Cadre de transparence et de consentement IAB (TCF v2.4)

Quelles sont les récentes évolutions apportées par l'IAB au TCF (Transparency and Consent Framework) ?

Le 2 février 2022, l'Autorité belge de protection des données (APD) a jugé le TCF (Transparency and Consent Framework) de l'IAB non conforme à plusieurs dispositions du RGPD. Elle a exigé de l'IAB la présentation d'un plan d'action correctif afin de remédier à ces manquements et de rendre le cadre pleinement conforme au RGPD.

Pour répondre aux retours du marché, ainsi qu'à l'évolution de la jurisprudence et des recommandations des autorités nationales de protection des données, l'IAB a déployé le TCF v2.2. Cette version visait à renforcer la standardisation des informations présentées aux utilisateurs et à leur offrir un contrôle accru sur le traitement de leurs données personnelles.

Par la suite, le TCF v2.3 est entré en vigueur avec une date limite de mise en conformité fixée au 28 février 2026. Bien que de portée plus restreinte, cette mise à jour s'inscrivait dans la continuité des évolutions du cadre pour renforcer la transparence et la conformité en matière de vie privée.

Le cadre a depuis évolué vers la version TCF v2.4. L'IAB Tech Lab a publié les spécifications mises à jour ainsi que la nouvelle liste globale des prestataires (Global Vendor List - GVL) le 23 juillet 2026. Les CMP doivent intégrer ces nouvelles mentions d'information d'ici le 23 octobre 2026 pour les environnements web, et d'ici le 23 février 2027 pour les applications mobiles et la TV connectée (CTV).

Quelles sont les nouveautés du TCF v2.4 (Transparency and Consent Framework) de l'IAB ?

La mise à jour TCF v2.4 vise principalement à aider les utilisateurs à mieux comprendre les fonctionnalités (Features) des prestataires. Contrairement aux finalités (Purposes), ces fonctionnalités ne font pas l'objet d'un bouton d'activation/désactivation individuel.

Gestion du consentement multi-appareil

Conformément aux recommandations de la CNIL concernant le consentement cross-device, la politique de l'IAB offre désormais aux éditeurs plus de flexibilité pour conserver les choix de confidentialité d'un utilisateur sur plusieurs appareils (lorsqu'il est connecté à son compte, par exemple). Les CMP doivent impérativement informer l'utilisateur lorsque ses choix sont appliqués de cette manière. De plus, les règles de gestion des conflits ont été clarified — notamment lorsque les choix effectués durant la session diffèrent de ceux enregistrés sur le compte avant la connexion.

Textes explicatifs standardisés pour les fonctionnalités

La liste GVL intègre désormais le champ standardTexts, fournissant aux CMP des libellés uniformisés à afficher en face de chaque fonctionnalité. Ces textes précisent que les fonctionnalités constituent de simples moyens de traitement au service de finalités soumises au choix de l'utilisateur, évitant ainsi qu'elles ne soient confondues avec un paramètre contrôlable distinct.

Illustrations obligatoires pour les fonctionnalités

Dans l'interface de la CMP, chaque fonctionnalité doit désormais s'accompagner d'une illustration visuelle, alignant ainsi les exigences relatives aux fonctionnalités sur celles déjà en vigueur pour les finalités.

Fonctionnalité spéciale 2 renommée et mise à jour des consignes aux prestataires

La Fonctionnalité spéciale 2, auparavant intitulée « Balayer activement les caractéristiques du terminal pour l'identification », est désormais nommée « Identifier les appareils sur la base d'informations demandées activement ». Les consignes destinées aux prestataires (Chapitre V, Annexe A(D)) ont également été mises à jour pour cadrer la demande active de Client Hints à des fins de fingerprinting (empreinte numérique).

