IAB TCF 2.2 expliqué aux éditeurs et aux annonceurs

L’IAB Transparency and Consent Framework (TCF) est un standard du secteur qui permet à un site de recueillir une seule fois le consentement au titre du RGPD et de le transmettre, sous la forme d’une TC String encodée, aux fournisseurs ad tech qui diffusent et mesurent les publicités. La version 2.2, publiée en 2023, a durci les règles : plus d’intérêt légitime pour les finalités de personnalisation, nombre de fournisseurs affiché au premier niveau et descriptions des finalités plus simples.

Qu’est-ce que l’IAB TCF ?

Le TCF est un cadre géré par l’IAB Europe, l’association professionnelle européenne de la publicité numérique. Il normalise la façon dont une plateforme de gestion du consentement (CMP) demande le consentement, enregistre la réponse et la met à disposition des fournisseurs ad tech.

Il repose sur quatre piliers :

• Politiques : les règles que les éditeurs, fournisseurs et CMP participants s’engagent à respecter.
• Finalités et fonctionnalités : une liste fixe et numérotée de ce que les fournisseurs peuvent faire des données, décrite de la même manière sur chaque bandeau TCF.
• Global Vendor List (GVL) : le registre public des fournisseurs participants, avec les finalités utilisées par chacun et la base légale qu’il invoque.
• Spécifications techniques : gérées avec l’IAB Tech Lab, elles définissent le format de la TC String et l’API JavaScript __tcfapi.

Qui fait quoi dans le TCF ?

Les éditeurs exploitent les sites web et choisissent les fournisseurs avec lesquels ils travaillent. Les fournisseurs sont des sociétés ad tech enregistrées dans la GVL. Les CMP sont des prestataires enregistrés qui affichent le bandeau et génèrent la TC String.

Un parcours type se présente ainsi :

1. Un visiteur arrive sur le site de l’éditeur et la CMP affiche le bandeau.
2. Le visiteur accepte, refuse ou personnalise les finalités et les fournisseurs.
3. La CMP encode les choix dans une TC String et l’enregistre.
4. Les scripts de la page lisent les choix via l’API __tcfapi.
5. La TC String accompagne les requêtes publicitaires, afin que les plateformes en aval, comme les plateformes côté offre et côté demande (SSP et DSP) qui vendent et achètent de l’espace publicitaire, puissent vérifier le consentement avant d’agir.

Les annonceurs rencontrent surtout le TCF de manière indirecte. Leurs plateformes publicitaires et leurs partenaires de mesure y participent en tant que fournisseurs et doivent respecter la TC String pour chaque impression qu’ils achètent ou mesurent.

Qu’est-ce qui a changé avec le TCF 2.2 ?

Le TCF 2.2 a supprimé l’intérêt légitime comme base légale pour les finalités 3 à 6, qui couvrent la personnalisation des publicités et des contenus, et impose d’afficher le nombre de fournisseurs au premier niveau du bandeau. L’intérêt légitime est une base légale du RGPD qui ne nécessite pas de consentement mais permet aux personnes de s’opposer.

Voici comment se présentent les principales finalités après ce changement :

Finalité	Ce qu’elle couvre	Base légale autorisée dans le TCF 2.2
1	Stocker des informations sur un appareil et/ou y accéder	Consentement uniquement
2	Utiliser des données limitées pour sélectionner la publicité	Consentement ou intérêt légitime
3	Créer des profils pour la publicité personnalisée	Consentement uniquement (intérêt légitime supprimé)
4	Utiliser des profils pour sélectionner des publicités personnalisées	Consentement uniquement (intérêt légitime supprimé)
5	Créer des profils pour personnaliser le contenu	Consentement uniquement (intérêt légitime supprimé)
6	Utiliser des profils pour sélectionner du contenu personnalisé	Consentement uniquement (intérêt légitime supprimé)
7	Mesurer la performance des publicités	Consentement ou intérêt légitime
8	Mesurer la performance des contenus	Consentement ou intérêt légitime

Le framework définit d’autres finalités, comme les études d’audience et le développement de produits. Consultez la politique en vigueur de l’IAB Europe pour la liste complète et la formulation exacte.

La version 2.2 a aussi reformulé les noms et descriptions des finalités dans un langage plus simple, demandé aux fournisseurs de donner davantage d’informations sur leurs traitements, comme leur durée de conservation des données, et mis davantage l’accent sur la possibilité pour les visiteurs de rouvrir le bandeau et de modifier leurs choix. La documentation de l’IAB Europe recense l’ensemble des changements.

