IAB TCF 2.2: объяснение для издателей и рекламодателей

IAB Transparency and Consent Framework (TCF) — это отраслевой стандарт, который позволяет сайту один раз получить согласие в соответствии с Общим регламентом по защите данных (GDPR) и передать его в виде закодированной строки TC String поставщикам рекламных технологий, которые показывают и измеряют рекламу. Версия 2.2, выпущенная в 2023 году, ужесточила правила: никакого законного интереса для целей персонализации, число поставщиков на первом уровне и более простые описания целей.

Что такое IAB TCF?

TCF — это фреймворк, которым управляет IAB Europe, европейская отраслевая ассоциация цифровой рекламы. Он стандартизирует то, как платформа управления согласием (CMP) запрашивает согласие, как она фиксирует ответ и как поставщики рекламных технологий его считывают.

Он состоит из четырех основных элементов:

• Политики: правила, которые обязуются соблюдать участвующие издатели, поставщики и CMP.
• Цели и функции: фиксированный пронумерованный список того, что поставщики могут делать с данными; на каждом баннере TCF он описывается одинаково.
• Global Vendor List (GVL): публичный реестр участвующих поставщиков с указанием целей, которые использует каждый из них, и правового основания, на которое он ссылается.
• Технические спецификации: поддерживаются совместно с IAB Tech Lab и определяют формат TC String и JavaScript API __tcfapi.

Кто за что отвечает в TCF?

Издатели управляют сайтами и выбирают, с какими поставщиками работать. Поставщики — это компании в сфере рекламных технологий, зарегистрированные в GVL. CMP — зарегистрированные провайдеры, которые показывают баннер и формируют TC String.

Типичный процесс выглядит так:

1. Посетитель заходит на сайт издателя, и CMP показывает баннер.
2. Посетитель принимает, отклоняет или настраивает цели и поставщиков.
3. CMP кодирует выбор в TC String и сохраняет ее.
4. Скрипты на странице считывают выбор через API __tcfapi.
5. TC String передается вместе с рекламными запросами, поэтому платформы ниже по цепочке, например платформы для продавцов и покупателей рекламы (SSP и DSP), которые продают и покупают рекламные места, могут проверить согласие, прежде чем действовать.

Рекламодатели в основном сталкиваются с TCF косвенно. Их рекламные платформы и партнеры по измерениям участвуют в нем как поставщики и обязаны соблюдать TC String при каждом показе, который они покупают или измеряют.

Что изменилось в TCF 2.2?

TCF 2.2 исключил законный интерес из правовых оснований для целей 3–6, которые охватывают персонализацию рекламы и контента, и обязал показывать число поставщиков на первом уровне баннера. Законный интерес — это предусмотренное GDPR правовое основание, которое не требует согласия, но позволяет людям возражать против обработки.

Вот как основные цели выглядят после изменений:

Цель	Что она охватывает	Допустимое правовое основание в TCF 2.2
1	Сохранение информации на устройстве или доступ к ней	Только согласие
2	Использование ограниченного объема данных для выбора рекламы	Согласие или законный интерес
3	Создание профилей для персонализированной рекламы	Только согласие (законный интерес исключен)
4	Использование профилей для выбора персонализированной рекламы	Только согласие (законный интерес исключен)
5	Создание профилей для персонализации контента	Только согласие (законный интерес исключен)
6	Использование профилей для выбора персонализированного контента	Только согласие (законный интерес исключен)
7	Измерение эффективности рекламы	Согласие или законный интерес
8	Измерение эффективности контента	Согласие или законный интерес

Фреймворк определяет и другие цели, например исследование аудитории и разработку продуктов. Полный список и точные формулировки смотрите в актуальной политике IAB Europe.

Кроме того, в версии 2.2 названия и описания целей переписаны более простым языком, поставщиков попросили раскрывать больше сведений об обработке, например сроки хранения данных, а возможности снова открыть баннер и изменить свой выбор уделено больше внимания. Полный перечень изменений приведен в документации IAB Europe.

