IAB TCF 2.2 explicado para editores y anunciantes

El IAB Transparency and Consent Framework (TCF) es un estándar del sector que permite a un sitio web recoger una sola vez el consentimiento conforme al RGPD y transmitirlo, en forma de TC String codificado, a los proveedores de tecnología publicitaria que sirven y miden los anuncios. La versión 2.2, publicada en 2023, endureció las reglas: nada de interés legítimo para las finalidades de personalización, número de proveedores en la primera capa y descripciones de finalidades más claras.

¿Qué es el IAB TCF?

El TCF es un framework gestionado por IAB Europe, la asociación europea del sector de la publicidad digital. Estandariza cómo una plataforma de gestión del consentimiento (CMP) pide el consentimiento, cómo registra la respuesta y cómo la leen los proveedores de tecnología publicitaria.

Se compone de cuatro elementos:

• Políticas: las reglas que los editores, proveedores y CMP participantes se comprometen a seguir.
• Finalidades y funciones: una lista fija y numerada de lo que los proveedores pueden hacer con los datos, descrita de la misma forma en todos los banners del TCF.
• Global Vendor List (GVL): el registro público de proveedores participantes, con las finalidades que usa cada uno y la base jurídica que invoca.
• Especificaciones técnicas: mantenidas junto con IAB Tech Lab, definen el formato del TC String y la API de JavaScript __tcfapi.

¿Quién hace qué en el TCF?

Los editores gestionan los sitios web y eligen con qué proveedores trabajan. Los proveedores son empresas de tecnología publicitaria registradas en la GVL. Las CMP son proveedores registrados que muestran el banner y generan el TC String.

Un flujo típico es el siguiente:

1. Un visitante llega al sitio del editor y la CMP muestra el banner.
2. El visitante acepta, rechaza o personaliza las finalidades y los proveedores.
3. La CMP codifica las decisiones en un TC String y lo guarda.
4. Los scripts de la página leen las decisiones a través de la API __tcfapi.
5. El TC String viaja con las solicitudes de anuncios, de modo que las plataformas posteriores, como las plataformas del lado de la oferta y de la demanda (SSP y DSP) que venden y compran espacio publicitario, pueden comprobar el consentimiento antes de actuar.

Los anunciantes se relacionan con el TCF sobre todo de forma indirecta. Sus plataformas publicitarias y sus socios de medición participan como proveedores y deben respetar el TC String en cada impresión que compran o miden.

¿Qué cambió en TCF 2.2?

TCF 2.2 eliminó el interés legítimo como base jurídica para las finalidades 3 a 6, que abarcan la personalización de anuncios y contenidos, y exige que la primera capa del banner muestre el número de proveedores. El interés legítimo es una base jurídica del RGPD que no requiere consentimiento, pero permite a las personas oponerse.

Así quedan las finalidades principales tras el cambio:

Finalidad	Qué abarca	Base jurídica permitida en TCF 2.2
1	Almacenar información en un dispositivo o acceder a ella	Solo consentimiento
2	Usar datos limitados para seleccionar publicidad	Consentimiento o interés legítimo
3	Crear perfiles para publicidad personalizada	Solo consentimiento (se elimina el interés legítimo)
4	Usar perfiles para seleccionar publicidad personalizada	Solo consentimiento (se elimina el interés legítimo)
5	Crear perfiles para personalizar contenidos	Solo consentimiento (se elimina el interés legítimo)
6	Usar perfiles para seleccionar contenidos personalizados	Solo consentimiento (se elimina el interés legítimo)
7	Medir el rendimiento de la publicidad	Consentimiento o interés legítimo
8	Medir el rendimiento de los contenidos	Consentimiento o interés legítimo

El framework define otras finalidades, como los estudios de audiencia y el desarrollo de productos. Consulta la política vigente de IAB Europe para ver la lista completa y su redacción.

La versión 2.2 también reescribió los nombres y las descripciones de las finalidades en un lenguaje más claro, pidió a los proveedores que dieran más información sobre su tratamiento, como cuánto tiempo conservan los datos, y puso más énfasis en permitir que los visitantes vuelvan a abrir el banner y cambien sus decisiones. La documentación de IAB Europe recoge la lista completa de cambios.

