IAB TCF 2.3 : Se préparer à la conformité

Le Cadre de transparence et de consentement (TCF)

Le Transparency and Consent Framework (TCF) de l’IAB est un ensemble standardisé de spécifications techniques et de politiques qui aide les éditeurs et les annonceurs à se conformer à certaines dispositions du Règlement général sur la protection des données (RGPD) et de la directive ePrivacy. Il intègre également les orientations du Comité européen de la protection des données (EDPB) et des autorités nationales de protection des données.

Le TCF 2.3, dernière version du cadre, a été officiellement annoncé le 19 juin 2025 et deviendra obligatoire le 28 février 2026, remplaçant le TCF 2.2.

Mises à jour du TCF 2.3

Le TCF 2.3 introduit des améliorations visant à renforcer la transparence pour les utilisateurs, à accroître la responsabilité et à s’aligner davantage sur les exigences réglementaires européennes.

Cette mise à jour traite un cas spécifique dans lequel les fournisseurs pouvaient ne pas savoir s’ils avaient été divulgués à l’utilisateur, notamment lorsqu’ils traitent des données pour des finalités spéciales fondées sur l’intérêt légitime.

Une transparence accrue sur l’utilisation des données

Les exigences de transparence sont devenues plus strictes, en particulier pour les plateformes de gestion du consentement (CMP). Ces exigences s’appuient sur les changements déjà introduits dans le TCF 2.2 :

• Modifications de la première couche de l’interface : la première couche doit désormais afficher le nombre total de fournisseurs et fournir des explications claires, en langage simple, des finalités du traitement des données.
• Exemples concrets obligatoires : les descriptions des finalités doivent inclure des exemples simples et compréhensibles.
• Réaffichage du consentement : les utilisateurs doivent pouvoir rouvrir facilement l’interface CMP à tout moment afin de consulter ou modifier leurs choix.
• Langage plus accessible : les termes juridiques et techniques doivent être remplacés par un langage clair et compréhensible dans toutes les couches de l’interface.

Ces mesures ne sont pas facultatives. Le non-respect peut entraîner un signalement public par l’IAB Europe ou un renvoi aux autorités de régulation.

Mises à jour techniques

Une future mise à jour du produit OneTrust rendra obligatoire le segment « fournisseurs divulgués » dans la chaîne TC (TC string).

Cela fournira un signal binaire clair aux fournisseurs :

• 1 = fournisseur divulgué
• 0 = fournisseur non divulgué

Désormais, une section dédiée aux fournisseurs divulgués sera incluse dans la chaîne TC.

Ambiguïté sur la divulgation des fournisseurs

Cette évolution vise à résoudre une situation spécifique :

• Un fournisseur déclare l’intérêt légitime comme base juridique pour une ou plusieurs finalités spéciales et l’utilise également pour des finalités.
• L’utilisateur exerce son droit d’opposition au traitement fondé sur l’intérêt légitime.
• La CMP définit alors la valeur sur « 0 », indiquant que l’intérêt légitime n’est pas établi ou que l’utilisateur s’y est opposé.
• Le fournisseur ne sait pas s’il a été divulgué à l’utilisateur et peut donc continuer à traiter les données pour des finalités spéciales, tout en étant bloqué pour les autres finalités.

Implications pour les parties prenantes

Les éditeurs doivent s’assurer que leurs CMP sont mises à jour afin de respecter les exigences du TCF 2.3.

Décision de la Cour de justice de l’Union européenne

Le 7 mars 2025, la Cour de justice de l’Union européenne (CJUE) a rendu une décision importante concernant le traitement de la chaîne TC et le rôle de l’IAB Europe.

La chaîne TC comme donnée personnelle

La chaîne TC est considérée comme une donnée personnelle au sens du RGPD, car elle peut être associée à un individu lorsqu’elle est combinée à d’autres identifiants (adresse IP, identifiant utilisateur).

IAB Europe comme responsable conjoint

IAB Europe peut être considéré comme responsable conjoint du traitement pour la création et l’utilisation des chaînes TC, en raison de son rôle dans la définition du cadre et de son architecture technique.

Limites de cette responsabilité

IAB Europe n’est pas automatiquement responsable conjoint pour les traitements effectués ensuite par les fournisseurs ou les éditeurs, sauf s’il détermine activement leurs finalités et moyens.

Le 14 mai 2025, la Cour des marchés belge a précisé que :

• Le traitement des chaînes TC constitue un traitement de données personnelles.
• IAB Europe est responsable conjoint pour le traitement des chaînes TC.
• IAB Europe n’est pas responsable conjoint pour les autres traitements de données personnelles.

Que signifie le TCF 2.3 pour les organisations ?

Les mises à jour du TCF 2.3 ne sont pas uniquement techniques ; elles ont des impacts juridiques et opérationnels pour toute organisation collectant des données personnelles ou diffusant de la publicité dans l’UE.

Mettre à jour les plateformes CMP

• Modifier les messages des bannières et pop-ups
• Permettre la réouverture du CMP à tout moment
• Ajouter des descriptions simples avec exemples

Vérifier les fournisseurs

• Confirmer leur présence dans la Global Vendor List (GVL) du TCF 2.3
• Vérifier qu’ils utilisent le consentement et non l’intérêt légitime

Mettre à jour les systèmes internes

• Ajuster les processus de collecte, partage et vérification du consentement

Le non-respect des exigences peut entraîner une inscription publique comme non conforme et un signalement auprès des autorités de protection des données.

3 étapes pour démarrer avec le TCF 2.3

Si votre organisation collecte et traite des données personnelles dans l’UE ou l’EEE, vous devez déjà être conforme au TCF 2.2. Si ce n’est pas le cas, agissez immédiatement.

1. Lire la documentation TCF 2.3

L’IAB Tech Lab a publié des spécifications mises à jour, incluant les exigences UI et les changements techniques.

2. Vérifier votre liste de fournisseurs

Assurez-vous que tous les fournisseurs figurent dans la Global Vendor List du TCF 2.3 et n’utilisent plus le TCF 2.2.

À partir du 28 février 2026, toutes les chaînes TC devront respecter le TCF 2.3. Toute chaîne TC utilisant encore le TCF 2.2 après cette date sera considérée comme invalide.

3. Mettre à jour vos systèmes et processus

• Implémenter les changements UI, API et de chaîne de consentement
• Migrer les configurations existantes
• Vérifier les flux de données et la journalisation

Les fournisseurs de CMP comme OneTrust ont déjà mis à jour leurs plateformes pour s’aligner sur le TCF 2.3. Les clients utilisant des templates TCF seront informés des mises à jour nécessaires.