Cadre de transparence et de consentement de l’IAB (TCF v2.2)

Pourquoi l’IAB a-t-elle apporté des modifications au Cadre de transparence et de consentement ?

Le 2 février 2022, l’APD belge a constaté que le Cadre de transparence et de consentement (TCF) de l’IAB n’était pas conforme à plusieurs dispositions du RGPD. Elle a demandé à l’IAB de présenter un plan d’action pour mettre en œuvre des mesures correctives afin de remédier aux infractions et de mettre le TCF en conformité avec le RGPD.

En réponse aux réactions du marché, ainsi qu’à l’évolution de la jurisprudence et des directives de diverses autorités nationales de protection des données, l’IAB a mis en œuvre le TCF v2.2. Ce nouveau cadre vise à améliorer la normalisation des informations présentées aux utilisateurs et à leur donner plus de contrôle sur la manière dont leurs données personnelles sont traitées.

Le TCF v2.2 comprend certaines mesures liées au plan d’action que l’IAB a soumis à l’APD belge.

Quelles sont les nouveautés apportées par la version 2.2 du Cadre de transparence et de consentement de l’IAB (TCF v.2.2) ?

La version 2.2 du Cadre de transparence et de consentement (TCF) offre une importante révision de la version précédente, avec des changements réglementaires visant à accroître la transparence et à donner aux utilisateurs un plus grand contrôle sur leurs choix en matière de consentement.

Suppression de l’intérêt légitime

Le TCF v2.2 n’autorise plus l’intérêt légitime comme base juridique pour les opérations de traitement des données liées à la publicité et à la personnalisation du contenu. Les fournisseurs ne peuvent désormais sélectionner que le consentement explicite comme base juridique acceptable à ces fins.

Amélioration de l’interface utilisateur (IU)

Les informations requises dans l’interface utilisateur des plateformes de gestion du consentement (CMP) ont été améliorées pour inclure des textes standard conviviaux, de nouvelles caractéristiques de traitement et des illustrations de cas d’utilisation réels afin de permettre aux utilisateurs de comprendre plus facilement ce à quoi ils consentent et quelles sont les options qui s’offrent à eux.

Facilitation du retrait du consentement

Les utilisateurs peuvent désormais changer d’avis sur le partage de leurs données avec les fournisseurs, et ils doivent pouvoir accéder à nouveau à l’interface utilisateur de la CMP pour modifier ou retirer leur consentement à tout moment. La procédure de retrait du consentement doit être aussi simple que la procédure d’octroi du consentement. En pratique, l’interface utilisateur de la CMP doit être facilement accessible aux utilisateurs et ne doit pas être enfouie sur le site web ou l’application, où les utilisateurs doivent chercher pour la trouver.

Plus de transparence de la part des fournisseurs

Des informations détaillées sur les fournisseurs concernant les catégories de données et les périodes de conservation sont normalisées dans le cadre du TCF v2.2 et doivent être fournies aux utilisateurs dans la ou les couches secondaires des interfaces utilisateur du CMP.

Amélioration des programmes de conformité

De nouveaux mécanismes d’audit et des procédures d’application différenciées seront mis en œuvre, y compris l’audit proactif d’un plus grand nombre de CMP et de fournisseurs sélectionnés au hasard chaque mois.

Pour en savoir plus sur le nouveau TCF v2.2 de l’IAB, cliquez ici (en anglais). Pour plus d’informations sur les modifications techniques de l’IAB TCF v2.2, consultez le site web de l’IAB Tech Lab (en anglais).

Vous avez un doute sur la conformité de votre site web avec le RGPD ? Vérifiez avec le test de conformité gratuit Cookiebot CMP.

Cookiebot CMP et le nouveau Cadre de l’IAB (TCF v2.2)

Les CMP doivent mettre en œuvre les nouvelles politiques et spécifications du TCF v2.2 d’ici le 20 novembre 2023. L’intégration IAB de Cookiebot CMP prend en charge le nouveau cadre de l’IAB (TCF v2.2).

L’intégrationCookiebot CMPavec le Cadre de transparence et de consentement v.2.2 de l’IAB reste un complément facultatif au cadre de consentement de base dans la solution Cookiebot CMP.

