IAB TCF v2.3: Den komplette guiden til Transparency and Consent Framework

IAB Transparency and Consent Framework (TCF) er en bransjestandard utviklet av IAB Europe som definerer hvordan samtykke samles inn, lagres og kommuniseres mellom utgivere, annonsører og ad-tech-leverandører. Hvis nettstedet ditt bruker programmatisk annonsering i Det europeiske økonomiske samarbeidsområdet, er TCF-etterlevelse ikke valgfritt.

Siden januar 2024 krever Google at alle utgivere som viser annonser til brukere i EØS, bruker en plattform for samtykkeadministrasjon (CMP) registrert hos IAB TCF. Uten dette deaktiveres persontilpasset annonsering, og annonseinntektene faller betydelig.

Hva er TCF?

TCF løser et koordineringsproblem. Når en bruker besøker et nettsted, kan flere titalls ad-tech-leverandører behandle brukerens data gjennom sanntidsbudgivning, remarketing, analyse og innholdstilpasning. Hver leverandør må vite om brukeren har samtykket til nettopp sin type databehandling. Før TCF fantes det ingen standard måte å kommunisere denne informasjonen på gjennom ad-tech-verdikjeden.

Rammeverket definerer et felles språk for samtykke. En TCF-registrert CMP samler inn samtykke fra brukeren og koder det inn i en TC-streng (Transparency and Consent String). Denne strengen er en kompakt, standardisert representasjon av brukerens samtykkevalg som enhver deltakende leverandør kan lese og tolke.

TCF-versjonshistorikk

De 11 TCF-formålene

TCF definerer 11 formål for databehandling. Hvert formål beskriver en spesifikk type aktivitet en leverandør kan utføre med brukerdata. Brukere kan samtykke til eller avvise hvert enkelt formål.

Merk: I TCF v2.2 og senere er berettiget interesse ikke lenger tilgjengelig som rettslig grunnlag for formål 3, 4, 5 og 6. Disse formålene krever uttrykkelig samtykke.

Global Vendor List (GVL)

Global Vendor List er et sentralt register som vedlikeholdes av IAB Europe, og som lister opp alle leverandører som deltar i TCF. Hver leverandør oppgir hvilke formål og funksjoner den bruker, og om den baserer seg på samtykke eller berettiget interesse for hver av dem.

Når en CMP viser et samtykkegrensesnitt, henter den leverandørinformasjon fra GVL slik at brukerne kan se nøyaktig hvilke selskaper som vil behandle dataene deres og til hvilke formål. Brukerne kan samtykke til eller avvise enkeltleverandører, ikke bare formål.

Per 2026 inneholder GVL over 1200 registrerte leverandører, inkludert Google, Meta, Amazon og de fleste store ad-tech-selskaper.

TC-strengen

TC-strengen er den tekniske kjernen i rammeverket. Det er en Base64-kodet streng som inneholder brukerens fullstendige samtykketilstand: hvilke formål de har samtykket til, hvilke leverandører de har godkjent, om berettiget interesse gjelder, og eventuelle utgiverbegrensninger.

Hver leverandør i ad-tech-kjeden leser denne strengen for å avgjøre hvilken behandling den har lov til å utføre for nettopp denne brukeren. Strengen lagres i brukerens nettleser (vanligvis i en informasjonskapsel kalt euconsent-v2) og overføres gjennom budkjeden via JavaScript-API-et __tcfapi().

JavaScript-API-et __tcfapi()

__tcfapi() er en standardisert JavaScript-funksjon som CMP-er må implementere. Den lar ethvert skript på siden spørre om den gjeldende samtykketilstanden. Annonsetagger, analyseskript og header bidding-wrappere bruker alle dette API-et for å sjekke om de har tillatelse til å behandle data.

Sentrale kommandoer inkluderer:

• getTCData: Returnerer den gjeldende TC-strengen og analyserte samtykkedata.
• addEventListener: Registrerer en tilbakekallsfunksjon for endringer i samtykketilstanden.
• ping: Sjekker om CMP-en er lastet og klar.

Prebid.js, Google Publisher Tags (GPT) og de fleste store ad-tech-SDK-er kaller automatisk __tcfapi() for å hente samtykke før de sender budforespørsler eller utløser piksler.

Meldingsutveksling på tvers av rammer

Annonseenheter kjøres ofte i iframes på et annet domene enn utgiverens side. Disse iframene kan ikke få direkte tilgang til funksjonen __tcfapi() på foreldresiden på grunn av nettleserens restriksjoner for samme opprinnelse (same-origin policy).

TCF løser dette med en protokoll for meldingsutveksling på tvers av rammer. CMP-en oppretter en spesielt navngitt iframe (__tcfapiLocator) som fungerer som en meldingsformidler. Leverandørskript inne i annonse-iframes sender postMessage-forespørsler til denne locator-rammen, som videresender dem til CMP-en og returnerer samtykkedataene.

Denne mekanismen er avgjørende for at programmatisk annonsering skal fungere korrekt med samtykke. Uten den ville annonseenheter i iframes ikke ha noen mulighet til å sjekke samtykkestatus.

TCF og Google

Siden januar 2024 krever Google at utgivere som viser annonser til brukere i EØS, bruker en Google-sertifisert CMP som implementerer IAB TCF v2.3. Dette kravet gjelder Google Ads, AdSense, Ad Manager, AdMob og DV360.

Google krever også Consent Mode v2 i tillegg til TCF. Consent Mode håndterer Googles egne tagger (Analytics, Ads), mens TCF håndterer det bredere ad-tech-økosystemet. Begge kreves for full etterlevelse.

Uten en TCF-kompatibel CMP vil Google ikke vise persontilpassede annonser til brukere i EØS, noe som resulterer i betydelig lavere annonseinntekter.

TCF og Passiro

Passiro er registrert hos IAB Europe som CMP-ID 499, med full støtte for IAB TCF v2.3 inkludert i den gratis samtykkewidgeten. Dette omfatter generering av TC-streng, JavaScript-API-et __tcfapi(), meldingsutveksling på tvers av rammer via __tcfapiLocator-iframen, integrasjon med Global Vendor List v3, samtykke per leverandør, innsigelse mot berettiget interesse og utgiverbegrensninger.

De fleste konkurrerende CMP-er tar 30–40 EUR per nettsted per måned for TCF-støtte. Passiro inkluderer det uten kostnad, uten sidebegrensninger, uten trafikkbegrensninger og uten funksjonsbegrensninger på samtykkefunksjonaliteten.