TCF 2.2 : comprendre le Transparency and Consent Framework

TL;DR

Le TCF 2.2 (Transparency and Consent Framework) est un standard technique de l'IAB Europe qui permet de transmettre les choix de consentement des visiteurs aux vendeurs publicitaires (ad tech vendors) de façon structurée. Il ne remplace pas le RGPD ni le Consent Mode de Google : il les complète en standardisant la communication du consentement dans la chaîne programmatique. Si votre site affiche de la publicité programmatique ou utilise des technologies adtech, votre CMP doit supporter le TCF 2.2.

Qu'est-ce que le TCF 2.2 ?

Le TCF 2.2 (Transparency and Consent Framework version 2.2) est un cadre technique développé par l'IAB Europe. Il définit un protocole standardisé pour transmettre les choix de consentement des utilisateurs aux vendeurs publicitaires (SSP, DSP, ad exchanges, data management platforms) qui participent à la chaîne programmatique.

Concrètement, quand un visiteur interagit avec un bandeau de consentement compatible TCF, la CMP génère une TC String : une chaîne de caractères encodée qui contient les choix de consentement du visiteur pour chaque finalité et pour chaque vendeur enregistré dans la Global Vendor List (GVL) de l'IAB.

Cette TC String est ensuite lue par les scripts publicitaires présents sur la page pour adapter leur comportement au consentement recueilli.

Quelle est la différence entre le TCF 2.2 et le Consent Mode v2 ?

Le TCF 2.2 et le Google Consent Mode v2 sont deux mécanismes complémentaires, pas concurrents.

Le Consent Mode v2 est un mécanisme propriétaire de Google. Il transmet les signaux de consentement exclusivement aux tags Google (Google Analytics, Google Ads, Floodlight). Il utilise deux paramètres principaux : ad_storage et analytics_storage.

Le TCF 2.2 est un standard ouvert de l'industrie publicitaire. Il transmet les choix de consentement à tous les vendeurs enregistrés dans la Global Vendor List de l'IAB (plus de 1 000 vendeurs). Il couvre 11 finalités et 2 finalités spéciales.

Si votre site utilise uniquement Google Analytics et Google Ads, le Consent Mode v2 suffit. Si votre site affiche de la publicité programmatique via des SSP, des ad exchanges ou des réseaux publicitaires tiers, le TCF 2.2 est nécessaire en complément.

Qui doit implémenter le TCF 2.2 ?

Le TCF 2.2 est requis dans deux cas principaux.

Les éditeurs (publishers) qui monétisent leur site via la publicité programmatique et qui travaillent avec des vendeurs enregistrés dans la GVL de l'IAB. C'est le cas des sites médias, des blogs à forte audience et des sites e-commerce qui affichent des bannières publicitaires gérées par des SSP.

Les vendeurs adtech (SSP, DSP, DMP, ad networks) qui traitent des données de consentement dans l'EEE doivent être enregistrés dans la GVL et respecter les signaux TCF transmis par les CMP.

Si votre site n'affiche pas de publicité programmatique, le TCF 2.2 n'est pas nécessaire. Un bandeau de consentement classique avec le Consent Mode v2 couvre vos besoins.

Les finalités du TCF 2.2

Le TCF 2.2 définit 11 finalités (purposes) et 2 finalités spéciales pour lesquelles le consentement peut être recueilli. Les finalités couvrent le stockage d'informations sur le terminal (purpose 1), la sélection de publicité limitée (purpose 2, nouveau en 2.2), le profilage publicitaire (purposes 3-4), la personnalisation de contenu (purposes 5-6), la mesure de performance (purposes 7-8), la compréhension des audiences (purpose 9), l'amélioration des services (purpose 10) et la sélection de contenu limitée (purpose 11, nouveau en 2.2).

Chaque vendeur de la GVL déclare les finalités pour lesquelles il traite des données. Le bandeau TCF présente ces finalités au visiteur et transmet ses choix via la TC String.

Comment fonctionne le TCF 2.2 en pratique ?

La CMP compatible TCF affiche le bandeau avec les finalités et les vendeurs. Le visiteur fait ses choix. La CMP génère la TC String encodée et la stocke. Les scripts publicitaires lisent la TC String via l'API CMP (méthode __tcfapi) et adaptent leur comportement selon les consentements obtenus.

Pour être valide, une CMP doit être enregistrée auprès de l'IAB Europe et obtenir un CMP ID. FlowConsent et les principales CMP du marché sont compatibles TCF 2.2.

Ce qui change entre TCF 2.1 et TCF 2.2

Le TCF 2.2, publié en mai 2023, apporte plusieurs changements importants. L'intérêt légitime n'est plus autorisé pour les finalités 3, 4, 5 et 6 (profilage publicitaire et personnalisation de contenu). Le consentement explicite est désormais requis. Deux nouvelles finalités ont été ajoutées (purposes 2 et 11). Les vendeurs doivent fournir des URLs de description de leurs traitements.

Erreurs fréquentes avec le TCF 2.2

Confondre TCF et Consent Mode. Ce sont deux mécanismes différents. Le TCF concerne la chaîne programmatique, le Consent Mode concerne les tags Google.

Activer le TCF sur un site sans publicité programmatique. Le TCF ajoute de la complexité au bandeau. Si votre site n'en a pas besoin, il rend le bandeau inutilement complexe.

Utiliser une CMP non enregistrée auprès de l'IAB. Seules les CMP enregistrées peuvent générer des TC Strings valides.

Ne pas mettre à jour la Global Vendor List régulièrement. La GVL est mise à jour fréquemment. Une version obsolète peut entraîner des transmissions incorrectes.

Checklist : implémenter le TCF 2.2

1. Vérifier que votre site utilise de la publicité programmatique nécessitant le TCF.
2. Choisir une CMP enregistrée auprès de l'IAB Europe.
3. Configurer les finalités TCF dans le bandeau de consentement.
4. Identifier les vendeurs de la GVL utilisés sur votre site.
5. Configurer le Consent Mode v2 en parallèle pour les tags Google.
6. Tester la génération de la TC String avec un outil de décodage.
7. Vérifier que les scripts adtech lisent correctement la TC String via __tcfapi.
8. Lancer un audit de cookies pour confirmer le blocage avant consentement.

Conclusion

Le TCF 2.2 est un standard nécessaire pour les sites qui participent à la publicité programmatique dans l'EEE. Il complète la chaîne de conformité en standardisant la transmission du consentement aux vendeurs adtech. Si votre site n'affiche pas de publicité programmatique, le TCF n'est pas nécessaire. Commencez par un scan de votre site pour identifier les scripts présents et déterminer si le TCF est pertinent pour votre configuration.