L’intégration Cookiebot CMP consiste en un panneau supplémentaire dans le bandeau de consentement des sites web enregistrés auprès de l’IAB, comme illustré ci-dessus.

Ce panneau s’appelle « Paramètres des annonces » et, à partir de là, les utilisateurs finaux peuvent choisir entre les objectifs de l’IAB et les fournisseurs avant de soumettre leur consentement.

Nous recommandons d’utiliser l’intégration du cadre de l’IAB en complément et non en remplacement de la solution Cookiebot CMP habituelle.

En effet, le modèle de consentement de l’IAB fonctionne en signalant le consentement de l’utilisateur aux fournisseurs de publicité, tandis que le modèle de consentement Cookiebot CMP fonctionne en bloquant les fournisseurs pour lesquels le consentement n’a pas été donné.

Il s’agit d’une différence essentielle car, selon le RGPD, c’est l’éditeur (c’est-à-dire vous, le propriétaire du site web) qui est responsable du suivi et de la collecte de données personnelles ayant lieu sur son domaine – y compris par des tiers.

Cookiebot CMP élimine la dépendance à la bonne foi des fournisseurs et donne un véritable contrôle au propriétaire du site web. En utilisant Cookiebot CMP en tant qu’intégration dans le cadre de l’IAB (TCF v2.2), vous vous assurez une véritable conformité avec le RGPD.

Pour garantir que les fournisseurs de publicité respectent le consentement des utilisateurs, la technologie de scanner de Cookiebot CMP surveille tous les cookies et autres dispositifs de suivi similaires utilisés par les fournisseurs sur le site web et les signale comme non consensuels dans le rapport d’analyse.

Pour en savoir plus sur la mise en œuvre et les détails techniques du cadre de l’IAB (TCF v2.2) et de Cookiebot CMP, consultez notre article sur l’assistance technique (en anglais).

Cookiebot CMP prend également en charge le cadre de conformité CCPA de l’IAB. Pour en savoir plus, cliquez ici (en anglais).

La technologie de scanner inégalée de Cookiebot CMP

Cookiebot CMP est l’une des rares plateformes de gestion du consentement totalement conforme sur le marché.

La technologie de scanner inégalée de Cookiebot CMP détecte tous les cookies et les traceurs, puis prend automatiquement le contrôle jusqu’à ce que les utilisateurs aient donné leur consentement, ce qui permet une véritable conformité avec le règlement général sur la protection des données et la directive ePrivacy de l’UE.

Cookiebot CMP effectue des analyses mensuelles approfondies de votre domaine pour s’assurer que vous savez toujours quels traceurs et chevaux de Troie tiers se chargent sur votre site web.

Vous trouverez ici des informations alarmantes sur le suivi des sites web.

Cookiebot CMP présente ensuite un véritable choix de consentement à vos utilisateurs grâce à notre bandeau de consentement.

Votre rapport d’analyse peut être publié comme déclaration de cookies sur votre site web, par exemple comme partie intégrante de la politique de confidentialité de votre site web ou de la politique de cookies.

Le consentement doit être renouvelé chaque année. Toutefois, certaines directives nationales sur la protection des données recommandent un renouvellement plus fréquent, par exemple tous les 6 mois. Vérifiez la conformité de votre site web aux directives locales en matière de protection des données.

Qu’est ce que le Cadre de l’IAB et comment répond-il aux exigences du RGPD ?

L’IAB Europe (Interactive Advertising Bureau) est une organisation commerciale pour les annonceurs et les spécialistes du marketing en ligne, qui développe et régit les normes et les meilleures pratiques du secteur, effectue des recherches et fournit un soutien juridique.

En préparation de l’application de la législation européenne sur la protection des données et de la vie privée, le règlement général sur la protection des données (RGPD) en mai 2018, l’IAB Tech Lab a développé un cadre en collaboration avec IAB Europe.

Ce cadre est appelé leCadre de transparence et de consentement de l’IAB Europe (lien vers le site, en anglais).

Le Cadre de l’IAB établit une base commune de coopération entre les éditeurs, les annonceurs et les fournisseurs de gestion du consentement qui peut contribuer à faciliter le processus de respect des exigences du RGPD.

