IAB TCF 2.2 selitettynä julkaisijoille ja mainostajille

IAB Transparency and Consent Framework (TCF) on alan standardi, jonka avulla verkkosivusto voi kerätä tietosuoja-asetuksen (GDPR) mukaisen suostumuksen kerran ja välittää sen koodattuna TC Stringinä ad tech -toimittajille, jotka näyttävät ja mittaavat mainoksia. Vuonna 2023 julkaistu versio 2.2 tiukensi sääntöjä: personointitarkoituksiin ei enää oikeutettua etua, toimittajien määrä näkyviin ensimmäiselle tasolle ja selkokielisemmät käyttötarkoitusten kuvaukset.

Mikä IAB TCF on?

TCF on IAB Europen eli digitaalisen mainonnan eurooppalaisen toimialajärjestön ylläpitämä kehys. Se standardoi, miten suostumuksenhallinta-alusta (CMP) pyytää suostumusta, miten se tallentaa vastauksen ja miten ad tech -toimittajat lukevat sen.

Kehyksellä on neljä rakennuspalikkaa:

• Käytännöt: säännöt, joita osallistuvat julkaisijat, toimittajat ja CMP:t sitoutuvat noudattamaan.
• Käyttötarkoitukset ja ominaisuudet: kiinteä, numeroitu luettelo asioista, joita toimittajat voivat tehdä tiedoilla, kuvattuna samalla tavalla jokaisessa TCF-bannerissa.
• Global Vendor List (GVL): osallistuvien toimittajien julkinen rekisteri, josta näkyvät kunkin toimittajan käyttämät käyttötarkoitukset ja sen vetoama oikeusperuste.
• Tekniset määrittelyt: IAB Tech Labin kanssa ylläpidetyt määrittelyt, jotka määrittävät TC String -muodon ja __tcfapi-JavaScript-rajapinnan.

Kuka tekee mitäkin TCF:ssä?

Julkaisijat ylläpitävät verkkosivustoja ja valitsevat, minkä toimittajien kanssa ne työskentelevät. Toimittajat ovat GVL:ään rekisteröityneitä ad tech -yrityksiä. CMP:t ovat rekisteröityjä palveluntarjoajia, jotka näyttävät bannerin ja luovat TC Stringin.

Tyypillinen kulku näyttää tältä:

1. Kävijä saapuu julkaisijan sivustolle, ja CMP näyttää bannerin.
2. Kävijä hyväksyy, hylkää tai mukauttaa käyttötarkoituksia ja toimittajia.
3. CMP koodaa valinnat TC Stringiin ja tallentaa sen.
4. Sivun skriptit lukevat valinnat __tcfapi-rajapinnan kautta.
5. TC String kulkee mainospyyntöjen mukana, joten myöhemmän vaiheen alustat, kuten mainostilaa myyvät ja ostavat myyntipuolen ja ostopuolen alustat (SSP:t ja DSP:t), voivat tarkistaa suostumuksen ennen toimintaa.

Mainostajat kohtaavat TCF:n enimmäkseen välillisesti. Niiden mainosalustat ja mittauskumppanit osallistuvat kehykseen toimittajina, ja niiden on kunnioitettava TC Stringiä jokaisessa ostamassaan tai mittaamassaan näyttökerrassa.

Mikä muuttui TCF 2.2:ssa?

TCF 2.2 poisti oikeutetun edun oikeusperusteena käyttötarkoituksilta 3–6, jotka kattavat mainosten ja sisällön personoinnin, ja edellyttää, että bannerin ensimmäisellä tasolla näytetään toimittajien määrä. Oikeutettu etu on tietosuoja-asetuksen mukainen oikeusperuste, joka ei edellytä suostumusta, mutta antaa ihmisille oikeuden vastustaa käsittelyä.

Näin keskeiset käyttötarkoitukset asettuvat muutoksen jälkeen:

Käyttötarkoitus	Mitä se kattaa	TCF 2.2:ssa sallittu oikeusperuste
1	Tietojen tallentaminen laitteelle tai niihin pääsy	Vain suostumus
2	Rajallisten tietojen käyttäminen mainonnan valintaan	Suostumus tai oikeutettu etu
3	Profiilien luominen personoitua mainontaa varten	Vain suostumus (oikeutettu etu poistettu)
4	Profiilien käyttäminen personoidun mainonnan valintaan	Vain suostumus (oikeutettu etu poistettu)
5	Profiilien luominen sisällön personointia varten	Vain suostumus (oikeutettu etu poistettu)
6	Profiilien käyttäminen personoidun sisällön valintaan	Vain suostumus (oikeutettu etu poistettu)
7	Mainonnan tehokkuuden mittaaminen	Suostumus tai oikeutettu etu
8	Sisällön tehokkuuden mittaaminen	Suostumus tai oikeutettu etu

Kehys määrittelee lisää käyttötarkoituksia, kuten yleisötutkimuksen ja tuotekehityksen. Tarkista koko luettelo ja sanamuodot IAB Europen voimassa olevista käytännöistä.

