IAB TCF 2.2 spiegato a publisher e inserzionisti

L’IAB Transparency and Consent Framework (TCF) è uno standard di settore che consente a un sito web di raccogliere una sola volta il consenso previsto dal Regolamento generale sulla protezione dei dati (GDPR) e di trasmetterlo, sotto forma di TC String codificata, ai fornitori ad tech che erogano e misurano gli annunci. La versione 2.2, pubblicata nel 2023, ha inasprito le regole: niente legittimo interesse per le finalità di personalizzazione, numero di fornitori indicato nel primo livello e descrizioni delle finalità più semplici.

Che cos’è l’IAB TCF?

Il TCF è un framework gestito da IAB Europe, l’associazione di categoria europea della pubblicità digitale. Standardizza il modo in cui una piattaforma di gestione del consenso (CMP) chiede il consenso, registra la risposta e la rende leggibile ai fornitori ad tech.

Si fonda su quattro elementi:

• Policy: le regole che publisher, fornitori e CMP aderenti si impegnano a rispettare.
• Finalità e funzionalità: un elenco fisso e numerato di ciò che i fornitori possono fare con i dati, descritto allo stesso modo in ogni banner TCF.
• Global Vendor List (GVL): il registro pubblico dei fornitori aderenti, con le finalità perseguite da ciascuno e la base giuridica invocata.
• Specifiche tecniche: gestite insieme a IAB Tech Lab, definiscono il formato della TC String e l’API JavaScript __tcfapi.

Chi fa che cosa nel TCF?

I publisher gestiscono i siti web e scelgono con quali fornitori lavorare. I fornitori sono aziende ad tech registrate nella GVL. Le CMP sono provider registrati che mostrano il banner e generano la TC String.

Un flusso tipico si svolge così:

1. Un visitatore arriva sul sito del publisher e la CMP mostra il banner.
2. Il visitatore accetta, rifiuta o personalizza finalità e fornitori.
3. La CMP codifica le scelte in una TC String e la memorizza.
4. Gli script della pagina leggono le scelte tramite l’API __tcfapi.
5. La TC String accompagna le richieste di annunci, così le piattaforme a valle, come le supply-side e demand-side platform (SSP e DSP) che vendono e acquistano spazi pubblicitari, possono verificare il consenso prima di agire.

Gli inserzionisti entrano in contatto con il TCF soprattutto in modo indiretto. Le loro piattaforme pubblicitarie e i loro partner di misurazione partecipano come fornitori e devono rispettare la TC String su ogni impression che acquistano o misurano.

Che cosa è cambiato nel TCF 2.2?

Il TCF 2.2 ha eliminato il legittimo interesse come base giuridica per le finalità dalla 3 alla 6, che riguardano la personalizzazione degli annunci e dei contenuti, e impone che il primo livello del banner indichi il numero di fornitori. Il legittimo interesse è una base giuridica del GDPR che non richiede il consenso ma consente alle persone di opporsi.

Ecco come si presentano le principali finalità dopo la modifica:

Finalità	Che cosa copre	Base giuridica ammessa nel TCF 2.2
1	Archiviare informazioni su un dispositivo o accedervi	Solo consenso
2	Usare dati limitati per selezionare la pubblicità	Consenso o legittimo interesse
3	Creare profili per la pubblicità personalizzata	Solo consenso (legittimo interesse eliminato)
4	Usare profili per selezionare pubblicità personalizzata	Solo consenso (legittimo interesse eliminato)
5	Creare profili per personalizzare i contenuti	Solo consenso (legittimo interesse eliminato)
6	Usare profili per selezionare contenuti personalizzati	Solo consenso (legittimo interesse eliminato)
7	Misurare le prestazioni della pubblicità	Consenso o legittimo interesse
8	Misurare le prestazioni dei contenuti	Consenso o legittimo interesse

Il framework definisce ulteriori finalità, come le ricerche sul pubblico e lo sviluppo di prodotti. Consulta la policy aggiornata di IAB Europe per l’elenco completo e la formulazione esatta.

La versione 2.2 ha inoltre riscritto nomi e descrizioni delle finalità in un linguaggio più semplice, ha chiesto ai fornitori di fornire più informazioni sul trattamento, ad esempio per quanto tempo conservano i dati, e ha dato più peso alla possibilità per i visitatori di riaprire il banner e modificare le proprie scelte. La documentazione di IAB Europe elenca tutte le modifiche.