Le Cadre fonctionne en particulier comme un moyen standardisé pour communiquer l’état du consentement de l’utilisateur entre les premières parties telles que les éditeurs, les tiers tels que les annonceurs, et la plateforme de gestion des consentements utilisée sur le site web.

Quelles sont les exigences du RGPD et que signifient-elles pour les annonceurs ?

Le règlement général sur la protection des données (RGPD) fixe des exigences strictes quant à la manière dont on peut enregistrer, stocker, utiliser et partager des données personnelles.

Exigences relatives au consentement conforme dans le RGPD

Pour que votre gestion des consentements soit conforme, il faut que le consentement soit :

• Informé : Quelles données sont traitées et dans quel but ? L’utilisateur doit pouvoir clairement identifier ce à quoi il donne son consentement.
• Basé sur un choix réel : l’utilisateur ne doit pas être contraint d’accepter les cookies.
• Donné au moyen d’une action affirmative et non ambiguë.
• Donné avant que le traitement initial des données n’ait lieu.
• Rétractable : Il doit être aussi facile pour l’utilisateur de retirer à nouveau son consentement que de le donner au départ.

En outre,

• L’utilisateur a le droit a l’oubli. À la demande de l’utilisateur, toutes ses données personnelles doivent être correctement supprimées.
• Tous les consentements donnés doivent être enregistrés comme preuve que le consentement a été donné.

Avec le RGPD, les entreprises, les organisations et les sites web ne peuvent traiter les données de leurs utilisateurs que s’ils ont leur consentement spécifique ou si la finalité entre dans l’une des autres catégories des six motifs légaux de traitement des données.

Le RGPD est extrêmement large, tant sur le plan géographique que sur celui de la portée et de la gravité.

Géographiquement, car il couvre non seulement toutes les organisations opérant au sein des nations de l’UE, mais aussi toutes les organisations situées en dehors de l’UE et qui comptent des citoyens de l’UE parmi leurs utilisateurs.

En termes de portée, en raison de sa définition large des données à caractère personnel.

Les données personnelles dans le RGPD ne sont pas seulement des données qui sont directement liées à un individu, comme un nom ou un numéro d’identification, mais aussi des données qui peuvent être isolées ou reliées à d’autres données afin d’identifier une personne réelle.

Par exemple, des données de localisation combinées à des données sur les intérêts personnels ou professionnels, ou des données relatives à l’identité physique, physiologique, génétique, mentale, économique, culturelle ou sociale de l’individu.

Cette définition large signifie, en pratique, que les cookies marketing et tous les autres types de suivi qui, par exemple, enregistrent, stockent ou partagent le comportement et les préférences des utilisateurs, sont soumis au RGPD.

Cela concerne pratiquement l’ensemble du secteur des annonceurs et des spécialistes du marketing en ligne, ainsi que tous les acteurs de cet écosystème, y compris, à grande échelle, les éditeurs sur Internet, qui utilisent les réseaux publicitaires comme une source importante de revenus.

En termes de sévérité, car les amendes pour non-conformité sont très élevées : 4 % du chiffre d’affaires annuel global ou 20 millions d’euros – le montant le plus élevé étant retenu.

Quel est l’objectif du Cadre de l’IAB ?

L’objectif du Cadre de l’IAB est de créer une coopération standardisée entre les éditeurs en ligne, les annonceurs et les entreprises technologiques qui fournissent des plateformes de gestion du consentement pour répondre aux exigences du RGPD en matière de transparence et de consentement des utilisateurs.

Dans le Cadre, ces trois groupes sont appelés « publishers » (éditeurs), « vendors » (fournisseurs) et « CMP » (fournisseurs de gestion du consentement).

Que sont les éditeurs, les fournisseurs et les CMP en vertu du Cadre de l’IAB, et quelle est leur relation ?