Suppression du contournement basé sur l'intérêt légitime pour les finalités spéciales

Le TCF v2.4 élimine une solution technique historique qui obligeait les CMP à attribuer la valeur 1 au bit d'intérêt légitime pour les prestataires déclarant uniquement des finalités spéciales (Special Purposes). Ce contournement n'a plus lieu d'être depuis la généralisation du segment des prestataires communiqués (Disclosed Vendors) dans le TCF v2.3 : les prestataires peuvent désormais vérifier leur présence auprès de l'utilisateur en lisant directement ce segment. La section Intérêt Légitime Prestataire de la chaîne TC (TC string) ne recense ainsi plus que les prestataires ayant effectivement déclaré un intérêt légitime.

Modalités de déploiement

La mise à jour de la liste GVL et ses traductions ont été publiées le 23 juillet 2026. Les nouveaux champs sont automatiquement intégrés par les CMP enregistrées auprès du TCF. Néanmoins, l'actualisation de l'interface des CMP pour afficher ces nouveaux textes et illustrations nécessite une mise à jour d'implémentation avant les échéances indiquées.

Quelles étaient les nouveautés du TCF v2.3 de l'IAB ?

Bien que de portée plus limitée que la version 2.2, la mise à jour TCF v2.3 du Transparency and Consent Framework (TCF) a apporté des ajustements essentiels pour renforcer la transparence et la conformité en matière de vie privée.

Le segment des prestataires communiqués (Disclosed Vendors) devient obligatoire

Cette évolution permet aux prestataires de vérifier plus efficacement s'ils sont autorisés à traiter des données au titre de finalités spéciales (Special Purposes). Depuis le 28 février 2026, tout signal de consentement créé ou mis à jour doit obligatoirement inclure le segment des prestataires communiqués. Les finalités spéciales peuvent être traitées sur la seule base de l'intérêt légitime, sans droit d'opposition pour l'utilisateur, à condition que les prestataires concernés soient explicitement présentés via la CMP.

Alors que cette gestion reposait auparavant sur des solutions techniques sous-optimales, le TCF v2.3 apporte une visibilité claire sur les prestataires déclarés.

Les signaux de consentement enregistrés avant le 28 février 2026 sans la structure v2.3 restent valides jusqu'à ce que l'utilisateur mette à jour ou réitère ses choix. Il n'était donc pas nécessaire de re-déclencher l'affichage du bandeau de consentement pour l'ensemble des utilisateurs.

Quelles étaient les nouveautés du TCF v2.2 de l'IAB ?

Le Transparency and Consent Framework (TCF) v2.2 a marqué une évolution majeure de la politique de l'IAB, pensée pour renforcer la transparence et offrir aux utilisateurs un contrôle accru sur leurs données.

Suppression de l'intérêt légitime pour la publicité et la personnalisation

Depuis le TCF v2.2, l'intérêt légitime ne peut plus servir de base juridique pour le traitement des données liées à la publicité et à la personnalisation des contenus. Les prestataires doivent désormais s'appuyer exclusivement sur le consentement explicite pour ces finalités.

Optimisation de l'interface utilisateur (UI)

Les exigences d'information au sein des plateformes de gestion du consentement (CMP) ont été enrichies : intégration de descriptions standardisées plus accessibles, ajout de nouvelles fonctionnalités de traitement et illustrations d'exemples concrets pour aider l'utilisateur à comprendre facilement la portée de ses choix.

Facilité de retrait du consentement

Les utilisateurs doivent pouvoir modifier leurs préférences ou retirer leur consentement à tout moment aussi simplement qu'ils l'ont accordé. En pratique, l'interface de la CMP doit être immédiatement accessible sur le site, sans obliger l'utilisateur à chercher un lien enfoui en bas de page.

Transparence accrue sur les prestataires

La présentation détaillée des informations relatives aux prestataires (notamment les catégories de données collectées et leurs durées de conservation) a été normalisée et doit être consultable dès le second niveau d'information de la CMP.

Renforcement des programmes de conformité

De nouveaux mécanismes d'audit et des procédures de sanction graduées ont été mis en place, incluant le contrôle proactif d'un échantillon aléatoire plus vaste de CMP et de prestataires chaque mois.

Un doute sur la conformité RGPD de votre site web ? Évaluez votre niveau de conformité grâce au test gratuit Cookiebot CMP.

