IAB TCF 2.2 lahti seletatud väljaandjatele ja reklaamijatele

IAB Transparency and Consent Framework (TCF) on tööstusstandard, mis võimaldab veebisaidil koguda isikuandmete kaitse üldmääruse (IKÜM, GDPR) kohase nõusoleku ühe korra ja edastada selle kodeeritud TC Stringina reklaamitehnoloogia teenusepakkujatele, kes reklaame esitavad ja mõõdavad. 2023. aastal välja antud versioon 2.2 karmistas reegleid: isikupärastamise eesmärkide puhul ei saa enam tugineda õigustatud huvile, esimeses kihis tuleb näidata teenusepakkujate arvu ja eesmärkide kirjeldused on lihtsamad.

Mis on IAB TCF?

TCF on raamistik, mida haldab digitaalreklaami Euroopa erialaliit IAB Europe. See standardiseerib, kuidas nõusolekuhaldusplatvorm (CMP) nõusolekut küsib, kuidas ta vastuse salvestab ja kuidas reklaamitehnoloogia teenusepakkujad seda loevad.

Raamistikul on neli ehitusplokki:

• Poliitikad: reeglid, mida osalevad väljaandjad, teenusepakkujad ja CMP-d nõustuvad järgima.
• Eesmärgid ja funktsioonid: fikseeritud, nummerdatud loend tegevustest, mida teenusepakkujad võivad andmetega teha, kirjeldatuna igas TCF-i bänneris ühtemoodi.
• Global Vendor List (GVL): osalevate teenusepakkujate avalik register koos eesmärkidega, mida igaüks kasutab, ja õigusliku alusega, millele ta tugineb.
• Tehnilised spetsifikatsioonid: neid hallatakse koostöös IAB Tech Labiga ning need määratlevad TC Stringi vormingu ja JavaScripti API __tcfapi.

Kes mida TCF-is teeb?

Väljaandjad haldavad veebisaite ja valivad, milliste teenusepakkujatega koostööd teha. Teenusepakkujad on GVL-is registreeritud reklaamitehnoloogia ettevõtted. CMP-d on registreeritud platvormipakkujad, kes kuvavad bännerit ja loovad TC Stringi.

Tüüpiline voog näeb välja selline:

1. Külastaja saabub väljaandja saidile ja CMP kuvab bänneri.
2. Külastaja nõustub, keeldub või kohandab eesmärke ja teenusepakkujaid.
3. CMP kodeerib valikud TC Stringi ja salvestab selle.
4. Lehel olevad skriptid loevad valikuid API __tcfapi kaudu.
5. TC String liigub koos reklaamipäringutega, nii et allavoolu platvormid, näiteks reklaamipinda müüvad ja ostvad pakkumis- ja nõudluspoolsed platvormid (SSP-d ja DSP-d), saavad enne tegutsemist nõusolekut kontrollida.

Reklaamijad puutuvad TCF-iga kokku enamasti kaudselt. Nende reklaamiplatvormid ja mõõtmispartnerid osalevad teenusepakkujatena ning peavad austama TC Stringi iga näitamise puhul, mille nad ostavad või mida nad mõõdavad.

Mis muutus TCF 2.2-s?

TCF 2.2 kaotas õigustatud huvi kui õigusliku aluse eesmärkide 3–6 puhul, mis hõlmavad reklaami ja sisu isikupärastamist, ning nõuab, et bänneri esimene kiht näitaks teenusepakkujate arvu. Õigustatud huvi on IKÜM-i õiguslik alus, mis ei nõua nõusolekut, kuid võimaldab inimestel esitada vastuväiteid.

Põhieesmärgid jagunevad pärast muudatust järgmiselt:

Eesmärk	Mida see hõlmab	TCF 2.2-s lubatud õiguslik alus
1	Teabe salvestamine seadmesse või sellele juurdepääs	Ainult nõusolek
2	Piiratud andmete kasutamine reklaami valimiseks	Nõusolek või õigustatud huvi
3	Profiilide loomine isikupärastatud reklaami jaoks	Ainult nõusolek (õigustatud huvi eemaldatud)
4	Profiilide kasutamine isikupärastatud reklaami valimiseks	Ainult nõusolek (õigustatud huvi eemaldatud)
5	Profiilide loomine sisu isikupärastamiseks	Ainult nõusolek (õigustatud huvi eemaldatud)
6	Profiilide kasutamine isikupärastatud sisu valimiseks	Ainult nõusolek (õigustatud huvi eemaldatud)
7	Reklaami toimivuse mõõtmine	Nõusolek või õigustatud huvi
8	Sisu toimivuse mõõtmine	Nõusolek või õigustatud huvi

Raamistik määratleb ka teisi eesmärke, näiteks auditooriumiuuringud ja tootearendus. Täieliku loendi ja sõnastuse leiad IAB Europe’i kehtivast poliitikast.