На практике баннеры, которые опирались на законный интерес для профилирования, лишились большинства переключателей, «включенных по умолчанию», а поставщикам, персонализировавшим рекламу на этом основании, теперь нужно согласие.

Как считать согласие TCF в JavaScript?

Вызовите функцию __tcfapi вашей CMP с командой addEventListener. Ваша функция обратного вызова выполняется, когда загружается TC String, и снова — каждый раз, когда посетитель меняет свой выбор.

const VENDOR_ID = 123; // ваш идентификатор поставщика в Global Vendor List

window.__tcfapi('addEventListener', 2, (tcData, success) => {
  if (!success) return;

  const ready = tcData.eventStatus === 'tcloaded' ||
                tcData.eventStatus === 'useractioncomplete';
  if (!ready) return;

  const deviceAccess = tcData.purpose.consents[1] === true;
  const vendorConsent = tcData.vendor.consents[VENDOR_ID] === true;

  if (!tcData.gdprApplies || (deviceAccess && vendorConsent)) {
    loadAdScript(); // ваш собственный загрузчик
  }
});

Реальная интеграция проверяет все цели, которые нужны поставщику, а не только цель 1. Там, где законный интерес по-прежнему допускается, она также считывает tcData.purpose.legitimateInterests и tcData.vendor.legitimateInterests и учитывает все ограничения издателя, закодированные в строке.

Что нужно сделать издателям?

Используйте зарегистрированную CMP с поддержкой TCF 2.2, поддерживайте честный список поставщиков и сделайте отказ таким же простым, как согласие. Практический чек-лист:

1. Выберите зарегистрированную CMP, которая поддерживает TCF 2.2 и своевременно обновляется вслед за актуальным GVL.
2. Отбирайте только тех поставщиков, с которыми работаете, а не весь GVL, чтобы число поставщиков на первом уровне было точным и обоснованным.
3. Предложите кнопку «Отклонить все» на первом уровне с той же заметностью, что и «Принять все». TCF не отменяет рекомендаций регуляторов в отношении темных паттернов в баннерах cookie.
4. Добавьте постоянную ссылку для повторного открытия баннера, чтобы посетители могли в любой момент изменить или отозвать согласие.
5. Блокируйте и скрипты вне TCF, например аналитику или пиксели соцсетей, с помощью настроек категорий в вашей CMP.
6. Синхронизируйте Google. Если вы используете теги Google, настраивайте Google Consent Mode v2 на основе того же выбора и проверьте актуальные требования Google к CMP для его издательских продуктов в Европе.

Обеспечивает ли использование TCF соответствие GDPR?

Нет. TCF — это технический и нормативный стандарт, а не сертификация. GDPR по-прежнему требует согласия, которое является свободным, конкретным, информированным и недвусмысленным (статья 4(11)), и вы должны быть в состоянии его подтвердить (статья 7(1)).

Сам фреймворк привлек пристальное внимание регуляторов и судов в Европе, в том числе в связи с вопросом о том, являются ли TC String персональными данными. Суд ЕС пришел к выводу, что могут являться, если их можно связать с идентификатором, например IP-адресом.

Относитесь к TC String как к персональным данным, храните подтверждения согласия в своих записях и проверяйте свой баннер на соответствие условиям действительного согласия, а не исходите из того, что участие в TCF их покрывает.

Итоги

TCF 2.2 важен, если вы продаете или покупаете программатическую рекламу, которая затрагивает посетителей из Европы. Издателям нужны зарегистрированная CMP, список поставщиков, который можно обосновать, и баннер, честно относящийся к отказу. Рекламодателям нужны партнеры, которые считывают и соблюдают TC String. Ни тем, ни другим не стоит принимать сам по себе фреймворк за соответствие требованиям.

Эта статья носит общий информационный характер и не является юридической консультацией. Для решений, касающихся вашей конкретной ситуации, обратитесь к квалифицированному специалисту по защите данных.