използваме бисквитки“ звучи като безплатен пропуск. Той важи само ако и иначе нищо не се съхранява на устройството или не се чете от него. Browser fingerprinting е най-известната техника, която се справя без бисквитка и въпреки това прави посетителите разпознаваеми. Тази статия обяснява как работи, как правото я класифицира и с какво се различава от справка на сървъра.

## Какво е fingerprinting

При fingerprinting скрипт комбинира много признаци на едно устройство в образец, който рядко се среща два пъти. Типични съставни части са версията на браузъра, операционната система, разделителната способност на екрана, часовата зона, езиковите настройки, инсталираните шрифтове и особеностите на графичния изход. Образецът действа като документ за самоличност, който посетителят никога не е издавал. Не може просто да се изтрие като бисквитка, защото не е съхранен никъде. Създава се наново при всяко посещение от същите признаци.

Трябва да различавате два вида:

- **Активен.** Скрипт в браузъра пита целенасочено за свойства, например през програмни интерфейси за екран, шрифтове или графика.
- **Пасивен.** Сървърът оценява само онова, което браузърът така или иначе изпраща при всяко отваряне на страница, например типа на браузъра в заглавната част на заявката и IP адреса.

## Защо § 25 TDDDG може да се прилага и без бисквитка

Германското правило важи не само за съхраняването, но и за „достъпа до информация, която вече е съхранена в крайното оборудване“. Текста ще намерите на [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html). Който чрез скрипт чете признаци на устройството, достъпва такава информация. Това е причината правилото да е обяснено подробно в [§ 25 TDDDG: бисквитки и проследяване в Германия](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

Конференцията за защита на данните е изработила по това в своето [ръководство за телемедии](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html) една линия. Според нея достъпът предполага целенасочено предаване на информацията от браузъра, което не е предизвикано единствено от крайния ползвател. Активният fingerprinting следователно попада под задължението за съгласие, чисто пасивното оценяване на онова, което така или иначе се изпраща, според това четене не. Това е становището на надзорните органи, въпросът не получава навсякъде еднакъв отговор в правната наука.

На европейско ниво линията стига по-далеч. Европейският комитет по защита на данните е посочил в своите [Насоки 2/2023](https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) за приложното поле на чл. 5, пар. 3 от директивата за ePrivacy, че fingerprinting попада в нейното приложно поле. И събирането на информация чрез заглавни полета на заявката или механизми за кеширане може да спада към него, когато се използва за fingerprinting или проследяване (т. 43).

## Австрия и Швейцария

**Австрия.** § 165 Abs. 3 TKG 2021 изисква съгласие за установяването на данни, с изключения за технически необходимото. Органът по защита на данните чете разпоредбата широко. Как е построена, обяснява [Бисквитки в Австрия: § 165 TKG 2021 обяснен](https://whovisit.app/blog/cookies-oesterreich-tkg-165).

**Швейцария.** Федералният комисар по защита на данните и публичността посочва в своето ръководство за бисквитките изрично browser fingerprinting като пример за „сходни технологии“, при които нищо не се съхранява на устройството. За тях важат същите изисквания за информиране и възможност за отказ както за бисквитките. Повече за това в [Проследяване на уебсайтове в Швейцария: revDSG и FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## А GDPR?

Допълнително важи GDPR, щом от отпечатъка може да се определи лице. При образец, който трябва да разпознава посетителите при няколко посещения, това обикновено е така. Отпечатъкът тогава е онлайн идентификатор по смисъла на чл. 4, т. 1 от GDPR. Който го използва за проследяване или рекламни цели, се нуждае от правно основание, на практика обикновено съгласие. Кога вместо това издържа законният интерес, показва [Законен интерес според GDPR: 3-те стъпки на проверката](https://whovisit.app/blog/berechtigtes-interesse-dsgvo).

## Разграничение: справката за притежателя на мрежата на сървъра

Разпознаването на фирми през притежателя на мрежата на IP адреса работи по друг начин. То не чете свойства на устройството и не създава идентификатор, който по-късно да намери посетителя отново. Сървърът търси в публичния мрежов регистър на кого принадлежи мрежата. След това IP адресът се отхвърля. Как това протича технически, описва [Как работи разпознаването на фирми? Технологията в 6 стъпки](https://whovisit.app/blog/firmenerkennung-website-technik).

Дали с това със сигурност е извън § 25 TDDDG, въпреки това не е очевидно. Европейският комитет по защита на данните отбелязва в посочените насоки (т. 54 и 55), че чл. 5, пар. 3 може да се прилага и при проследяване единствено по IP адреса, доколкото той идва от крайното устройство на ползвателя. Има се предвид проследяването на навигацията. Че едно приложение засяга члена, според комитета не означава, че винаги е нужно съгласие, изключенията трябва да се проверяват поотделно. От предпазливост някои доставчици, също и Whovisit, зареждат скрипта едва след съгласие за категория „Статистика“.

## Контролен списък за Вашия уебсайт

1. Изброете кои скриптове четат свойства на устройството. Това включва инструменти за анализ, защита от измами и реклама.
2. Попитайте всеки доставчик дали използва fingerprinting и с каква цел.
3. Проверете дали целта е „абсолютно необходима“ по смисъла на изключението. Предотвратяването на измами понякога се аргументира така, но се тълкува тясно и трябва да се изясни с Вашето консултиране по защита на данните.
4. Зареждайте всичко, което не е необходимо, едва след съгласие.
5. Опишете техниката разбираемо в декларацията за защита на данните. „Не използваме бисквитки“ не стига за това.

## Често задавани въпроси

**Забранен ли е fingerprinting?** Не. По правило обаче е нужно съгласие, когато става дума за проследяване или реклама. За предотвратяване на измами и сигурност понякога се застъпва изключение, което се тълкува тясно.

**Достатъчни ли са „Do Not Track“ или блокиращ реклами софтуер като защита за посетителите?** Това защитава отделния човек, но не замества Вашите задължения. Отговорен остава операторът на уебсайта.

**Попада ли оценката на User-Agent под § 25?** Според линията на Конференцията за защита на данните не, когато сървърът използва само онова, което браузърът така или иначе изпраща. Ако стойността се сглоби за fingerprinting или проследяване, оценката може да се различава, както показват насоките на Европейския комитет по защита на данните.