Versioon 2.2 kirjutas ka eesmärkide nimed ja kirjeldused lihtsamas keeles ümber, palus teenusepakkujatel avaldada oma andmetöötluse kohta rohkem teavet, näiteks kui kaua nad andmeid säilitavad, ning pööras rohkem tähelepanu sellele, et külastajad saaksid bänneri uuesti avada ja oma valikuid muuta. IAB Europe’i dokumentatsioonis on muudatuste täielik loend.

Praktikas kaotasid bännerid, mis tuginesid profiilianalüüsi puhul õigustatud huvile, suurema osa oma „vaikimisi sees“ lülititest ning teenusepakkujad, kes isikupärastasid reklaame sellel alusel, vajavad nüüd nõusolekut.

Kuidas lugeda TCF-i nõusolekut JavaScriptis?

Kutsu CMP funktsioon __tcfapi välja käsuga addEventListener. Sinu tagasikutsefunktsioon käivitub, kui TC String on laaditud, ja uuesti iga kord, kui külastaja oma valikut muudab.

const VENDOR_ID = 123; // sinu teenusepakkuja ID Global Vendor Listis

window.__tcfapi('addEventListener', 2, (tcData, success) => {
  if (!success) return;

  const ready = tcData.eventStatus === 'tcloaded' ||
                tcData.eventStatus === 'useractioncomplete';
  if (!ready) return;

  const deviceAccess = tcData.purpose.consents[1] === true;
  const vendorConsent = tcData.vendor.consents[VENDOR_ID] === true;

  if (!tcData.gdprApplies || (deviceAccess && vendorConsent)) {
    loadAdScript(); // sinu enda laadija
  }
});

Päris integratsioon kontrollib kõiki eesmärke, mida teenusepakkuja vajab, mitte ainult 1. eesmärki. Kui õigustatud huvi on endiselt lubatud, loeb see ka väärtusi tcData.purpose.legitimateInterests ja tcData.vendor.legitimateInterests ning austab kõiki stringi kodeeritud väljaandja piiranguid.

Mida peavad väljaandjad tegema?

Kasuta registreeritud CMP-d, mis toetab TCF 2.2-d, hoia oma teenusepakkujate loend aus ja muuda keeldumine sama lihtsaks kui nõustumine. Praktiline kontrollnimekiri:

1. Vali registreeritud CMP, mis toetab TCF 2.2-d ja mida hoitakse kehtiva GVL-iga ajakohasena.
2. Vali ainult need teenusepakkujad, kellega koostööd teed, mitte kogu GVL, et esimeses kihis näidatav teenusepakkujate arv oleks täpne ja põhjendatav.
3. Paku esimeses kihis valikut „Keeldu kõigist“ sama silmapaistvalt kui valikut „Nõustu kõigiga“. TCF ei tühista järelevalveasutuste juhiseid küpsisebännerite manipuleerivate disainimustrite kohta.
4. Lisa püsiv link bänneri uuesti avamiseks, et külastajad saaksid nõusolekut igal ajal muuta või tagasi võtta.
5. Piira ka TCF-iväliseid skripte, näiteks analüütika- või sotsiaalmeediapiksleid, oma CMP kategooriapõhiste seadete kaudu.
6. Hoia Google sünkroonis. Kui kasutad Google’i märgendeid, määra Google Consent Mode v2 sama valiku põhjal ja kontrolli Google’i kehtivaid CMP-nõudeid tema Euroopa väljaandjatoodete jaoks.

Kas TCF-i kasutamine muudab sind IKÜM-i nõuetele vastavaks?

Ei. TCF on tehniline ja poliitikastandard, mitte sertifikaat. IKÜM nõuab endiselt nõusolekut, mis on vabatahtlik, konkreetne, teadlik ja ühemõtteline (artikli 4 punkt 11), ning sa pead suutma seda tõendada (artikli 7 lõige 1).

Raamistik ise on Euroopas pälvinud järelevalveasutuste ja kohtute tähelepanu, sealhulgas küsimuses, kas TC String on isikuandmed. ELi kõrgeim kohus on leidnud, et see võib seda olla, kui seda saab siduda identifikaatoriga, näiteks IP-aadressiga.

Käsitle TC Stringe isikuandmetena, säilita oma dokumentatsiooniks nõusoleku tõendid ja hinda oma bännerit kehtiva nõusoleku tingimuste alusel, selle asemel et eeldada, et TCF-is osalemine need tingimused katab.

Kokkuvõte

TCF 2.2 on oluline, kui müüd või ostad programmilist reklaami, mis puudutab Euroopa külastajaid. Väljaandjad vajavad registreeritud CMP-d, teenusepakkujate loendit, mida nad suudavad põhjendada, ja bännerit, mis kohtleb keeldumist õiglaselt. Reklaamijad vajavad partnereid, kes loevad ja austavad TC Stringi. Kumbki rühm ei tohiks pidada raamistikku iseenesest nõuetele vastavuse tagajaks.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.