IAB TCF: wie heeft het nodig?

Wat is IAB TCF?

Het Transparency & Consent Framework (TCF) is een standaard van IAB Europe, de koepel van de Europese advertentiebranche. Het is gemaakt voor websites die geld verdienen met advertenties van anderen.

Als jij advertentieruimte op je website verkoopt, bieden achter de schermen tientallen tot honderden advertentiepartijen op elke vertoning. Elk van die partijen moet weten of de bezoeker toestemming heeft gegeven, en waarvoor. TCF regelt dat: je cookiebanner legt de keuze vast in een gecodeerde tekenreeks, de TC-string, en alle partijen lezen die op dezelfde manier uit.

Daarvoor werkt TCF met een vaste lijst van doelen, zoals "gepersonaliseerde advertenties" en "advertentieprestaties meten", en met de Global Vendor List: de lijst van advertentiepartijen die bij IAB Europe zijn aangesloten.

Wie heeft het nodig?

Je hebt TCF nodig als je advertentieruimte verkoopt, oftewel als je zelf advertenties van anderen op je website of in je app toont. Bijvoorbeeld via:

• Google AdSense, Google Ad Manager of AdMob;
• andere advertentienetwerken of programmatische advertentieplatforms;
• header bidding, waarbij meerdere partijen op je advertentieruimte bieden.

Voor de diensten van Google is het een harde eis: sinds 16 januari 2024 (voor de EER en het Verenigd Koninkrijk) en 31 juli 2024 (voor Zwitserland) moeten uitgevers die via AdSense, Ad Manager of AdMob gepersonaliseerde advertenties tonen een cookiebanner gebruiken die door Google is gecertificeerd en met TCF werkt. Zonder zo'n banner komt je verkeer volgens Google hooguit in aanmerking voor niet-gepersonaliseerde of beperkte advertenties. Voor de zoekadvertentieproducten van Google, zoals AdSense for Search, kan het betekenen dat er helemaal geen advertenties worden getoond.

Dit geldt vooral voor nieuwswebsites, blogs en vergelijkingssites die van advertentie-inkomsten leven.

Wie heeft het niet nodig?

De meeste websites hebben geen TCF nodig:

• Webshops, ook als je adverteert met Google Ads of Meta.
• Bedrijfswebsites, ook met Google Analytics, LinkedIn Insight Tag of andere marketingtags.
• Blogs en websites zonder advertenties van anderen.
• SaaS-bedrijven en andere websites die klanten werven, maar geen advertentieruimte verkopen.

Het verschil zit in de richting: wie adverteert, koopt advertenties in en meet het resultaat op zijn eigen website. Daarvoor heb je toestemming van je bezoekers nodig en, als je Google gebruikt, Google Consent Mode v2. Wie advertenties toont, verkoopt ruimte aan anderen, en pas dan komt TCF erbij.

Waarom niet gewoon voor de zekerheid?

TCF aanzetten terwijl je het niet nodig hebt, heeft alleen nadelen:

• Een ingewikkeldere cookiebanner. Bezoekers zien een lange lijst met doelen en soms honderden advertentiepartijen, en vaak ook keuzes op basis van "gerechtvaardigd belang". Dat is lastig te begrijpen voor bezoekers.
• Meer om bij te houden. Je moet bepalen welke advertentiepartijen je toestaat, en de lijst en de regels van TCF veranderen met elke nieuwe versie. Na versie 2.2 (mei 2023) kwam in 2025 versie 2.3, waarop deelnemers uiterlijk 28 februari 2026 moesten overstappen.
• Geen voordeel. Als adverteerder vraagt geen van deze partijen om TCF. Google-tags kunnen een TC-string wel uitlezen als je dat aanzet, maar voor Google Ads en Google Analytics volstaat Consent Mode v2. Voor de Meta Pixel en andere marketingtags telt dat ze pas laden na toestemming in je banner.

TCF staat bovendien zelf onder juridische aandacht. De Belgische Gegevensbeschermingsautoriteit oordeelde op 2 februari 2022 dat IAB Europe met het framework de AVG overtrad, en legde een boete op van 250.000 euro. Het Europese Hof van Justitie bepaalde op 7 maart 2024 (zaak C-604/22) dat een TC-string een persoonsgegeven kan zijn en dat IAB Europe gezamenlijk verwerkingsverantwoordelijke kan zijn. Het Belgische Marktenhof vernietigde dat besluit op 14 mei 2025 om procedurele redenen, maar bevestigde de boete en oordeelde dat IAB Europe alleen voor de verwerking van TC-strings gezamenlijk verantwoordelijk is. IAB Europe heeft het framework sindsdien meermaals aangepast.

Wat heb je dan wel nodig?

Voor een website zonder advertenties van anderen is dit genoeg:

1. Een cookiebanner die vooraf toestemming vraagt, met "Accepteren" en "Weigeren" naast elkaar.
2. Blokkeren tot er toestemming is: marketing- en statistiekcookies laden pas na akkoord.
3. Google Consent Mode v2, als je Google Ads of Google Analytics gebruikt.
4. Een cookieverklaring en bewijs van toestemming.

Cookie Confirm regelt die vier voor je, met een korte, duidelijke banner in je eigen huisstijl, zonder lijst van advertentiepartijen. Toon je zelf advertenties via Google AdSense, Ad Manager of AdMob, dan heb je een cookiebanner nodig die door Google is gecertificeerd en met TCF werkt. Google publiceert een lijst van gecertificeerde CMP's.

Bronnen

• Google AdSense Help: Toestemmingsvereisten voor het tonen van advertenties in de EER, het VK en Zwitserland
• Google: EU-toestemmingsbeleid voor gebruikers
• IAB Europe: Transparency & Consent Framework
• Hof van Justitie EU, IAB Europe (C-604/22), 7 maart 2024
• Gegevensbeschermingsautoriteit: het Marktenhof doet uitspraak in de zaak IAB Europe (14 mei 2025)
• Google Tag Manager Help: Consent mode en het EU-toestemmingsbeleid
• Google for Developers: TC-strings gebruiken met Google-tags
• Google Ads Help: IAB TCF en Google Ads