Я не могу сказать вам, что законно, а что нет, но я работаю в компании, которая записывает статистику об онлайн-рекламе.
Одна из статистических данных, которую мы собираем, - это уникальные пользователи, мы делаем это на основе комбинации идентификаторов.
Это IP-адрес, пользовательский агент браузера и HTTP-cookie, которые объединяются в строку и хешируются для получения уникального идентификатора.
Теперь это может развалиться для пользователей с динамическими IP-адресами, поэтому файл cookie может быть достаточно подходящим или любая комбинация из перечисленных выше