• Selon le Cadre de l’IAB, les éditeurs (« publishers ») sont des médias numériques qui publient du contenu sur Internet. En général, les éditeurs représentent le propriétaire, c’est-à-dire le site web auquel l’utilisateur a cherché à accéder. Dans le secteur de la publicité numérique, les éditeurs sont souvent dépendants de l’affichage de publicités de tiers sur leurs sites web afin de monétiser les vues. Ce problème est généralement résolu en utilisant un réseau publicitaire qui dirige les annonces pertinentes vers les utilisateurs qui accèdent au contenu de l’éditeur. Dans le contexte du TCF, les réseaux publicitaires et les annonceurs sont appelés « fournisseurs ».
• Les fournisseurs (« vendors »), selon le Cadre de l’IAB, sont les annonceurs tiers avec lesquels l’éditeur a choisi de s’associer. Les fournisseurs affichent le contenu de tiers sur le site web de l’éditeur. Ce sont eux qui placent des cookies marketing sur le navigateur de l’utilisateur final, afin d’afficher des publicités pertinentes pour les clients potentiels.
• Les fournisseurs de gestion du consentement (« CMP ») fournissent la technologie qui permet à l’utilisateur de consentir au traitement des données sur le site web de l’éditeur. Dans le Cadre de l’IAB, ils signalent les paramètres de consentement des utilisateurs finaux aux fournisseurs opérant sur le site web actuel.

Comment fonctionne le Cadre de l’IAB ?

En pratique, le Cadre del’IAB fonctionne comme un système de communication de l’état du consentement de l’utilisateur entre les propriétaires (c’est-à-dire les éditeurs), les tiers (c’est-à-dire les annonceurs) et le fournisseur de gestion du consentement utilisé sur le site web du propriétaire.

Dans le Cadre de l’IAB, les éditeurs sélectionnent les fournisseurs de leur choix dans une liste de fournisseurs qui se sont inscrits au Cadre de l’IAB.

Cette liste est appelée « Global Vendor List » ou « GVL ».

Afin de participer au cadre, le vendeur doit accepter une série de conditions, telles que…

• Mettre à jour leur code afin que les cookies ne soient pas placés à moins qu’ils n’aient reçu un signal de consentement d’un CMP ou qu’ils ne disposent d’une base juridique applicable pour placer un cookie.
• Ne pas traiter de données à caractère personnel pour une finalité qui nécessite le consentement avant d’avoir reçu un signal de consentement directement d’un CMP ou dans le cadre d’une demande en ligne à cette fin.

On peut donc considérer la Global Vendor List comme une sorte de registre de fournisseurs « sur liste blanche » car ils ont adhéré aux règles du Cadre de l’IAB.

Lorsqu’un éditeur s’inscrit au Cadre de l’IAB, il sélectionne un ou plusieurs fournisseurs de la Global Vendor List avec lesquels il souhaite établir un partenariat.

Le statut de consentement de l’utilisateur est stocké dans un cookie propriétaire dans le navigateur de l’utilisateur, et partagé tout au long de la chaîne d’information publicitaire dans le Cadre de l’IAB.

Une fois que l’utilisateur a fait sa sélection, ces fournisseurs (et aucun autre) ont accès au traitement des données de l’utilisateur pour les finalités pertinentes.

Cookiebot CMP pour la conformité avec le RGPD & la CCPA via l’IAB

En utilisant Cookiebot CMP comme plateforme de gestion du consentement de votre site web, vous pouvez assurer la conformité avec le RGPD de l’UE et la CCPA de Californie.

Grâce à l’intégration IAB (TCF v2.2) de Cookiebot CMP, les annonceurs et les éditeurs garantissent la conformité de la collecte et du traitement des données à tous les niveaux.

FAQ

Ressources

L’IAB met à jour son Transparency and Consent Framework (en anglais)

Page d’accueil de l’IAB Framework (en anglais)

iProspect : Que retenir de l’IAB TCF ?

IAB France : TCF v2.0 – De nouvelles modalités de contrôle

IAB France : L’IAB France présente son guide sur le RGPD

IAB Europe : La spécification du cadre de transparence et de consentement est lancée au niveau mondial alors que la participation de l’industrie augmente (en anglais)

IAB Tech Lab : GDPR Transparency and Consent Framework (en anglais)

Le règlement général sur la protection des données

IAB Europe – Webinar : IAB Europe’s Transparency and Consent Framework – Deep Dive on the Technical Specification (en anglais)