Два правовых основания, один баннер

Каждый вендор в строке согласия IAB TCF по каждой цели указывает, на какое правовое основание он опирается: согласие или законный интерес. Оба являются законными основаниями по статье 6 GDPR, но в баннере, в TC string и в вашем рекламном стеке они ведут себя очень по-разному. Издатели, которые считают их взаимозаменяемыми, обычно узнают о разнице на собственном опыте — когда вендор перестаёт делать ставки или поступает жалоба на цель, от которой, по мнению пользователя, он отказался.

В этой статье оба основания сравниваются бок о бок, цель за целью, чтобы вы могли решить, как настроить CMP и чего ожидать от рекламных партнёров.

Как работает каждое основание

Согласие — это opt-in. Пользователь должен совершить явное активное действие, и пока он этого не сделал, вендор не вправе обрабатывать данные для этой цели. Отозвать согласие должно быть так же просто, как его дать. В TC string согласие фиксируется в разделах согласия на цели и согласия для вендоров.

Законный интерес по сути работает как opt-out. Вендор (или издатель) заявляет, что у него есть законный интерес, который не перекрывается правами пользователя, проведя тест на баланс интересов. Пользователь должен быть проинформирован и иметь возможность возразить. В TC string это фиксируется в разделах законного интереса для целей и для вендоров, а возражение сбрасывает соответствующие биты.

Сравнение в двух словах

• Состояние по умолчанию — согласие: выключено, пока пользователь не согласится; законный интерес: включён, пока пользователь не возразит.
• Требуемое действие пользователя — согласие: явный выбор; законный интерес: не требуется, но возможность возразить должна быть.
• Где отображается — согласие обычно стоит на самом видном месте первого уровня; законный интерес, как правило, объясняется и оспаривается на втором уровне.
• Документирование — для согласия нужно подтверждение, что оно было получено; для законного интереса нужен письменный тест на баланс интересов (оценка законного интереса).
• Хранение на устройстве — чтение или запись cookie и подобных идентификаторов подпадает под правила ePrivacy, которые требуют согласия, если не применяется исключение. Законный интерес этого не заменяет.

Какие цели допускают какое основание

TCF не позволяет вендорам свободно выбирать основание для каждой цели. Важные правила:

• Цель 1 (хранение информации на устройстве и/или доступ к ней) допускает только согласие. Это отражает требование ePrivacy к хранению на устройстве.
• Цели с 3 по 6 — создание и использование профилей для персонализированной рекламы и персонализированного контента — допускают только согласие с тех пор, как TCF v2.2 убрал для них законный интерес.
• Такие цели, как 2 (ограниченные данные для выбора рекламы), 7 (измерение эффективности рекламы), 8, 9 и 10, по-прежнему могут быть заявлены вендорами на основе законного интереса, и многие рекламные технологические компании делают это для измерения и базового выбора рекламы.
• Специальные цели, такие как безопасность и предотвращение мошенничества или техническая доставка рекламы, обрабатываются на основе законного интереса, и пользователь не может возразить против них в баннере; о них всё равно нужно сообщать.

Поскольку каждый вендор сам указывает свои основания в Global Vendor List, два вендора, делающих одно и то же, могут опираться на разные основания. Ваш CMP считывает эти заявления; вы не задаёте их за вендора.

Практические последствия для издателей

Доход

Законный интерес может сохранить часть измерений и базовый выбор рекламы для пользователей, которые вообще не взаимодействуют с баннером. Но персонализированная реклама зависит от согласия по целям 1, 3 и 4, поэтому законный интерес не заменяет здоровый уровень согласия. Не стройте на нём планы по доходу.

Ваша собственная обработка

TCF также позволяет издателю заявлять собственные цели и правовые основания. Если вы опираетесь на законный интерес для собственной аналитики или измерения контента, вам нужны тот же тест на баланс интересов и тот же механизм возражения, что и у вендора. Если эти цели связаны с cookie, требование согласия для хранения на устройстве всё равно действует.

Внимание регуляторов

Надзорные органы и суды неоднократно изучали, как законный интерес применяется в онлайн-рекламе. В марте 2024 года Суд ЕС по делу о TCF подтвердил, что TC string может быть персональными данными, если её можно связать с идентификатором. Относитесь к каждому заявлению о законном интересе в вашем стеке как к тому, что вам, возможно, придётся объяснять.

Как настроить CMP

1. Проверьте список вендоров и отметьте, какие вендоры заявляют законный интерес по каким целям. Удалите вендоров, с которыми вы на самом деле не работаете.
2. Сделайте возражение простым. Второй уровень должен чётко показывать цели на основе законного интереса, с рабочим переключателем возражения по каждой цели и каждому вендору.
3. Определитесь со своими целями. Если ваша юридическая команда не уверена в законном интересе для той или иной цели издателя, используйте согласие или откажитесь от неё.
4. Проверьте строку. После возражения декодируйте TC string и убедитесь, что биты законного интереса действительно сбросились.
5. Спросите партнёров, как они ведут себя, когда на законный интерес возражают или согласие отсутствует, чтобы изменения дохода вас не удивили.

Роль FlexyConsent

FlexyConsent — CMP, сертифицированный Google, IAB Europe и IAB Canada, с поддержкой IAB TCF 2.4. Он считывает заявленные правовые основания каждого вендора из Global Vendor List, показывает цели на основе законного интереса с элементами управления возражением на втором уровне и кодирует как согласие, так и возражения в TC string, которую получают ваши партнёры.

Главные выводы

• Согласие — это opt-in; законный интерес — opt-out с обязательным правом на возражение.
• Цель 1 и профилирующие цели с 3 по 6 в TCF допускают только согласие.
• Законный интерес никогда не заменяет согласие для cookie или персонализированной рекламы.
• Вендоры сами выбирают свои основания в Global Vendor List; ваш CMP должен их показывать и соблюдать.
• Проверяйте возражения, декодируя TC string, а не доверяя переключателю.