TCF IAB : le cadre de consentement publicitaire en 2026

Depuis le 1er mars 2026, toute chaîne TC String générée par une CMP doit intégrer le segment disclosedVendors : c’est la bascule vers le TCF v2.3. Au même moment, la Cour des marchés belge annulait, le 9 janvier 2026, la validation du plan d’action d’IAB Europe par l’autorité belge. Autrement dit : le cadre technique s’est durci pendant que son cadre juridique restait ouvert.

Si vous êtes éditeur, régie ou annonceur et que votre bandeau cookies affiche « IAB TCF », vous êtes dans ce dossier. Voici ce qu’il faut comprendre — et surtout ce que vous devez vérifier chez vous, parce que la responsabilité qui vous incombe n’a jamais dépendu du sort d’IAB Europe.

Qu’est-ce que le TCF d’IAB Europe ?

Le Transparency & Consent Framework (TCF) est un standard technico-contractuel développé depuis 2017 par IAB Europe, l’association européenne de la publicité numérique. Son objet : permettre à des centaines d’acteurs de la publicité programmatique de savoir, en quelques millisecondes, ce que l’internaute a accepté.

Le mécanisme repose sur trois briques :

• Les finalités normalisées. Le TCF v2.2 en définit 11 (stocker des informations sur un terminal, sélectionner des publicités personnalisées, mesurer les performances, etc.), auxquelles s’ajoutent des finalités spéciales, des fonctionnalités et des fonctionnalités spéciales.
• La Global Vendor List (GVL). Le registre public des vendeurs enregistrés au TCF, avec pour chacun les finalités revendiquées et la base légale invoquée : consentement ou intérêt légitime.
• La TC String. Une chaîne de caractères encodée en Base64 qui synthétise les choix de l’utilisateur — quelles finalités, pour quels vendeurs, sous quelle base légale, à quelle date — et qui circule dans les requêtes d’enchères.

La CMP est l’interface qui recueille ces choix et génère la TC String. Elle la stocke dans un cookie euconsent-v2 et l’expose aux scripts de la page via l’API __tcfapi. Les SSP, DSP et ad exchanges lisent ensuite ce signal via les protocoles OpenRTB.

Concrètement : sans TC String valide, un vendeur TCF sérieux doit s’abstenir de traiter. C’est ce qui explique l’adoption massive du standard chez les éditeurs français dépendant de la publicité programmatique.

TCF, CMP, Consent Mode : ne pas confondre

Trois objets distincts se recouvrent souvent dans les discussions :

Élément	Ce que c’est	Qui l’édicte
TCF	Un standard sectoriel de signalisation du consentement	IAB Europe
CMP	Le logiciel qui affiche le bandeau et génère le signal	Didomi, Axeptio, Sirdata, OneTrust, Cookiebot…
Consent Mode v2	Le protocole propriétaire de Google pour ses propres balises	Google

Une CMP peut fonctionner sans être certifiée TCF. Une CMP certifiée TCF doit en revanche transmettre aussi les signaux Consent Mode v2 si le site utilise des produits Google. Ces couches s’empilent : elles ne se remplacent pas.

Le contentieux IAB Europe : où en est-on vraiment ?

Le TCF est le standard publicitaire le plus discuté d’Europe parce qu’il a fait l’objet d’une procédure ouverte en 2019 et toujours pas close. Résumé chronologique.

Décision APD 21/2022 (2 février 2022)

L’Autorité belge de protection des données (APD), autorité chef de file d’IAB Europe établie à Bruxelles, prononce une amende de 250 000 € et une série de mesures correctrices. Ses griefs principaux :

• la TC String constitue une donnée à caractère personnel au sens de l’Art. 4(1) RGPD ;
• IAB Europe est responsable conjoint de traitement au sens de l’Art. 4(7) ;
• aucune base légale valable n’est démontrée pour le traitement de la TC String ;
• absence de registre au titre de l’Art. 30, absence de DPO au titre de l’Art. 37, absence d’AIPD au titre de l’Art. 35 ;
• information insuffisante des personnes concernées (Art. 12 à 14).

