Le TCF de l’IAB pour les éditeurs : quand une CMP certifiée est nécessaire

Il vous faut une plateforme de gestion du consentement compatible IAB TCF si votre site affiche des annonces programmatiques qui lisent une TC string, et une plateforme certifiée par Google si vous diffusez des annonces Google AdSense, Ad Manager ou AdMob à des visiteurs de l’EEE, du Royaume-Uni ou de Suisse. Google l’exige depuis le 16 janvier 2024 pour l’EEE et le Royaume-Uni, et depuis le 31 juillet 2024 pour la Suisse ; seul le trafic passant par une CMP certifiée est éligible aux annonces personnalisées. Si votre site n’utilise que Google Analytics, le suivi des conversions Google Ads, le pixel Meta ou des balises similaires, vous n’avez pas besoin du TCF : un bandeau de consentement qui envoie les signaux Google Consent Mode couvre ces usages.

Qu’est-ce que le TCF de l’IAB ?

Le Transparency and Consent Framework est un standard publié par IAB Europe. IAB Europe le décrit comme un outil de responsabilisation volontaire, fondé sur la standardisation, qui aide à respecter certaines parties de la directive ePrivacy et du RGPD. Il a trois types de participants :

• les éditeurs, qui exploitent des sites et des applications ;
• les vendors, les sociétés ad tech inscrites dans la Global Vendor List (GVL) d’IAB Europe, chacune déclarant ses finalités et ses bases légales ;
• les CMP, des plateformes de gestion du consentement enregistrées qui affichent le bandeau, recueillent les choix par finalité et par vendor, et les encodent dans une TC string.

La TC string accompagne les requêtes publicitaires, si bien que chaque vendor de l’enchère peut lire ce que le visiteur a autorisé. Sans elle, les systèmes publicitaires programmatiques en Europe n’ont aucun consentement lisible par machine sur lequel s’appuyer. L’entrée du glossaire sur l’IAB TCF en donne la version courte.

Quelle version est en vigueur ?

IAB Europe a lancé le TCF v2.3 en avril 2025 et a laissé aux participants jusqu’à fin février 2026 pour l’adopter. Le principal changement rend obligatoire le segment « disclosed vendors » dans chaque TC string, qui enregistre les vendors réellement présentés au visiteur. La documentation d’Ad Manager indique que la prise en charge des nouvelles TC strings v2.2 a pris fin à l’échéance, et que les requêtes qui ne respectent pas l’exigence peuvent basculer par défaut sur les annonces limitées (Limited Ads).

Qu’exige Google exactement ?

La page d’aide de Google sur les exigences de gestion du consentement pour l’EEE, le Royaume-Uni et la Suisse indique que les partenaires AdSense, Ad Manager et AdMob doivent utiliser une CMP certifiée par Google et intégrée au TCF. Les conséquences :

Selon Google, vous avez trois façons de vous mettre en conformité : construire votre propre solution de consentement et la faire certifier, utiliser les outils de message de la section Privacy & messaging (Confidentialité et messages) d’AdSense, d’Ad Manager ou d’AdMob, ou utiliser une CMP tierce certifiée figurant sur la liste de Google.

Ai-je besoin du TCF si je fais seulement des campagnes Google Ads ?

Non. Les annonceurs qui mesurent des conversions ou constituent des listes de remarketing avec Google Ads, Google Analytics 4 ou Floodlight ont besoin d’un bandeau qui recueille un consentement valable et envoie les signaux Google Consent Mode v2, y compris ad_user_data et ad_personalization. L’exigence de CMP certifiée s’applique aux éditeurs qui gagnent de l’argent en affichant les annonces de Google sur leur site. Il en va de même pour les pixels Meta, LinkedIn ou TikTok : ils reposent sur le blocage par votre bandeau jusqu’au consentement, pas sur une TC string.

Et les autres régies et le header bidding ?

La plupart des régies programmatiques et des wrappers de header bidding en Europe lisent la TC string pour décider de ce qu’ils peuvent faire. Si vous utilisez Prebid ou une régie dont la documentation demande une « TCF v2 CMP », il vous en faut une, indépendamment de Google. Vérifiez les exigences de chaque régie envers les éditeurs.

Le TCF est-il juridiquement sûr ?

C’est un cadre, pas un bouclier juridique. La Cour de justice a jugé le 7 mars 2024 (C-604/22, IAB Europe) qu’une TC string peut être une donnée personnelle quand elle peut être reliée à un identifiant comme une adresse IP, et qu’IAB Europe peut être responsable conjoint du traitement lié à l’enregistrement des préférences qu’elle contient. Utiliser le TCF ne supprime pas vos propres obligations : le bandeau doit toujours proposer un refus aussi simple que l’acceptation, lister honnêtement les vendors, et éviter de s’appuyer sur l’intérêt légitime pour les cookies, ce que les autorités européennes ont rejeté dans le rapport de la task force « bandeaux cookies » du CEPD.

Que doit faire un éditeur ?

1. Listez chaque produit publicitaire du site : AdSense, Ad Manager, AdMob, autres régies, header bidding.
2. Si un produit Google pour éditeurs diffuse des annonces dans l’EEE, au Royaume-Uni ou en Suisse, choisissez une CMP TCF certifiée par Google, soit l’outil Privacy & messaging (Confidentialité et messages) de Google, soit une CMP tierce de la liste.
3. Limitez la liste des vendors à ceux avec qui vous travaillez réellement ; les longues listes rendent le consentement moins éclairé.
4. Gardez un seul bandeau. Deux outils de consentement sur une même page déroutent les visiteurs et se disputent les mêmes balises.
5. Vérifiez dans les rapports Ad Manager ou AdSense que les requêtes portent des TC strings valides après le changement.

Où Cookiequiet a sa place, et où il ne l’a pas

Cookiequiet n’est pas encore une plateforme de gestion du consentement certifiée par Google pour le Transparency and Consent Framework de l’IAB : les sites qui affichent des annonces Google AdSense, Ad Manager ou AdMob à des visiteurs de l’EEE, du Royaume-Uni ou de Suisse ont besoin d’une CMP certifiée pour ces annonces. Tout le reste (Google Analytics 4, le suivi des conversions Google Ads, le pixel Meta, les vidéos intégrées, les widgets de chat) fonctionne avec l’intégration Consent Mode v2 de Cookiequiet. Si votre site n’a pas d’annonces programmatiques, l’installation tient en une balise script avant vos autres scripts, avec « Tout refuser » activé par défaut et Consent Mode v2 activé dans l’extrait que vous donne le tableau de bord, gratuite pour un site et à 3 € par site et par mois sur Starter (voir les tarifs). S’il en a, utilisez une CMP certifiée pour tout le site plutôt que de faire tourner deux bandeaux.