Marco de Transparencia y Consentimiento de la IAB (TCF v2.4)

Qué cambios ha introducido la IAB en el Marco de Transparencia y Consentimiento

El 2 de febrero de 2022, la agencia de protección de datos belga determinó que el Marco de Transparencia y Consentimiento (TCF) de la IAB no cumplía con varias disposiciones del RGPD. La autoridad exigió a la IAB presentar un plan de acción con medidas correctoras para subsanar los incumplimientos y alinear el TCF con el RGPD.

En respuesta a las opiniones del mercado, y a la evolución de la jurisprudencia y las directrices de distintas autoridades nacionales de protección de datos, la IAB implementó el TCF v2.2, que buscaba estandarizar mejor la información mostrada a los usuarios y otorgarles más control sobre el tratamiento de sus datos personales.

El TCF v2.3 tenía como fecha límite de cumplimiento el 28 de febrero de 2026. Fue una actualización de menor alcance, pero siguió reforzando la transparencia y el cumplimiento en materia de privacidad.

El Marco ha evolucionado ahora hasta el TCF v2.4. El IAB Tech Lab publicó las especificaciones actualizadas y la correspondiente actualización de la GVL el 23 de julio de 2026. Las CMPs deben implementar los nuevos elementos en entornos web antes del 23 de octubre de 2026, y en apps móviles y CTV antes del 23 de febrero de 2027.

Qué novedades trae el TCF v2.4

La actualización a TCF v2.4 se centra en ayudar a los usuarios a entender mejor las característica de los proveedores que, a diferencia de las Finalidades (Purposes), no cuentan con un control individual de activación/desactivación.

Gestión del consentimiento entre varios dispositivos

Siguiendo las recomendaciones de la CNIL, la autoridad francesa de protección de datos, sobre el consentimiento entre dispositivos, las políticas dan ahora a los editores más flexibilidad para mantener las decisiones de privacidad de un usuario en varios dispositivos, por ejemplo, cuando ha iniciado sesión en una cuenta. 

Las CMP deben informar a los usuarios cuando sus decisiones se conserven de esta forma, y los editores cuentan con reglas más claras para resolver conflictos, como cuando las decisiones tomadas durante una sesión difieren de las asociadas a su cuenta antes de iniciar sesión.

Texto explicativo estándar para las Características

La GVL incorpora un campo standardTexts, que da a las CMPs un texto estándar para mostrar junto a cada característica. El texto aclara que las Características son medios de tratamiento que solo se usan para las Finalidades sobre las que el usuario puede elegir, para evitar así que se confundan con un ajuste independiente y controlable.

Ilustraciones obligatorias para las Características

Cada característica debe ir acompañada ahora de una ilustración en la interfaz de la CMP; este es un requisito que ya existía para las Finalidades y que ahora se extiende a las Características.

Cambio de nombre de la Característica Especial 2 y guía de proveedores actualizada

La Característica Especial 2, antes «Escanear activamente las Características del dispositivo para su identificación», pasa a llamarse «Identificar dispositivos según la información solicitada activamente». También se ha actualizado la guía para proveedores del Capítulo V, Anexo A(D), para reflejar la solicitud activa de Client Hints con fines de fingerprinting.

Eliminación de la solución de Interés Legítimo para Finalidades Especiales

El TCF v2.4 elimina una solución técnica heredada que obligaba a las CMP a fijar en 1 el bit de Interés Legítimo para los proveedores que solo declaraban Finalidades Especiales. Dado que el segmento de Proveedores Divulgados pasó a ser obligatorio con el TCF v2.3, esta solución ya no es necesaria: los proveedores pueden confirmar que fueron divulgados al usuario leyendo directamente ese segmento, y la parte de Interés Legítimo del Proveedor en la cadena TC solo incluye a los proveedores que realmente cuentan con una divulgación de Interés Legítimo.

Cómo se implementa

La actualización de la GVL y sus traducciones se publicaron el 23 de julio de 2026, y las CMPs registradas en el TCF incorporan automáticamente los nuevos campos. Sin embargo, los cambios en la interfaz de la CMP para mostrar el nuevo texto y las ilustraciones sí requieren una actualización antes de las fechas límite indicadas.

Qué novedades trajo el TCF v2.3

El TCF v2.3 fue una actualización menor comparada con la v2.2, aunque igualmente relevante: introdujo ajustes clave para reforzar la transparencia y el cumplimiento en materia de privacidad.

