IAB TCF: hvem har brug for det?

Hvad er IAB TCF?

Transparency & Consent Framework (TCF) er en standard fra IAB Europe, brancheorganisationen for den europæiske digitale annoncebranche. Den blev bygget til websites og apps, der tjener penge på at vise andres annoncer.

Når du sælger annonceplads, kan dusinvis eller endda hundredvis af ad tech-leverandører byde på hver annoncevisning bag kulisserne. Hver af dem skal vide, om den besøgende har givet samtykke, og til hvad. Det standardiserer TCF: dit samtykkebanner registrerer valget i en kodet streng, TC-strengen, og alle leverandører læser den på samme måde.

For at det kan fungere, bruger TCF en fast liste over formål, f.eks. "brug profiler til at vælge personaliseret annoncering" og "mål annonceresultater", og Global Vendor List: de leverandører, der er registreret hos IAB Europe. Rammen revideres jævnligt; den nuværende version, TCF v2.3, har været obligatorisk siden marts 2026.

Hvem har brug for det?

Du har brug for TCF, hvis du sælger annonceplads, altså hvis du viser andres annoncer på dit website eller i din app. For eksempel via:

• Google AdSense, Google Ad Manager eller AdMob;
• andre annoncenetværk eller platforme til programmatisk annoncering;
• header bidding, hvor flere parter byder på dine annoncepladser.

For Googles produkter er det et fast krav. Siden 16. januar 2024 skal udgivere, der viser personaliserede annoncer til brugere i EØS eller Storbritannien, bruge en Google-certificeret platform til samtykkehåndtering (CMP), der er integreret med TCF; for Schweiz gælder det siden 31. juli 2024. Uden en sådan er din trafik ikke længere berettiget til personaliserede annoncer fra Google og får højst ikke-personaliserede eller begrænsede annoncer.

Det gælder primært nyhedssites, blogs og sammenligningssites, der lever af annonceindtægter.

Viser du andres annoncer, er du også selv ansvarlig for samtykket. I sagen om DMI (februar 2020) fandt Datatilsynet, at DMI og Google var fælles dataansvarlige for indsamlingen og videregivelsen af oplysninger om de besøgende, da DMI viste annoncer fra Googles annonceplatform på dmi.dk, og at DMI ikke havde et gyldigt samtykke. Tilsynet udtalte alvorlig kritik.

Hvem har ikke brug for det?

De fleste websites har ikke brug for TCF:

• Webshops, også hvis du annoncerer med Google Ads eller Meta.
• Virksomhedswebsites, også med Google Analytics, LinkedIn Insight Tag eller andre marketingtags.
• Blogs og websites uden annoncer fra tredjeparter.
• SaaS-virksomheder og andre websites, der skaffer kunder, men ikke sælger annonceplads.

Forskellen er retningen. Hvis du annoncerer, køber du annoncer og måler resultaterne på dit eget website. Du har brug for samtykke fra dine besøgende og, hvis du bruger Google, Google Consent Mode v2. Hvis du viser annoncer, sælger du plads til andre, og først da kommer TCF ind i billedet.

Hvorfor ikke slå det til for en sikkerheds skyld?

At slå TCF til, når du ikke har brug for det, har kun ulemper:

• Et mere indviklet banner. De besøgende ser en lang liste over formål og nogle gange hundredvis af leverandører, ofte også med kontakter for "legitim interesse". Det er svært at forstå og sænker som regel andelen af besøgende, der giver samtykke.
• Mere at vedligeholde. Du skal beslutte, hvilke leverandører du tillader, og leverandørlisten og TCF-reglerne ændrer sig med hver ny version.
• Ingen fordel. Google kræver ikke TCF af annoncører: for Google Ads og Analytics er standardvejen dit banner plus Consent Mode v2. Googles annoncetags kan læse en TC-streng, men kun hvis du bevidst slår det til.

TCF har også selv været under juridisk lup. I 2022 fandt den belgiske databeskyttelsesmyndighed, at rammen overtrådte GDPR. I marts 2024 afgjorde EU-Domstolen, at en TC-streng kan være en personoplysning, og at IAB Europe kan være fælles dataansvarlig for den. I maj 2025 annullerede den belgiske markedsdomstol afgørelsen af processuelle grunde, men stadfæstede bøden på 250.000 € og fastslog, at IAB Europe kun er fælles dataansvarlig for behandlingen af TC-strenge. IAB Europe har siden tilpasset rammen.

Hvad du har brug for i stedet

For et website uden annoncer fra tredjeparter er dette nok:

1. Et cookiebanner, der beder om samtykke først, med "Accepter" og "Afvis" side om side.
2. Blokering indtil samtykke: marketing- og statistikcookies indlæses først, når den besøgende har sagt ja.
3. Google Consent Mode v2, hvis du bruger Google Ads eller Google Analytics. Se Google Consent Mode v2 forklaret.
4. En cookiepolitik og dokumentation for samtykke.

Cookie Confirm dækker de fire punkter med et kort, klart banner uden en liste over hundredvis af leverandører. Viser du annoncer via Google AdSense eller Ad Manager, så tjek, at dit samtykkebanner er certificeret af Google til TCF.

Kilder

• IAB Europe: Transparency & Consent Framework
• IAB Europe: Overgangen til TCF v2.3
• Google Ad Manager Hjælp: Krav til samtykkehåndtering ved visning af annoncer i EØS, Storbritannien og Schweiz
• Google AdSense Hjælp: Nye krav til samtykke for trafik i Schweiz
• Google Ads Hjælp: Google Ads-integration med IAB TCF
• Den belgiske databeskyttelsesmyndighed: EU-Domstolen besvarer de forelagte spørgsmål i IAB Europe-sagen
• Den belgiske databeskyttelsesmyndighed: Markedsdomstolen afsiger dom i IAB Europe-sagen
• EU-Domstolen: sag C-604/22, IAB Europe
• Datatilsynet: DMI’s behandling af personoplysninger om hjemmesidebesøgende (11. februar 2020)