To retsgrundlag, ét banner

Hver leverandør i en IAB TCF-samtykkestreng angiver formål for formål, hvilket retsgrundlag den støtter sig til: samtykke eller legitim interesse. Begge er lovlige grundlag efter artikel 6 i GDPR, men de opfører sig meget forskelligt i et banner, i TC-strengen og i din annoncestack. Udgivere, der behandler dem som udskiftelige, opdager som regel forskellen på den hårde måde — typisk som en leverandør, der holder op med at byde, eller en klage over et formål, som brugeren troede, at vedkommende havde afvist.

Denne artikel sammenligner de to side om side, formål for formål, så du kan beslutte, hvordan du konfigurerer din CMP, og hvad du kan forvente af dine demand-partnere.

Sådan fungerer hvert grundlag

Samtykke er opt-in. Brugeren skal foretage en klar, bekræftende handling, og indtil det sker, må leverandøren ikke behandle data til det formål. Tilbagetrækning skal være lige så let som at give samtykke. I TC-strengen registreres samtykke i sektionerne for formålssamtykke og leverandørsamtykke.

Legitim interesse er reelt opt-out. Leverandøren (eller udgiveren) hævder at have en legitim interesse, der ikke overstyres af brugerens rettigheder, efter at have foretaget en interesseafvejning. Brugeren skal informeres og have mulighed for at gøre indsigelse. I TC-strengen registreres dette i sektionerne for legitim interesse for formål og leverandører, og en indsigelse nulstiller de relevante bits.

Sammenligningen i overblik

• Standardtilstand — samtykke: slået fra, indtil brugeren accepterer; legitim interesse: slået til, indtil brugeren gør indsigelse.
• Krævet brugerhandling — samtykke: et eksplicit valg; legitim interesse: ingen, men indsigelse skal være mulig.
• Hvor det vises — samtykke står som regel forrest i første lag; legitim interesse forklares og kan typisk gøres indsigelse mod i andet lag.
• Dokumentation — samtykke kræver bevis for, at det blev givet; legitim interesse kræver en skriftlig interesseafvejning (en vurdering af legitim interesse).
• Lagring på enheden — læsning eller skrivning af cookies og lignende identifikatorer falder under ePrivacy-reglerne, som kræver samtykke, medmindre en undtagelse gælder. Legitim interesse kan ikke erstatte det.

Hvilke formål tillader hvilket grundlag

TCF lader ikke leverandører vælge frit for hvert formål. De vigtige regler:

• Formål 1 (lagre og/eller få adgang til oplysninger på en enhed) er kun samtykke. Det afspejler ePrivacy-kravet om lagring på enheden.
• Formål 3 til 6 — oprettelse og brug af profiler til personaliseret annoncering og personaliseret indhold — har været kun samtykke, siden TCF v2.2 fjernede legitim interesse som mulighed for dem.
• Formål som 2 (begrænsede data til at vælge annoncer), 7 (måle annoncers performance), 8, 9 og 10 kan stadig angives under legitim interesse af leverandører, der vælger det, og mange adtech-leverandører gør det til måling og grundlæggende annoncevalg.
• Særlige formål, såsom sikkerhed og forebyggelse af svindel eller teknisk levering af annoncer, behandles under legitim interesse, og brugeren kan ikke gøre indsigelse mod dem i banneret; de skal stadig oplyses.

Fordi hver leverandør angiver sine egne grundlag i Global Vendor List, kan to leverandører, der gør det samme, ligge på forskellige grundlag. Din CMP læser disse angivelser; du fastsætter dem ikke for leverandøren.

Praktiske konsekvenser for udgivere

Indtægter

Legitim interesse kan holde noget måling og grundlæggende annoncevalg i gang for brugere, der aldrig interagerer med banneret. Men personaliseret annoncering afhænger af samtykke til formål 1, 3 og 4, så legitim interesse er ikke en erstatning for en sund samtykkerate. Planlæg ikke dine indtægter efter den.

Din egen behandling

TCF lader også udgiveren angive egne formål og retsgrundlag. Hvis du støtter dig til legitim interesse for din egen analyse eller indholdsmåling, har du brug for den samme interesseafvejning og det samme indsigelsesmekanisme, som en leverandør ville. Hvis disse formål involverer cookies, gælder samtykkekravet til lagring på enheden stadig.

Tilsynsmæssig opmærksomhed

Tilsynsmyndigheder og domstole har gentagne gange undersøgt, hvordan legitim interesse bruges i onlineannoncering. I marts 2024 bekræftede EU-Domstolen i en sag om TCF, at en TC-streng kan være personoplysninger, når den kan knyttes til en identifikator. Betragt hver henvisning til legitim interesse i din stack som noget, du måske skal kunne forklare.

Sådan konfigurerer du din CMP

1. Gennemgå din leverandørliste og notér, hvilke leverandører der angiver legitim interesse for hvilke formål. Fjern leverandører, du faktisk ikke arbejder med.
2. Gør indsigelse nem. Andet lag bør vise formål med legitim interesse tydeligt, med en fungerende indsigelsesknap pr. formål og pr. leverandør.
3. Beslut dine egne formål. Hvis dit juridiske team ikke er trygt ved legitim interesse for et givent udgiverformål, så brug samtykke eller drop det.
4. Kontrollér strengen. Afkod TC-strengen efter en indsigelse, og bekræft, at bits for legitim interesse faktisk nulstilles.
5. Spørg partnere, hvordan de opfører sig, når der gøres indsigelse mod legitim interesse, eller samtykke mangler, så ændringer i indtægter ikke overrasker dig.

Hvor FlexyConsent passer ind

FlexyConsent er en Google-certificeret CMP, certificeret af IAB Europe og IAB Canada, og understøtter IAB TCF 2.4. Den læser hver leverandørs angivne retsgrundlag fra Global Vendor List, præsenterer formål med legitim interesse med indsigelsesknapper i andet lag og koder både samtykke og indsigelser ind i den TC-streng, dine partnere modtager.

Vigtigste pointer

• Samtykke er opt-in; legitim interesse er opt-out med en obligatorisk ret til indsigelse.
• Formål 1 og profileringsformålene 3 til 6 er kun samtykke i TCF.
• Legitim interesse erstatter aldrig samtykke til cookies eller personaliserede annoncer.
• Leverandører vælger selv deres grundlag i Global Vendor List; din CMP skal vise og respektere dem.
• Test indsigelser ved at afkode TC-strengen, ikke ved at stole på knappen.