Versio 2.2 myös kirjoitti käyttötarkoitusten nimet ja kuvaukset uudelleen selkeämmällä kielellä, pyysi toimittajia kertomaan käsittelystään enemmän, esimerkiksi kuinka kauan ne säilyttävät tietoja, ja painotti aiempaa enemmän sitä, että kävijät voivat avata bannerin uudelleen ja muuttaa valintojaan. IAB Europen dokumentaatiossa luetellaan kaikki muutokset.

Käytännössä bannerit, jotka nojasivat profiloinnissa oikeutettuun etuun, menettivät suurimman osan ”oletuksena päällä” -valitsimistaan, ja toimittajat, jotka personoivat mainoksia tällä perusteella, tarvitsevat nyt suostumuksen.

Miten TCF-suostumus luetaan JavaScriptillä?

Kutsu CMP:n __tcfapi-funktiota addEventListener-komennolla. Takaisinkutsufunktiosi suoritetaan, kun TC String on ladattu, ja uudelleen aina, kun kävijä muuttaa valintaansa.

const VENDOR_ID = 123; // toimittajatunnuksesi Global Vendor Listissä

window.__tcfapi('addEventListener', 2, (tcData, success) => {
  if (!success) return;

  const ready = tcData.eventStatus === 'tcloaded' ||
                tcData.eventStatus === 'useractioncomplete';
  if (!ready) return;

  const deviceAccess = tcData.purpose.consents[1] === true;
  const vendorConsent = tcData.vendor.consents[VENDOR_ID] === true;

  if (!tcData.gdprApplies || (deviceAccess && vendorConsent)) {
    loadAdScript(); // oma latausfunktiosi
  }
});

Todellinen integraatio tarkistaa jokaisen toimittajan tarvitseman käyttötarkoituksen, ei vain käyttötarkoitusta 1. Kun oikeutettu etu on yhä sallittu, se lukee myös tcData.purpose.legitimateInterests- ja tcData.vendor.legitimateInterests-arvot ja noudattaa kaikkia merkkijonoon koodattuja julkaisijan rajoituksia.

Mitä julkaisijoiden on tehtävä?

Käytä rekisteröityä CMP:tä, joka tukee TCF 2.2:ta, pidä toimittajaluettelosi totuudenmukaisena ja tee kieltäytymisestä yhtä helppoa kuin hyväksymisestä. Käytännön tarkistuslista:

1. Valitse rekisteröity CMP, joka tukee TCF 2.2:ta ja pysyy ajan tasalla voimassa olevan GVL:n kanssa.
2. Valitse vain ne toimittajat, joiden kanssa työskentelet, älä koko GVL:ää, jotta ensimmäisen tason toimittajamäärä on paikkansapitävä ja perusteltavissa.
3. Tarjoa ensimmäisellä tasolla ”Hylkää kaikki” yhtä näkyvästi kuin ”Hyväksy kaikki”. TCF ei ohita valvontaviranomaisten ohjeistusta evästebannerien pimeistä malleista.
4. Lisää pysyvä linkki bannerin uudelleen avaamiseen, jotta kävijät voivat muuttaa tai peruuttaa suostumuksensa milloin tahansa.
5. Pidättele myös TCF:n ulkopuolisia skriptejä, kuten analytiikka- tai somepikseleitä, CMP:si kategoriakohtaisilla asetuksilla.
6. Pidä Google synkronoituna. Jos käytät Google-tageja, aseta Google Consent Mode v2 saman valinnan perusteella ja tarkista Googlen ajantasaiset CMP-vaatimukset sen julkaisijatuotteille Euroopassa.

Tekeekö TCF:n käyttö sinusta tietosuoja-asetuksen mukaisen?

Ei. TCF on tekninen ja toimintaperiaatteita koskeva standardi, ei sertifiointi. Tietosuoja-asetus edellyttää edelleen suostumusta, joka on vapaaehtoinen, yksilöity, tietoinen ja yksiselitteinen (4 artiklan 11 alakohta), ja sinun on pystyttävä osoittamaan se (7 artiklan 1 kohta).

Itse kehys on joutunut Euroopassa valvontaviranomaisten ja tuomioistuinten tarkasteluun, muun muassa siitä, onko TC String henkilötieto. EU:n ylin tuomioistuin on todennut, että se voi olla, kun se voidaan yhdistää tunnisteeseen, kuten IP-osoitteeseen.

Käsittele TC Stringejä henkilötietoina, säilytä suostumuksen todentavat tiedot kirjanpidossasi ja arvioi banneriasi pätevän suostumuksen edellytyksiä vasten sen sijaan, että olettaisit TCF-osallistumisen kattavan ne.

Yhteenveto

TCF 2.2 on merkityksellinen, jos myyt tai ostat ohjelmallista mainontaa, joka tavoittaa eurooppalaisia kävijöitä. Julkaisijat tarvitsevat rekisteröidyn CMP:n, toimittajaluettelon, jonka ne pystyvät perustelemaan, ja bannerin, joka kohtelee kieltäytymistä reilusti. Mainostajat tarvitsevat kumppaneita, jotka lukevat TC Stringiä ja kunnioittavat sitä. Kummankaan ryhmän ei pidä erehtyä pitämään kehystä itsessään vaatimustenmukaisuutena.

Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa. Kun teet omaa tilannettasi koskevia päätöksiä, käänny pätevän tietosuoja-asiantuntijan puoleen.