En pratique, les bandeaux qui s’appuyaient sur l’intérêt légitime pour le profilage ont perdu la plupart de leurs interrupteurs « activés par défaut », et les fournisseurs qui personnalisaient les publicités sur cette base ont désormais besoin d’un consentement.

Comment lire le consentement TCF en JavaScript ?

Appelez la fonction __tcfapi de la CMP avec la commande addEventListener. Votre fonction de rappel s’exécute au chargement de la TC String, puis à chaque fois que le visiteur modifie son choix.

const VENDOR_ID = 123; // votre identifiant de fournisseur dans la Global Vendor List

window.__tcfapi('addEventListener', 2, (tcData, success) => {
  if (!success) return;

  const ready = tcData.eventStatus === 'tcloaded' ||
                tcData.eventStatus === 'useractioncomplete';
  if (!ready) return;

  const deviceAccess = tcData.purpose.consents[1] === true;
  const vendorConsent = tcData.vendor.consents[VENDOR_ID] === true;

  if (!tcData.gdprApplies || (deviceAccess && vendorConsent)) {
    loadAdScript(); // votre propre chargeur
  }
});

Une véritable intégration vérifie toutes les finalités dont le fournisseur a besoin, pas seulement la finalité 1. Lorsque l’intérêt légitime reste autorisé, elle lit aussi tcData.purpose.legitimateInterests et tcData.vendor.legitimateInterests, et respecte les éventuelles restrictions de l’éditeur encodées dans la chaîne.

Que doivent faire les éditeurs ?

Utilisez une CMP enregistrée compatible avec le TCF 2.2, tenez une liste de fournisseurs sincère et rendez le refus aussi simple que l’acceptation. Une liste de contrôle pratique :

1. Choisissez une CMP enregistrée compatible avec le TCF 2.2 et tenue à jour par rapport à la GVL en vigueur.
2. Ne sélectionnez que les fournisseurs avec lesquels vous travaillez, et non toute la GVL, afin que le nombre de fournisseurs affiché au premier niveau soit exact et défendable.
3. Proposez « Tout refuser » au premier niveau avec la même visibilité que « Tout accepter ». Le TCF ne prime pas sur les recommandations des autorités concernant les dark patterns des bandeaux cookies.
4. Ajoutez un lien permanent pour rouvrir le bandeau, afin que les visiteurs puissent modifier ou retirer leur consentement à tout moment.
5. Contrôlez aussi les scripts hors TCF, comme les outils de mesure d’audience ou les pixels sociaux, via les contrôles par catégorie de votre CMP.
6. Synchronisez Google. Si vous utilisez des balises Google, alimentez Google Consent Mode v2 à partir du même choix, et vérifiez les exigences actuelles de Google concernant les CMP pour ses produits destinés aux éditeurs en Europe.

Utiliser le TCF suffit-il à être conforme au RGPD ?

Non. Le TCF est un standard technique et de politiques, pas une certification. Le RGPD exige toujours un consentement libre, spécifique, éclairé et univoque (article 4(11)), et vous devez être en mesure de le démontrer (article 7(1)).

Le framework lui-même a fait l’objet d’un examen réglementaire et judiciaire en Europe, notamment sur la question de savoir si une TC String constitue une donnée personnelle. La plus haute juridiction de l’UE a jugé qu’elle peut l’être lorsqu’elle peut être associée à un identifiant tel qu’une adresse IP.

Traitez les TC Strings comme des données personnelles, conservez une preuve du consentement dans vos registres et confrontez votre bandeau aux conditions d’un consentement valable plutôt que de supposer que la participation au TCF suffit à les remplir.

En résumé

Le TCF 2.2 vous concerne si vous vendez ou achetez de la publicité programmatique qui touche des visiteurs européens. Les éditeurs ont besoin d’une CMP enregistrée, d’une liste de fournisseurs justifiable et d’un bandeau qui traite le refus équitablement. Les annonceurs ont besoin de partenaires qui lisent et respectent la TC String. Ni les uns ni les autres ne doivent confondre le framework avec la conformité en tant que telle.

Cet article est fourni à titre d’information générale et ne constitue pas un avis juridique. Pour toute décision concernant votre situation, consultez un professionnel qualifié de la protection des données.