In pratica, i banner che si basavano sul legittimo interesse per la profilazione hanno perso gran parte dei loro interruttori “attivi per impostazione predefinita”, e i fornitori che personalizzavano gli annunci su quella base ora hanno bisogno del consenso.

Come leggo il consenso TCF in JavaScript?

Chiama la funzione __tcfapi della CMP con il comando addEventListener. La tua callback viene eseguita quando la TC String è caricata e di nuovo ogni volta che il visitatore modifica la propria scelta.

const VENDOR_ID = 123; // il tuo ID fornitore nella Global Vendor List

window.__tcfapi('addEventListener', 2, (tcData, success) => {
  if (!success) return;

  const ready = tcData.eventStatus === 'tcloaded' ||
                tcData.eventStatus === 'useractioncomplete';
  if (!ready) return;

  const deviceAccess = tcData.purpose.consents[1] === true;
  const vendorConsent = tcData.vendor.consents[VENDOR_ID] === true;

  if (!tcData.gdprApplies || (deviceAccess && vendorConsent)) {
    loadAdScript(); // il tuo loader
  }
});

Un’integrazione reale verifica tutte le finalità di cui il fornitore ha bisogno, non solo la finalità 1. Dove il legittimo interesse è ancora ammesso, legge anche tcData.purpose.legitimateInterests e tcData.vendor.legitimateInterests, e rispetta le eventuali restrizioni del publisher codificate nella stringa.

Che cosa devono fare i publisher?

Usa una CMP registrata che supporti il TCF 2.2, mantieni un elenco di fornitori veritiero e rendi il rifiuto facile quanto l’accettazione. Una checklist pratica:

1. Scegli una CMP registrata che supporti il TCF 2.2 e sia tenuta allineata alla GVL corrente.
2. Seleziona solo i fornitori con cui lavori, non l’intera GVL, così il numero di fornitori indicato nel primo livello è accurato e difendibile.
3. Offri “Rifiuta tutto” nel primo livello con la stessa evidenza di “Accetta tutto”. Il TCF non prevale sulle indicazioni delle autorità in materia di dark pattern nei banner dei cookie.
4. Aggiungi un link sempre disponibile per riaprire il banner, così i visitatori possono modificare o revocare il consenso in qualsiasi momento.
5. Blocca anche gli script non TCF, come quelli di analisi o i pixel social, tramite i controlli per categoria della tua CMP.
6. Mantieni Google allineato. Se usi tag Google, imposta Google Consent Mode v2 a partire dalla stessa scelta e verifica i requisiti attuali di Google per le CMP utilizzate con i suoi prodotti per publisher in Europa.

Usare il TCF ti rende conforme al GDPR?

No. Il TCF è uno standard tecnico e di policy, non una certificazione. Il GDPR richiede comunque un consenso libero, specifico, informato e inequivocabile (articolo 4, punto 11), e devi essere in grado di dimostrarlo (articolo 7, paragrafo 1).

Il framework stesso è stato oggetto di verifiche da parte delle autorità e di contenziosi in Europa, anche sulla questione se una TC String costituisca un dato personale. La Corte di giustizia dell’UE ha stabilito che può esserlo quando può essere collegata a un identificativo come un indirizzo IP.

Tratta le TC String come dati personali, conserva le prove del consenso nei tuoi registri e verifica il tuo banner rispetto alle condizioni per un consenso valido, invece di dare per scontato che l’adesione al TCF le soddisfi.

In sintesi

Il TCF 2.2 è rilevante se vendi o acquisti pubblicità programmatica che raggiunge visitatori europei. I publisher hanno bisogno di una CMP registrata, di un elenco di fornitori giustificabile e di un banner che tratti il rifiuto in modo equo. Gli inserzionisti hanno bisogno di partner che leggano e rispettino la TC String. Nessuno dei due gruppi dovrebbe scambiare il framework per una garanzia di conformità di per sé.

Questo articolo ha carattere puramente informativo e non costituisce consulenza legale. Per decisioni relative alla tua situazione specifica, rivolgiti a un professionista qualificato in materia di privacy.