IAB TCF v2.4: Requisiti e novità rispetto alla v2.3

Come si combinano le parti del TCF

Una piattaforma di gestione del consenso (CMP) mostra ai visitatori quali fornitori vogliono usare i loro dati e per quali finalità. Salva il risultato in una TC String che i fornitori partecipanti leggono prima di agire. La tabella spiega i termini usati in questa guida.

I fornitori leggono il segnale tramite l’interfaccia standard della CMP sulla pagina, oppure lo ricevono con le richieste di annunci. Il framework funziona solo se l’interfaccia, il segnale salvato e il comportamento dei fornitori coincidono.

Cosa ha cambiato il TCF v2.3

IAB Europe ha rilasciato il TCF v2.3 il 19 giugno 2025. La modifica principale ha reso obbligatorio il segmento Disclosed Vendors della TC String. Il segmento indica ciascun fornitore che è stato mostrato al visitatore nell’interfaccia della CMP.

Questo ha colmato una lacuna per i fornitori che si basano sul legittimo interesse per le Finalità speciali: prima della v2.3 non potevano sapere se fossero stati mostrati o meno. La comunicazione ora si legge da un segmento dedicato, separato dai segnali di consenso e di legittimo interesse.

La transizione si è conclusa il 28 febbraio 2026. Dal 1° marzo 2026 ogni nuova TC String deve contenere il segmento, mentre le stringhe create in precedenza senza di esso restano valide finché i visitatori non rinnovano o modificano le proprie scelte. Le note sulla transizione di IAB Europe precisano inoltre che per questa modifica le CMP non dovevano mostrare di nuovo l’interfaccia.

Cosa cambia con il TCF v2.4

Il TCF v2.4 è la specifica tecnica che accompagna le TCF Policies v5.0.b di IAB Europe, rilasciate il 29 maggio 2026. IAB Europe ha pubblicato la v2.4 e il relativo aggiornamento della GVL il 23 luglio 2026. Policies e specifiche hanno una numerazione separata, quindi la v5.0.b non fa di questo un “TCF v5”.

• Spiegazione standard delle Funzionalità: la GVL ha un nuovo campo standardTexts con un unico testo per le Funzionalità: sono mezzi di trattamento usati solo per finalità su cui al visitatore viene data una scelta. Le CMP mostrano questo testo, insieme a un’illustrazione per ciascuna Funzionalità.
• Nessun controllo accanto alle Funzionalità: le regole di IAB Europe sull’interfaccia stabiliscono che le Funzionalità non dovrebbero essere associate a controlli, come un interruttore bloccato su attivo, per non trarre in inganno i visitatori. I visitatori effettuano scelte sulle finalità e sulle Funzionalità speciali, non sulle Funzionalità.
• Nuovo nome per la Funzionalità speciale 2: “Actively scan device characteristics for identification” ora si chiama “Identify devices based on information actively requested” (identificare i dispositivi in base a informazioni richieste attivamente). Le relative indicazioni per i fornitori coprono anche le informazioni richieste attivamente tramite User-Agent Client Hints.
• Una modifica nella TC String: viene eliminata la vecchia soluzione alternativa che impostava il bit del legittimo interesse per i fornitori che dichiarano solo Finalità speciali. La loro comunicazione si legge dal segmento Disclosed Vendors introdotto con la v2.3.
• Chiarimenti sul multi-dispositivo: le Policies v5.0.b spiegano come gli editori possono mantenere le scelte su più dispositivi, ad esempio per gli utenti che hanno effettuato l’accesso, e come gestire le scelte in conflitto. L’ambito multi-dispositivo è un’opzione del framework, non un requisito per tutti i siti web.

IAB Europe osserva che la specifica GVL aggiornata non introduce nuovi requisiti per i fornitori, quindi la maggior parte del lavoro ricade sulle CMP. La specifica tecnica su GitHub elenca le modifiche nella cronologia delle versioni.

TCF v2.3 e v2.4 a confronto

Per una panoramica più breve pensata per gli editori, leggi TCF v2.3 e v2.4: cosa cambia?.

Comunicazione, consenso e liceità sono cose diverse

Un fornitore presente nel segmento Disclosed Vendors è stato mostrato al visitatore. Questo non equivale a un consenso: i segnali di consenso e di legittimo interesse sono campi separati, e il visitatore potrebbe aver rifiutato il consenso o essersi opposto.

Nemmeno la registrazione nella GVL rende lecito il trattamento di un fornitore. Le TCF Policies di IAB Europe affermano che la partecipazione non sostituisce gli obblighi di legge di ciascun partecipante e che, in caso di conflitto, prevale la legge.

Quando valuti una configurazione, tieni distinti tre tipi di requisiti:

• Requisiti di legge: il GDPR e le norme ePrivacy stabiliscono quando serve il consenso e quale base giuridica si applica. Le indicazioni dell’EDPB sul trattamento lecito spiegano questa scelta.
• Requisiti del framework: le Policies e la specifica di IAB Europe stabiliscono cosa mostra l’interfaccia, come viene codificato il segnale e quando le CMP devono aggiornarsi.
• Requisiti dei partner: una piattaforma pubblicitaria può aggiungere condizioni proprie, come le regole di Google per gli editori descritte più avanti.

I requisiti di Google per gli editori

Gli editori che usano Google AdSense, Ad Manager o AdMob per pubblicare annunci personalizzati per utenti nel SEE, nel Regno Unito o in Svizzera hanno bisogno di una CMP certificata da Google e integrata con il TCF. È una condizione di Google, non una regola di IAB Europe, e il solo supporto del TCF non equivale alla certificazione Google. La nostra guida alla EU User Consent Policy di Google illustra la policy e dove consultare l’elenco di Google delle CMP certificate.

Google Consent Mode è un meccanismo separato con requisiti propri. La nostra guida a Google Consent Mode lo spiega.

Verifica la tua implementazione del TCF

Usa la configurazione attiva, un profilo del browser nuovo e una pagina in cui vengono pubblicati annunci. Scegli un fornitore che riceve effettivamente dati e seguilo in ogni passaggio.

• Identifica il fornitore: annota il nome e l’ID fornitore dalla GVL e verifica che l’interfaccia lo elenchi.
• Confronta comunicazione e segnale: dopo una scelta, decodifica la TC String e verifica che l’ID del fornitore sia nel segmento Disclosed Vendors.
• Controlla finalità e autorizzazioni: confronta le finalità e le basi giuridiche mostrate per il fornitore con i suoi segnali di consenso e di legittimo interesse.
• Prova una nuova scelta: accetta tutto in una nuova sessione e verifica che la stringa registri il consenso per le finalità del fornitore.
• Prova il rifiuto: rifiuta tutto in una nuova sessione; il fornitore dovrebbe restare in Disclosed Vendors senza segnali di consenso.
• Prova una modifica successiva: riapri le impostazioni privacy dalla pagina, cambia la scelta e verifica che una nuova stringa sostituisca quella precedente.
• Controlla la visualizzazione delle Funzionalità: le Funzionalità mostrano la spiegazione standard e le illustrazioni, senza interruttori o comandi bloccati accanto.
• Controlla la Funzionalità speciale 2: l’interfaccia usa il nuovo nome, “Identify devices based on information actively requested”, anche nelle versioni tradotte.

Le linee guida di implementazione tecniche del framework descrivono come le CMP e i fornitori trasmettono e leggono la stringa, anche nelle richieste di annunci.

Domande frequenti