Cookiebot CMP et le nouveau cadre TCF v2.4 de l'IAB

Les CMP doivent déployer les nouvelles règles et spécifications du TCF v2.4 avant le 23 octobre 2026 pour les environnements web, et avant le 23 février 2027 pour les applications mobiles et la TV connectée (CTV). Cela implique d'intégrer dans l'interface de la CMP les nouveaux textes explicatifs standardisés, les illustrations pour chaque fonctionnalité, ainsi que le nouveau libellé de la Fonctionnalité spéciale 2. L'intégration IAB de Cookiebot CMP prend entièrement en charge le cadre TCF v2.4.

L'intégration du TCF v2.4 au sein de Cookiebot CMP demeure un module complémentaire optionnel à notre solution centrale de gestion du consentement.

Concrètement, cette intégration ajoute un volet supplémentaire intitulé « Paramètres publicitaires » dans le bandeau de consentement des sites enregistrés auprès de l'IAB. Depuis ce panneau, les utilisateurs peuvent configurer leurs choix par finalité (Purposes) et par prestataire (Vendors) IAB avant de valider leur consentement.

Nous recommandons d'utiliser le cadre IAB en complément — et non en remplacement — de la solution Cookiebot CMP standard. En effet, le modèle de l'IAB repose sur la transmission d'un signal de consentement aux régies publicitaires, tandis que Cookiebot CMP agit directement en bloquant les traceurs des prestataires non consentis.

Cette distinction est capitale : selon le RGPD, le propriétaire du site (l'éditeur) porte la responsabilité juridique de l'ensemble des collectes de données et des traitements réalisés sur son domaine, y compris par des tiers.

Cookiebot CMP élimine ainsi toute dépendance vis-à-vis de la bonne foi des prestataires et redonne le contrôle effectif au propriétaire du site. En combinant Cookiebot CMP et le cadre TCF v2.4 de l'IAB, vous sécurisez votre conformité RGPD en continu.

De plus, pour garantir que les choix des utilisateurs sont scrupuleusement respectés par les régies publicitaires, la technologie de balayage brevetée de Cookiebot CMP audit l'ensemble des cookies et traceurs du site, en signalant explicitement toute non-conformité dans son rapport de scan.

Cookiebot CMP prend également en charge le cadre de conformité CCPA de l'IAB.

La technologie de balayage brevetée de Cookiebot CMP sécurise votre conformité en continu

Cookiebot CMP figure parmi les rares plateformes de gestion du consentement du marché garantissant une conformité intégrale avec les réglementations mondiales sur la protection de la vie privée.

Grâce à une technologie de balayage inégalée, Cookiebot CMP détecte la totalité des cookies et traceurs actifs sur votre site web. La plateforme en prend automatiquement le contrôle et bloque leur exécution jusqu'à l'obtention du consentement explicite de l'utilisateur, conformément aux exigences du RGPD et de la directive ePrivacy.

Chaque mois, Cookiebot CMP réalise un audit en profondeur de votre domaine afin de vous offrir une visibilité permanente sur les technologies de suivi déployées, au rythme des évolutions de votre site. Le rapport d'audit peut être publié directement sous forme de déclaration relative aux cookies, parfaitement intégrée à votre politique de confidentialité ou à votre charte cookies.

Le consentement doit être renouvelé périodiquement. Bien qu'une échéance de 12 mois soit généralement observée, certaines autorités de contrôle recommandent un renouvellement plus fréquent, par exemple tous les six mois. Consultez vos lignes directrices locales et, si vous êtes soumis à plusieurs juridictions, privilégiez la période de renouvellement la plus courte afin de garantir une conformité optimale.

Qu'est-ce que le cadre IAB et comment répond-il aux exigences du RGPD ?

’Interactive Advertising Bureau Europe (IAB Europe) est une organisation professionnelle regroupant les acteurs de la publicité et du marketing en ligne. Elle définit les normes du secteur, promeut les bonnes pratiques, mène des études et apporte un soutien juridique à l'écosystème.

