IAB TCF v2.3: Den kompletta guiden till Transparency and Consent Framework

IAB Transparency and Consent Framework (TCF) är en branschstandard som skapats av IAB Europe och som definierar hur samtycke samlas in, lagras och kommuniceras mellan publicister, annonsörer och ad tech-leverantörer. Om din webbplats använder programmatisk annonsering inom Europeiska ekonomiska samarbetsområdet är TCF-efterlevnad inte valfritt.

Sedan januari 2024 kräver Google att alla publicister som visar annonser för användare inom EES använder en plattform för samtyckeshantering (CMP) som är registrerad hos IAB TCF. Utan detta inaktiveras personaliserad annonsering och annonsintäkterna sjunker markant.

Vad är TCF?

TCF löser ett samordningsproblem. När en användare besöker en webbplats kan tiotals ad tech-leverantörer behandla deras data genom realtidsbudgivning, retargeting, analys och innehållspersonalisering. Varje leverantör behöver veta om användaren har samtyckt till just deras typ av databehandling. Innan TCF fanns det inget standardiserat sätt att kommunicera denna information genom hela ad tech-leverantörskedjan.

Ramverket definierar ett gemensamt språk för samtycke. En TCF-registrerad CMP samlar in samtycke från användaren och kodar det till en TC-sträng (Transparency and Consent String). Denna sträng är en kompakt, standardiserad representation av användarens samtyckesval som alla deltagande leverantörer kan läsa och tolka.

TCF:s versionshistorik

De 11 TCF-ändamålen

TCF definierar 11 ändamål för databehandling. Varje ändamål beskriver en specifik typ av aktivitet som en leverantör kan utföra med användarens data. Användare kan samtycka till eller avvisa varje ändamål individuellt.

Observera: I TCF v2.2 och senare är berättigat intresse inte längre tillgängligt som rättslig grund för ändamål 3, 4, 5 och 6. Dessa ändamål kräver uttryckligt samtycke.

Global Vendor List (GVL)

Global Vendor List är ett centralt register som upprätthålls av IAB Europe och som listar alla leverantörer som deltar i TCF. Varje leverantör deklarerar vilka ändamål och funktioner den använder, och om den för vart och ett förlitar sig på samtycke eller berättigat intresse.

När en CMP visar ett samtyckesgränssnitt hämtar den leverantörsinformation från GVL så att användarna exakt kan se vilka företag som kommer att behandla deras data och för vilka ändamål. Användare kan samtycka till eller avvisa enskilda leverantörer, inte bara ändamål.

Från och med 2026 innehåller GVL över 1 200 registrerade leverantörer, däribland Google, Meta, Amazon och de flesta större ad tech-företag.

TC-strängen

TC-strängen är ramverkets tekniska kärna. Det är en Base64-kodad sträng som innehåller användarens fullständiga samtyckesstatus: vilka ändamål de samtyckt till, vilka leverantörer de godkänt, om berättigat intresse gäller samt eventuella publicistbegränsningar.

Varje leverantör i ad tech-kedjan läser denna sträng för att avgöra vilken behandling den får utföra för just denna användare. Strängen lagras i användarens webbläsare (vanligtvis i en cookie som heter euconsent-v2) och överförs genom budgivningskedjan via JavaScript-API:et __tcfapi().

JavaScript-API:et __tcfapi()

__tcfapi() är en standardiserad JavaScript-funktion som CMP:er måste implementera. Den gör det möjligt för valfritt skript på sidan att fråga efter det aktuella samtyckestillståndet. Annonstaggar, analysskript och header bidding-wrappers använder alla detta API för att kontrollera om de har behörighet att behandla data.

Viktiga kommandon inkluderar:

• getTCData: Returnerar den aktuella TC-strängen och tolkad samtyckesdata.
• addEventListener: Registrerar en callback för förändringar i samtyckestillståndet.
• ping: Kontrollerar om CMP:en är laddad och redo.

Prebid.js, Google Publisher Tags (GPT) och de flesta större ad tech-SDK:er anropar automatiskt __tcfapi() för att hämta samtycke innan de gör budförfrågningar eller aktiverar pixlar.

Meddelanden mellan ramar (cross-frame messaging)

Annonsenheter körs ofta i iframes på en annan domän än publicistens sida. Dessa iframes kan inte direkt komma åt funktionen __tcfapi() på den överordnade sidan på grund av webbläsarens restriktioner kring same-origin-policy.

TCF löser detta med ett protokoll för meddelanden mellan ramar. CMP:en skapar en särskilt namngiven iframe (__tcfapiLocator) som fungerar som en meddelandeförmedlare. Leverantörsskript inuti annons-iframes skickar postMessage-förfrågningar till denna locator-ram, som vidarebefordrar dem till CMP:en och returnerar samtyckesdatan.

Denna mekanism är avgörande för att programmatisk annonsering ska fungera korrekt med samtycke. Utan den skulle annonsenheter i iframes inte ha något sätt att kontrollera samtyckesstatusen.

TCF och Google

Sedan januari 2024 kräver Google att publicister som visar annonser för EES-användare använder en Google-certifierad CMP som implementerar IAB TCF v2.3. Detta krav gäller Google Ads, AdSense, Ad Manager, AdMob och DV360.

Google kräver också Consent Mode v2 tillsammans med TCF. Consent Mode hanterar Googles egna taggar (Analytics, Ads), medan TCF hanterar det bredare ad tech-ekosystemet. Båda behövs för full efterlevnad.

Utan en TCF-kompatibel CMP kommer Google inte att visa personaliserade annonser för EES-användare, vilket resulterar i betydligt lägre annonsintäkter.

TCF och Passiro

Passiro är registrerat hos IAB Europe som CMP ID 499, med fullt stöd för IAB TCF v2.3 inkluderat i sin kostnadsfria samtyckeswidget. Detta inkluderar generering av TC-sträng, JavaScript-API:et __tcfapi(), meddelanden mellan ramar via __tcfapiLocator-iframen, integration med Global Vendor List v3, samtycke per leverantör, invändning mot berättigat intresse och publicistbegränsningar.

De flesta konkurrerande CMP:er tar 30–40 EUR per webbplats och månad för TCF-stöd. Passiro inkluderar det utan kostnad, utan sidbegränsningar, utan trafikbegränsningar och utan funktionsbegränsningar på samtyckesfunktionaliteten.