Mikä IAB TCF on?
Transparency & Consent Framework (TCF) on IAB Europen, eurooppalaisen digitaalisen mainosalan järjestön, standardi. Se on tehty sivustoille ja sovelluksille, jotka ansaitsevat rahaa näyttämällä muiden mainoksia.
Kun myyt mainostilaa, kymmenet tai jopa sadat mainosteknologiatoimittajat voivat tehdä kulissien takana tarjouksen jokaisesta mainosnäytöstä. Jokaisen niistä on tiedettävä, antoiko kävijä suostumuksen ja mihin. TCF standardoi tämän: suostumusbannerisi tallentaa valinnan koodattuun merkkijonoon, TC-merkkijonoon (TC string), ja jokainen toimittaja lukee sen samalla tavalla.
Tätä varten TCF käyttää kiinteää luetteloa käyttötarkoituksista, kuten "profiilien käyttäminen personoidun mainonnan valitsemiseen" ja "mainonnan tehokkuuden mittaaminen", sekä Global Vendor Listiä eli IAB Europeen rekisteröityjen toimittajien luetteloa. Kehystä päivitetään säännöllisesti; nykyinen versio, TCF v2.3, on ollut pakollinen maaliskuusta 2026 lähtien.
Kuka sitä tarvitsee?
Tarvitset TCF:n, jos myyt mainostilaa eli näytät muiden mainoksia sivustollasi tai sovelluksessasi. Esimerkiksi:
- Google AdSensen, Google Ad Managerin tai AdMobin kautta;
- muiden mainosverkostojen tai ohjelmallisen mainonnan alustojen kautta;
- header biddingin avulla, jossa useat osapuolet tekevät tarjouksia mainospaikoistasi.
Googlen tuotteissa tämä on ehdoton vaatimus. 16. tammikuuta 2024 alkaen julkaisijoiden, jotka näyttävät personoituja mainoksia ETA-alueen tai Ison-Britannian käyttäjille, on käytettävä Googlen sertifioimaa, TCF:ään integroitua suostumustenhallinta-alustaa (CMP); Sveitsissä tämä on ollut voimassa 31. heinäkuuta 2024 alkaen. Ilman sitä liikenteesi ei enää ole oikeutettu Googlen personoituihin mainoksiin, vaan saa korkeintaan personoimattomia tai rajoitettuja mainoksia.
Tämä koskee lähinnä uutissivustoja, blogeja ja vertailusivustoja, jotka elävät mainostuloilla.
Kuka ei tarvitse sitä?
Useimmat sivustot eivät tarvitse TCF:ää:
- Verkkokaupat, vaikka mainostaisit Google Adsissa tai Metassa.
- Yrityssivustot, vaikka käyttäisit Google Analyticsia, LinkedIn Insight Tagia tai muita markkinointitageja.
- Blogit ja sivustot ilman kolmansien osapuolten mainoksia.
- SaaS-yritykset ja muut sivustot, jotka hankkivat asiakkaita mutta eivät myy mainostilaa.
Ero on suunnassa. Jos mainostat, ostat mainoksia ja mittaat tuloksia omalla sivustollasi. Tarvitset kävijöidesi suostumuksen ja, jos käytät Googlea, Google Consent Mode v2:n. Jos näytät mainoksia, myyt tilaa muille, ja vasta silloin TCF tulee kuvaan.
| Tilanteesi | Suostumus evästebannerilla | Google Consent Mode v2 | IAB TCF |
|---|---|---|---|
| Verkkokauppa tai yrityssivusto, jossa Google Ads ja Analytics | Kyllä | Kyllä | Ei |
| Sivusto, jossa vain Meta Pixel tai LinkedIn Insight Tag | Kyllä | Vain Googlen tagien kanssa | Ei |
| Blogi tai uutissivusto, jossa Google AdSense | Kyllä | Kyllä | Kyllä |
| Sivusto, jossa Google Ad Manager tai header bidding | Kyllä | Kyllä | Kyllä |
Miksi ei kytkeä sitä päälle varmuuden vuoksi?
TCF:n käyttöönotosta ilman tarvetta on vain haittaa:
- Monimutkaisempi banneri. Kävijät näkevät pitkän luettelon käyttötarkoituksia ja joskus satoja toimittajia, usein myös "oikeutetun edun" valitsimineen. Sitä on vaikea ymmärtää, ja se yleensä laskee suostumuksen antavien kävijöiden osuutta.