En la práctica, los banners que se apoyaban en el interés legítimo para la elaboración de perfiles perdieron la mayoría de sus interruptores “activados por defecto”, y los proveedores que personalizaban anuncios con esa base ahora necesitan consentimiento.

¿Cómo leo el consentimiento del TCF en JavaScript?

Llama a la función __tcfapi de la CMP con el comando addEventListener. Tu callback se ejecuta cuando se carga el TC String y de nuevo cada vez que el visitante cambia su elección.

const VENDOR_ID = 123; // tu ID de proveedor en la Global Vendor List

window.__tcfapi('addEventListener', 2, (tcData, success) => {
  if (!success) return;

  const ready = tcData.eventStatus === 'tcloaded' ||
                tcData.eventStatus === 'useractioncomplete';
  if (!ready) return;

  const deviceAccess = tcData.purpose.consents[1] === true;
  const vendorConsent = tcData.vendor.consents[VENDOR_ID] === true;

  if (!tcData.gdprApplies || (deviceAccess && vendorConsent)) {
    loadAdScript(); // tu propio cargador
  }
});

Una integración real comprueba todas las finalidades que necesita el proveedor, no solo la finalidad 1. Allí donde el interés legítimo sigue estando permitido, también lee tcData.purpose.legitimateInterests y tcData.vendor.legitimateInterests, y respeta cualquier restricción del editor codificada en la cadena.

¿Qué tienen que hacer los editores?

Usa una CMP registrada compatible con TCF 2.2, mantén una lista de proveedores honesta y haz que rechazar sea tan fácil como aceptar. Una lista de comprobación práctica:

1. Elige una CMP registrada que sea compatible con TCF 2.2 y se mantenga al día con la GVL vigente.
2. Selecciona solo los proveedores con los que trabajas, no toda la GVL, para que el número de proveedores de tu primera capa sea exacto y defendible.
3. Ofrece “Rechazar todo” en la primera capa con la misma visibilidad que “Aceptar todo”. El TCF no prevalece sobre las directrices de los reguladores sobre patrones oscuros en los banners de cookies.
4. Añade un enlace permanente para volver a abrir el banner, de modo que los visitantes puedan cambiar o retirar su consentimiento en cualquier momento.
5. Bloquea también los scripts ajenos al TCF, como la analítica o los píxeles sociales, mediante los controles por categorías de tu CMP.
6. Mantén Google sincronizado. Si usas etiquetas de Google, define Google Consent Mode v2 a partir de la misma elección y revisa los requisitos vigentes de Google para las CMP en sus productos para editores en Europa.

¿Usar el TCF te hace cumplir el RGPD?

No. El TCF es un estándar técnico y de políticas, no una certificación. El RGPD sigue exigiendo un consentimiento libre, específico, informado e inequívoco (artículo 4, punto 11), y debes poder demostrarlo (artículo 7, apartado 1).

El propio framework ha sido objeto de escrutinio regulatorio y judicial en Europa, entre otras cosas sobre si un TC String es un dato personal. El tribunal supremo de la UE ha concluido que puede serlo cuando se puede vincular a un identificador como una dirección IP.

Trata los TC Strings como datos personales, conserva la prueba del consentimiento en tus registros y revisa tu banner con respecto a las condiciones del consentimiento válido en lugar de dar por hecho que participar en el TCF las cubre.

En resumen

TCF 2.2 importa si vendes o compras publicidad programática que llega a visitantes europeos. Los editores necesitan una CMP registrada, una lista de proveedores que puedan justificar y un banner que trate el rechazo de forma justa. Los anunciantes necesitan socios que lean y respeten el TC String. Ninguno de los dos grupos debería confundir el framework con el cumplimiento por sí mismo.

Este artículo ofrece información general y no constituye asesoramiento jurídico. Para tomar decisiones sobre tu situación concreta, consulta a un profesional cualificado en privacidad.