IAB Transparency & Consent Framework eli TCF on eurooppalaisen mainosalan yhdessä kehittämä avoin standardi, joka lanseerattiin vuonna 2018 tukemaan toimijoita EU:n tietosuojasääntelyn eli GDPR:n ja ePrivacy-asetuksen noudattamisessa, erityisesti ohjelmallisen mainonnan kontekstissa. Sen avulla verkkosivustot ja teknologiatoimijat voivat hallita käyttäjien suostumuksia läpinäkyvästi ja yhdenmukaisesti koko mainosketjussa.
TCF on ollut vuosia eurooppalaisen digimainonnan keskiössä ja samalla jatkuvan oikeudellisen epävarmuuden lähde. Vuosien 2022 ja 2026 välille osuneet oikeusprosessit ja tuomioistuinpäätökset ovat kuitenkin selkeyttäneet merkittävästi TCF:n asemaa, IAB Europen vastuuta sekä sitä, miten julkaisijoiden on käytännössä toimittava. Tässä artikkelissa tiivistämme, missä mennään nyt ja mitä tämä tarkoittaa nimenomaan julkaisijoille.
TCF perustuu tekniseen tunnisteeseen nimeltä TC String eli Transparency and Consent String. Se on merkkijono, joka tallentaa käyttäjän antamat suostumukset ja valinnat, kuten mille toimijoille lupa on annettu ja mihin tarkoituksiin henkilötietoja saa käyttää. TC String kulkee mukana ohjelmallisessa mainosketjussa ja toimii signaalina siitä, mitä käyttäjä on hyväksynyt ja millä ehdoilla.
TCF-oikeusprosessi: keskeiset päätökset
Helmikuussa 2022 Belgian tietosuojaviranomainen APD julkaisi päätöksen, joka kyseenalaisti TCF:n lainmukaisuuden. APD katsoi, että TC String on henkilötieto ja että IAB Europe toimii sen käsittelyssä rekisterinpitäjänä, ei vain suostumuksen dokumentoinnissa vaan myös ohjelmallisen mainosketjun jatkokäytössä. IAB Europelle määrättiin 250 000 euron sakko ja velvoite toimittaa korjaava toimintasuunnitelma.
Tammikuussa 2023 APD hyväksyi IAB Europen esittämän toimintasuunnitelman ja asetti sille kuuden kuukauden määräajan. Päätös perustui kuitenkin laajaan tulkintaan IAB Europen vastuusta. Ja tämän jälkeen asia eteni EU-tasolla, ja keväällä 2024 EU-tuomioistuin antoi ennakkoratkaisun, joka rajasi merkittävästi IAB Europen roolia. Toukokuussa 2025 Belgian markkinaoikeus vahvisti tämän tulkinnan. Tuomioistuimen mukaan IAB Europe ei ole vastuussa muiden osapuolten suorittamasta tietojen käsittelystä, kuten kohdennetusta mainonnasta. Sen rooli rajoittuu TCF:n hallinnointiin ja TC Stringin luomiseen.
Tammikuussa 2026 prosessi sai vielä ratkaisevan jatkopäätöksen, kun Belgian markkinaoikeus kumosi APD:n tammikuussa 2023 tekemän päätöksen, jolla toimintasuunnitelma oli hyväksytty. Tuomioistuin katsoi, että päätös perustui virheelliseen oletukseen IAB Europen vastuusta ja ylitti viranomaisen toimivallan. Asia palautui APD:lle uutta päätöstä varten.
TCF:n oikeudellinen asema nyt ja mitä se tarkoittaa julkaisijoille
Tuomioistuinratkaisujen myötä TCF:n asema on selkeytynyt. Vaikka TCF:tä ei ole todettu laittomaksi, vastuu tietojenkäsittelystä ei siirry IAB Europelle, vaan jää jokaiselle toimijalle itselleen, myös julkaisijalle. TC Stringin käyttö ei poista julkaisijan rekisterinpitäjäroolia, ja suostumusten dokumentointi sekä niiden oikeusperusteet on hallittava huolellisesti, jotta TCF:n käyttö on GDPR:n mukaista. On myös vahvistettu, että TC String voi joissain tilanteissa olla henkilötieto, erityisesti silloin, kun se voidaan yhdistää muihin tunnistetietoihin, kuten IP-osoitteeseen. Tällöin sen käsittely edellyttää GDPR:n mukaista oikeusperustetta.
Tammikuun 2026 päätöksen myötä APD:n aiemmin hyväksymä toimintasuunnitelma kumottiin kokonaan, ja viranomaisen on nyt tehtävä uusi päätös, joka perustuu IAB Europen rajattuun vastuuseen. Tämä avaa markkinalle juridisesti kestävämmän ja realistisemman lähtökohdan.
TCF v2.3 ja mitä julkaisijan on nyt tehtävä
Vaikka TCF:n juridinen tulkinta on nyt selkeämpi, kehitys jatkuu teknisellä puolella. TCF v2.3 julkaistiin kesäkuussa 2025, ja siirtymäaika päättyy 28.2.2026. Uusi versio tuo mukanaan pakollisen disclosedVendors-segmentin, jonka tarkoituksena on poistaa epäselvyys siitä, onko vendor ollut käyttäjälle aidosti ja läpinäkyvästi esitetty CMP:n käyttöliittymässä.
1.3.2026 alkaen kaikki uudet TC Stringit, joista tämä segmentti puuttuu, katsotaan virheellisiksi. Vaikka muutos koskee teknisesti ensisijaisesti CMP-toimittajia ja vendoreita, sen vaikutukset ulottuvat myös julkaisijoihin. Julkaisijoiden onkin tärkeää varmistaa, että heidän käyttämänsä CMP tukee päivitystä ja käsittelee TC Stringejä oikein.
Laajemmassa kuvassa TCF ei ole laiton, ja sen juridinen asema on selkeämpi kuin moneen vuoteen. Julkaisijan kannalta olennaista on varmistaa, että käytössä on ajantasainen TCF-versio, että oma CMP tukee TCF v2.3 -päivityksiä erityisesti disclosedVendors-segmentin osalta sekä että suostumuksenhallinta ja tietosuojakäytännöt ovat linjassa GDPR:n vaatimusten kanssa.
Tammikuun 2026 päätös tuo lisää vakautta vuosia jatkuneeseen epävarmuuteen. Vaikka prosessi ei ole täysin ohi, juridinen kehys on nyt selkeämpi ja markkina voi luottaa siihen, että TCF:n kehitystä jatketaan rajatummin ja realistisemmin. Nyt on hyvä hetki tarkistaa omat käytännöt ja varmistaa, että suostumustenhallinta toimii läpinäkyvästi sekä käyttäjien että viranomaisten näkökulmasta.