Duas bases legais, um banner

Cada fornecedor em uma string de consentimento do IAB TCF declara, finalidade por finalidade, em qual base legal se apoia: o consentimento ou o legítimo interesse. Ambas são bases lícitas segundo o artigo 6 do GDPR, mas se comportam de maneira muito diferente em um banner, na string TC e na sua stack de anúncios. Os editores que as tratam como intercambiáveis costumam descobrir a diferença do jeito difícil — geralmente na forma de um fornecedor que para de dar lances, ou de uma reclamação sobre uma finalidade que o usuário achava ter recusado.

Este artigo compara as duas lado a lado, finalidade por finalidade, para que você decida como configurar seu CMP e o que esperar dos seus parceiros de demanda.

Como cada base funciona

O consentimento é opt-in. O usuário precisa realizar uma ação afirmativa clara e, até que o faça, o fornecedor não pode processar dados para aquela finalidade. A retirada deve ser tão fácil quanto dar o consentimento. Na string TC, o consentimento é registrado nas seções de consentimento de finalidades e de consentimento de fornecedores.

O legítimo interesse é, na prática, opt-out. O fornecedor (ou o editor) afirma ter um legítimo interesse que não é superado pelos direitos do usuário, depois de realizar um teste de ponderação. O usuário precisa ser informado e ter uma forma de se opor. Na string TC, isso é registrado nas seções de legítimo interesse de finalidades e de fornecedores, e uma objeção limpa os bits correspondentes.

A comparação num relance

• Estado padrão — consentimento: desativado até o usuário concordar; legítimo interesse: ativado até o usuário se opor.
• Ação exigida do usuário — consentimento: uma escolha explícita; legítimo interesse: nenhuma, mas a oposição deve ser possível.
• Onde aparece — o consentimento costuma ficar em destaque na primeira camada; o legítimo interesse é tipicamente explicado e contestável na segunda camada.
• Documentação — o consentimento exige prova de que foi dado; o legítimo interesse exige um teste de ponderação por escrito (uma avaliação de legítimo interesse).
• Armazenamento no dispositivo — ler ou gravar cookies e identificadores semelhantes se enquadra nas regras ePrivacy, que exigem consentimento, salvo se houver isenção. O legítimo interesse não pode substituí-lo.

Quais finalidades permitem qual base

O TCF não deixa os fornecedores escolherem livremente para cada finalidade. As regras importantes a conhecer:

• A finalidade 1 (armazenar e/ou acessar informações em um dispositivo) é somente por consentimento. Isso espelha o requisito da ePrivacy para o armazenamento no dispositivo.
• As finalidades 3 a 6 — criar e usar perfis para publicidade personalizada e conteúdo personalizado — são somente por consentimento desde que o TCF v2.2 removeu o legítimo interesse como opção para elas.
• As finalidades como a 2 (usar dados limitados para selecionar anúncios), a 7 (medir o desempenho dos anúncios), a 8, a 9 e a 10 ainda podem ser declaradas sob legítimo interesse pelos fornecedores que escolherem, e muitos fornecedores de ad tech fazem isso para medição e seleção básica de anúncios.
• As finalidades especiais, como segurança e prevenção de fraudes ou a entrega técnica de anúncios, são processadas sob legítimo interesse e o usuário não pode se opor a elas no banner; ainda assim, devem ser divulgadas.

Como cada fornecedor declara suas próprias bases na Global Vendor List, dois fornecedores que fazem a mesma coisa podem estar em bases diferentes. Seu CMP lê essas declarações; você não as define pelo fornecedor.

Consequências práticas para os editores

Receita

O legítimo interesse pode manter em funcionamento parte da medição e da seleção básica de anúncios para usuários que nunca interagem com o banner. Mas a publicidade personalizada depende de consentimento para as finalidades 1, 3 e 4, então o legítimo interesse não substitui uma taxa de consentimento saudável. Não planeje sua receita em torno dele.

Seu próprio processamento

O TCF também permite que o editor declare suas próprias finalidades e bases legais. Se você se apoia no legítimo interesse para seu próprio analytics ou para a medição de conteúdo, precisa do mesmo teste de ponderação e do mesmo mecanismo de oposição que um fornecedor teria. Se essas finalidades envolvem cookies, o requisito de consentimento para armazenamento no dispositivo continua valendo.

Escrutínio regulatório

Autoridades de supervisão e tribunais examinaram repetidamente como o legítimo interesse é usado na publicidade online. Em março de 2024, o Tribunal de Justiça da UE, em um caso sobre o TCF, confirmou que uma string TC pode ser dado pessoal quando pode ser vinculada a um identificador. Trate cada alegação de legítimo interesse na sua stack como algo que você talvez precise explicar.

Como configurar seu CMP

1. Revise sua lista de fornecedores e anote quais fornecedores declaram legítimo interesse para quais finalidades. Remova os fornecedores com quem você não trabalha de fato.
2. Facilite a oposição. A segunda camada deve mostrar claramente as finalidades de legítimo interesse, com um interruptor de oposição funcional por finalidade e por fornecedor.
3. Decida sobre suas próprias finalidades. Se o seu jurídico não se sente confortável com o legítimo interesse para uma determinada finalidade do editor, use o consentimento ou abandone-a.
4. Verifique a string. Após uma oposição, decodifique a string TC e confirme que os bits de legítimo interesse realmente são limpos.
5. Pergunte aos parceiros como se comportam quando há oposição ao legítimo interesse ou falta consentimento, para que mudanças na receita não o surpreendam.

Onde o FlexyConsent se encaixa

O FlexyConsent é um CMP certificado pelo Google, certificado pelo IAB Europe e pelo IAB Canada, e oferece suporte ao IAB TCF 2.4. Ele lê da Global Vendor List as bases legais declaradas por cada fornecedor, apresenta as finalidades de legítimo interesse com controles de oposição na segunda camada e codifica tanto o consentimento quanto as oposições na string TC que seus parceiros recebem.

Principais conclusões

• O consentimento é opt-in; o legítimo interesse é opt-out com um direito de oposição obrigatório.
• A finalidade 1 e as finalidades de criação de perfis 3 a 6 são somente por consentimento no TCF.
• O legítimo interesse nunca substitui o consentimento para cookies ou publicidade personalizada.
• Os fornecedores escolhem suas próprias bases na Global Vendor List; seu CMP deve exibi-las e respeitá-las.
• Teste as oposições decodificando a string TC, e não confiando no interruptor.