En vue de l'entrée en vigueur du Règlement général sur la protection des données (RGPD) en mai 2018, l'IAB Tech Lab a développé, en collaboration avec l'IAB Europe, un cadre d'application dédié : le Transparency & Consent Framework (TCF).

Le TCF établit un socle d'interopérabilité commun entre les éditeurs, les régies publicitaires et les plateformes de gestion du consentement (CMP), facilitant ainsi l'obtention et le maintien de la conformité au RGPD.

Concrètement, le TCF sert de protocole standardisé pour transmettre le signal de consentement de l'utilisateur entre le site hôte (first party), les partenaires publicitaires (third parties) et la solution CMP déployée sur le domaine.

Exigences du RGPD : Quels enjeux pour les annonceurs ?

Le RGPD encadre strictement la collecte, le stockage, l'utilisation et le partage des données personnelles des résidents européens.

Les critères d'un consentement conforme au RGPD

Pour garantir la conformité de votre système de gestion du consentement, celui-ci doit répondre à des critères précis. Tout traitement de données doit obligatoirement s'appuyer sur l'une des six bases légales prévues par le règlement : le consentement, l'exécution d'un contrat, l'obligation légale, la sauvegarde des intérêts vitaux, l'exécution d'une mission d'intérêt public ou l'intérêt légitime. Lorsque le consentement est requis, il doit être recueilli au plus tard au moment où débute la collecte de données. De plus, sa révocation doit être aussi simple que son octroi.

Les informations relatives au consentement doivent également être stockées de manière sécurisée et conservées à jour au fil du temps. En cas d'audit ou de demande de la personne concernée, vous devez être en mesure de fournir les détails de l'accord donné, les informations présentées à l'utilisateur, ainsi que l'horodatage exact de son action.

Quel est l'objectif du cadre de l'IAB ?

L'objectif du cadre de l'IAB (Transparency and Consent Framework) est de former un socle de coopération standardisé entre les éditeurs en ligne, les régies publicitaires et les éditeurs de solutions de gestion du consentement, afin de répondre aux exigences du RGPD en matière de transparence et de consentement des utilisateurs.

Au sein de ce cadre, ces trois acteurs sont désignés sous les termes d'« éditeurs » (publishers), de « prestataires » (vendors) et de « CMP » (Consent Management Providers ou plateformes de gestion du consentement).

Éditeurs, prestataires et CMP dans le cadre du TCF de l'IAB

Comment fonctionne le TCF de l'IAB ?

Le cadre TCF de l'IAB permet de transmettre le signal de consentement des utilisateurs au sein de l'écosystème publicitaire et éditorial, reliant ainsi les sites des éditeurs, les prestataires et les plateformes de gestion du consentement (CMP).

Dans le cadre du TCF, les éditeurs sélectionnent leurs partenaires parmi une liste de prestataires ayant adhéré au cadre. Cette liste est appelée la liste globale des prestataires (Global Vendor List ou GVL).

Pour adhérer au TCF, chaque prestataire s'engage à respecter un ensemble de règles strictes :

• Mise à jour de leur code : S'assurer qu'aucun cookie n'est déposé sans avoir reçu au préalable un signal de consentement valide émis par une CMP, ou sans disposer d'une base légale applicable.
• Condition de traitement des données : Ne traiter aucune donnée personnelle pour une finalité reposant sur le consentement tant qu'un signal de consentement direct n'a pas été transmis par la CMP.

La liste GVL agit comme un registre officiel de prestataires autorisés ayant souscrit aux exigences du TCF. Lors de sa configuration, l'éditeur sélectionne dans cette liste les prestataires avec lesquels il souhaite collaborer.

Le choix de consentement de l'utilisateur est stocké dans son navigateur via un cookie first-party, puis transmis tout au long de la chaîne d'information publicitaire du TCF. Une fois le choix exprimé, seuls les prestataires sélectionnés — et aucun autre — sont autorisés à traiter les données de l'utilisateur pour les finalités dûment présentées.