Los Proveedores Divulgados, segmento obligatorio en las señales del TCF

Esto permite a los proveedores determinar mejor si están autorizados a tratar datos bajo Finalidades Especiales. Desde el 28 de febrero de 2026, todas las señales de consentimiento nuevas o actualizadas debían incluir el segmento de Proveedores Divulgados. Las Finalidades Especiales solo pueden tratarse bajo Interés Legítimo, sin derecho de oposición, pero los proveedores deben quedar explícitamente divulgados a través de la CMP.

Hasta entonces, esto se resolvía con soluciones técnicas menos óptimas; la actualización v2.3 mejoró la claridad sobre la divulgación de proveedores.

Las señales de consentimiento creadas antes del 28 de febrero de 2026 sin el formato del TCF v2.3 siguieron siendo válidas hasta que el usuario actualizara o renovara sus preferencias. No fue necesario volver a mostrar la CMP a todos los usuarios.

Qué novedades trajo el TCF v2.2

El TCF v2.2 supuso una actualización importante respecto a la versión anterior, con cambios normativos orientados a aumentar la transparencia y dar a los usuarios más control sobre sus decisiones de consentimiento.

Eliminación del interés legítimo

Con el TCF v2.2, el interés legítimo dejó de ser una base jurídica válida para el tratamiento de datos relacionado con publicidad y personalización de contenido. Los proveedores solo pueden optar por el consentimiento explícito para estas finalidades.

Interfaz de usuario mejorada

La información requerida en la interfaz de las CMP se mejoró con textos estándar más claros, nuevas Características de tratamiento e ilustraciones de casos reales, para que los usuarios entiendan mejor a qué están accediendo y qué opciones tienen.

Retirada del consentimiento más sencilla

Los usuarios pueden cambiar de opinión y volver a acceder a la interfaz de la CMP para modificar o retirar su consentimiento en cualquier momento. El proceso de retirada debe ser tan sencillo como el de otorgarlo, lo que implica que la interfaz de la CMP debe ser fácilmente accesible y no estar escondida en el sitio web.

Mayor transparencia de proveedores

El TCF v2.2 estandarizó la información detallada sobre proveedores —categorías de datos y periodos de retención— y exige mostrarla en la capa secundaria de la CMP.

Programas de cumplimiento reforzados

Se implementaron nuevos mecanismos de auditoría y procedimientos de aplicación diferenciados, incluida la auditoría proactiva de un mayor número de CMP y proveedores seleccionados al azar cada mes.

¿Tienes dudas sobre si tu sitio web cumple con el RGPD? Compruébalo con el test gratuito de cumplimiento de Cookiebot CMP.

Cookiebot CMP and the New IAB Framework (TCF v2.4)

Cookiebot CMP y el nuevo marco de la IAB (TCF v2.4)

Las CMPs deben implementar las nuevas políticas y especificaciones del TCF v2.4 en entornos web antes del 23 de octubre de 2026, y en apps móviles y CTV antes del 23 de febrero de 2027. Esto incluye mostrar el nuevo texto explicativo y las ilustraciones estándar para cada característica, y reflejar el cambio de nombre de la Característica Especial 2, en la interfaz de la CMP. La integración de Cookiebot CMP con la IAB es compatible con el nuevo marco (TCF v2.4). Esta integración sigue siendo un complemento opcional al marco de consentimiento central de la solución Cookiebot CMP.

La integración consiste en un panel adicional en el banner de consentimiento de los sitios web registrados en la IAB, llamado «Ajustes de Publicidad». Desde ahí, los usuarios pueden elegir entre las Finalidades y los Proveedores de la IAB antes de enviar su decisión.

Recomendamos usar la integración del marco de la IAB como complemento, no como sustituto, de la solución habitual de Cookiebot CMP. Esto se debe a que el modelo de consentimiento de la IAB funciona señalizando el consentimiento del usuario a los proveedores de publicidad, mientras que Cookiebot CMP funciona bloqueando a los proveedores que no cuentan con consentimiento.

Es una diferencia clave porque, según el RGPD, es el editor (es decir, el propietario del sitio web) quien responde de todo el seguimiento y la recopilación de datos que ocurre en su dominio, incluido el realizado por terceros.

Cookiebot CMP permite no depender de la buena intención de los proveedores y da control real al propietario del sitio web, reforzando así el cumplimiento continuo del RGPD.

Para confirmar que los proveedores de publicidad respetan el consentimiento de los usuarios, la tecnología de escaneo patentada de Cookiebot CMP monitoriza todas las cookies y rastreadores similares que usan los proveedores en el sitio web, y los marca como no consentidos en el informe de escaneo.

Cookiebot CMP también es compatible con el Marco de Cumplimiento de la CCPA de la IAB.