- Enemmän ylläpidettävää. Sinun on päätettävä, mitkä toimittajat sallit, ja toimittajaluettelo ja TCF:n säännöt muuttuvat jokaisen uuden version myötä.
- Ei hyötyä. Google ei vaadi TCF:ää mainostajilta: Google Adsissa ja Analyticsissa vakiotapa on bannerisi ja Consent Mode v2. Googlen mainostagit osaavat lukea TC-merkkijonon, mutta vain jos kytket sen tietoisesti päälle.
Suomessa TCF-bannereita on arvioinut myös Traficom. Foreca Oy:tä koskevassa päätöksessä (12.6.2024) Traficom katsoi, ettei käyttäjä voi antaa tietoista suostumusta, kun suostumustyökalussa on listattu yli 700 tietoja vastaanottavaa kumppania, ja velvoitti Forecan rajoittamaan kumppanien määrää. Foreca kertoi karsivansa listan noin 50–60 kumppaniin. Sekä Forecan että A-lehtien (7.6.2024) piti kertoa käyttäjille selvästi, ettei evästeitä aseteta oikeutetun edun nojalla, ja täsmentää TCF:n käyttötarkoitusta 1 ("tietojen tallennus laitteelle ja/tai laitteella olevien tietojen käyttö") niin, ettei käyttäjä luule sen yksin sallivan evästeet. Molempien piti myös lisätä kieltäytymisvaihtoehto suostumustyökalun ensimmäiselle tasolle. Traficomin sivun mukaan A-lehtien päätös ei ole lainvoimainen.
TCF-standardin käyttö ei siis vapauta julkaisijaa vastuusta: Traficomin mukaan oikeutettu etu ei ole koskaan peruste evästeille Suomen lain 205 §:n mukaan. Lisää: Evästesäännöt Suomessa.
TCF on ollut myös itse oikeudellisen tarkastelun kohteena. Vuonna 2022 Belgian tietosuojaviranomainen totesi kehyksen rikkovan tietosuoja-asetusta. Maaliskuussa 2024 EU:n tuomioistuin linjasi, että TC-merkkijono voi olla henkilötieto ja että IAB Europe voi olla sen osalta yhteisrekisterinpitäjä. Toukokuussa 2025 Belgian markkinatuomioistuin kumosi päätöksen menettelyllisin perustein, mutta vahvisti 250 000 euron sakon ja katsoi, että IAB Europe on yhteisrekisterinpitäjä vain TC-merkkijonojen käsittelyn osalta. IAB Europe on sittemmin mukauttanut kehystä.
Mitä tarvitset sen sijaan
Sivustolle, jolla ei ole kolmansien osapuolten mainoksia, tämä riittää:
- Evästebanneri, joka pyytää suostumuksen ensin ja jossa "Hyväksy" ja "Hylkää" ovat vierekkäin.
- Esto suostumukseen asti: markkinointi- ja tilastoevästeet latautuvat vasta, kun kävijä hyväksyy.
- Google Consent Mode v2, jos käytät Google Adsia tai Google Analyticsia. Katso Google Consent Mode v2 selitettynä.
- Evästeseloste ja todiste suostumuksesta.
Cookie Confirm kattaa nämä neljä lyhyellä ja selkeällä bannerilla ilman satojen toimittajien luetteloa. Jos näytät mainoksia Google AdSensen tai Ad Managerin kautta, tarkista, että suostumusbannerisi on Googlen TCF-sertifioima.
Lähteet
- IAB Europe: Transparency & Consent Framework
- Traficom: valvontapäätös, Foreca Oy (12.6.2024, PDF)
- Traficom: valvontapäätös, A-lehdet Oy (7.6.2024, PDF)
- Kyberturvallisuuskeskus: Evästeisiin liittyvät valvontapäätökset
- Traficom: evästeohje palveluntarjoajille (1.9.2021, PDF)
- IAB Europe: siirtyminen TCF v2.3:een
- Google Ad Manager -ohje: suostumustenhallinnan vaatimukset mainosten näyttämiselle ETA-alueella, Isossa-Britanniassa ja Sveitsissä
- Google AdSense -ohje: uudet suostumusvaatimukset Sveitsin liikenteelle
- Google Ads -ohje: Google Adsin integraatio IAB TCF:ään
- Belgian tietosuojaviranomainen: EU:n tuomioistuin vastaa IAB Europe -asian ennakkoratkaisukysymyksiin
- Belgian tietosuojaviranomainen: markkinatuomioistuimen ratkaisu IAB Europe -asiassa
- EU:n tuomioistuin: asia C-604/22, IAB Europe