La tecnología de escaneo patentada de Cookiebot CMP, clave para un cumplimiento continuo

Cookiebot CMP es una de las pocas plataformas de gestión del consentimiento del mercado que ofrece cumplimiento integral con las normativas de privacidad de todo el mundo.

Su tecnología de escaneo, sin comparación en el mercado, encuentra todas las cookies y rastreadores presentes en tu sitio web y toma el control automáticamente para bloquearlos hasta que el usuario haya dado su consentimiento, conforme a los requisitos del Reglamento General de Protección de Datos y la Directiva ePrivacy de la UE.

Cookiebot CMP realiza escaneos profundos mensuales de tu dominio para que siempre sepas qué tecnologías de seguimiento se cargan en tu sitio web a medida que evoluciona tu operativa. El informe de escaneo puede publicarse como declaración de cookies en tu sitio, por ejemplo, integrado en tu política de privacidad o de cookies.

El consentimiento debe renovarse periódicamente. Cada 12 meses es lo habitual, aunque algunas autoridades nacionales de protección de datos recomiendan una renovación más frecuente, como cada seis meses. Consulta las directrices de tu autoridad local y, si operas en varias jurisdicciones, aplica el plazo de renovación más corto como buena práctica.

Qué es el Marco de la IAB y cómo cumple los requisitos del RGPD

IAB Europe es una organización empresarial para anunciantes y profesionales del marketing online que desarrolla y gobierna estándares y buenas prácticas del sector, investiga y ofrece soporte legal.

De cara a la aplicación del Reglamento General de Protección de Datos (RGPD) en mayo de 2018, el IAB Tech Lab desarrolló, en colaboración con IAB Europe, el Marco de Transparencia y Consentimiento de IAB Europe.

El TCF establece una base común de cooperación entre editores, anunciantes y proveedores de gestión del consentimiento, que facilita el proceso de alcanzar y mantener el cumplimiento del RGPD.

Funciona como un sistema estandarizado para comunicar el estado del consentimiento del usuario entre las primeras partes (editores), los terceros (anunciantes) y la solución de gestión del consentimiento activa en el sitio web del editor.

Cuáles son los requisitos del RGPD y qué implican para los anunciantes

El RGPD establece requisitos estrictos sobre cómo se pueden recopilar, almacenar, usar y compartir los datos personales de los residentes europeos.

Requisitos para un consentimiento conforme al RGPD

Para que tu gestión del consentimiento cumpla el RGPD, debe reunir criterios específicos. Todo tratamiento de datos debe ampararse en una de seis bases jurídicas: consentimiento, obligación contractual, obligación legal, intereses vitales, interés público o interés legítimo. Cuando se recurre al consentimiento, debe obtenerse antes de que comience el tratamiento de datos, y retirarlo debe ser tan sencillo como otorgarlo.

El consentimiento debe ser:

La información sobre el consentimiento también debe almacenarse de forma segura y mantenerse actualizada. Ante una auditoría o una solicitud del interesado, debes poder acreditar qué aceptó el usuario, qué información se le mostró y cuándo se produjo esa acción.

Cuál es el propósito del Marco de la IAB

El propósito del Marco de la IAB es crear una cooperación estandarizada entre editores, anunciantes y las tecnológicas de gestión del consentimiento, de cara a cumplir los requisitos del RGPD en materia de transparencia y consentimiento del usuario.

Dentro del Marco, estos tres grupos se denominan «editores», «proveedores» y «CMP» (proveedores de gestión del consentimiento).

Editores, proveedores y CMP en el TCF de la IAB

Cómo funciona el TCF de la IAB

El Marco de la IAB permite comunicar el estado del consentimiento del usuario entre el ecosistema publicitario formado por los sitios web de los editores, los proveedores y las plataformas de gestión del consentimiento.

En el TCF, los editores eligen a sus proveedores de una lista de los que se han adherido al Marco: la Global Vendor List o GVL.

Para participar en el TCF, el proveedor acepta una serie de condiciones:

• Actualizar su código para no establecer cookies salvo que haya recibido una señal de consentimiento de una CMP, o salvo que cuente con una base jurídica aplicable para hacerlo.
• No tratar datos personales para una finalidad que requiera consentimiento hasta recibir esa señal directamente de una CMP.

La Global Vendor List es una especie de registro de proveedores autorizados que se han comprometido a cumplir las reglas del TCF. Cuando un editor se adhiere, selecciona en ella uno o varios proveedores con los que quiere asociarse.

El estado de consentimiento del usuario se almacena en una cookie propia en su navegador y se comparte a lo largo de la cadena de información publicitaria del TCF. Una vez que el usuario ha tomado su decisión, solo esos proveedores —y ningún otro— pueden tratar sus datos para las finalidades divulgadas correspondientes.