IAB Europe dépose un plan d’action en avril 2022, que l’APD valide en janvier 2023, déclenchant un délai de six mois de mise en œuvre.

Arrêt CJUE C-604/22 (7 mars 2024)

Saisie par la Cour des marchés de Bruxelles, la Cour de justice tranche les deux questions structurantes.

Première réponse : la TC String est une donnée à caractère personnel. Dès lors qu’elle peut, par des moyens raisonnables, être associée à un identifiant tel qu’une adresse IP, elle permet d’identifier la personne concernée. La Cour raisonne exactement comme elle l’avait fait pour l’adresse IP : le fait qu’IAB Europe elle-même ne détienne pas les moyens d’identification est indifférent, dès lors qu’elle dispose de moyens juridiques de les obtenir auprès de ses membres.

Seconde réponse : IAB Europe est responsable conjoint — mais dans un périmètre limité. L’association détermine bien les finalités et les moyens de l’enregistrement des préférences dans la TC String. En revanche, la Cour dit clairement qu’elle ne saurait être considérée comme responsable conjointe des traitements ultérieurs opérés par les vendeurs à partir de ce signal, sauf à démontrer une influence effective sur ces opérations.

C’est le point décisif, et celui que beaucoup de commentaires ont manqué en 2024 : la CJUE valide le raisonnement de l’APD sur la nature de la donnée, mais rétrécit la chaîne de responsabilité. Voir sur ce mécanisme mon analyse de la co-responsabilité au titre de l’Art. 26 RGPD.

Cour des marchés, 14 mai 2025 puis 9 janvier 2026

En mai 2025, la Cour des marchés de Bruxelles tire les conséquences de l’arrêt : elle confirme le rôle limité d’IAB Europe. La décision 21/2022 est annulée pour vice de procédure, l’amende de 250 000 € étant toutefois maintenue dans son principe.

Le 9 janvier 2026, la même juridiction annule la décision de validation du plan d’action de janvier 2023. Motifs : plusieurs mesures du plan découlaient de l’hypothèse d’une responsabilité étendue d’IAB Europe aux traitements ultérieurs — hypothèse écartée par la CJUE — et l’APD avait adopté sa décision sans permettre à IAB Europe de faire valoir sa position, en violation du droit d’être entendu.

Conséquence pratique au 1er août 2026 : l’APD doit reprendre une nouvelle décision reflétant le périmètre restreint de responsabilité d’IAB Europe. Le TCF n’est ni « validé » ni « interdit ». Il est en attente.

Ce que le contentieux ne dit pas

Quatre ans de procédure ont installé une confusion tenace. Je la corrige systématiquement en mission : la légalité du TCF en tant que standard et la conformité de votre recueil de consentement sont deux questions distinctes.

Aucune de ces décisions n’exonère un éditeur français de ses propres obligations. Vous restez responsable de traitement pour les traceurs que vous déposez, et l’autorité compétente pour vous contrôler est la CNIL, sur le fondement de l’article 82 de la loi Informatique et Libertés — pas l’APD belge.

TCF v2.3 : ce qui a changé le 1er mars 2026

Publié en avril 2025, le TCF v2.3 est obligatoire pour toutes les TC Strings générées à compter du 1er mars 2026 (fin de la période de transition au 28 février 2026).

Le changement structurel est unique mais lourd de conséquences : le segment disclosedVendors devient obligatoire dans toutes les TC Strings. Ce segment liste les identifiants des vendeurs effectivement présentés à l’utilisateur dans l’interface de la CMP.

Pourquoi cela compte. Avant v2.3, un vendeur invoquant l’intérêt légitime pour une finalité spéciale ne pouvait pas savoir, à la lecture de la TC String, s’il avait été divulgué à l’utilisateur. Or l’intérêt légitime au sens de l’Art. 6(1)(f) RGPD suppose que la personne concernée ait été informée du traitement et mise en mesure d’exercer son droit d’opposition (Art. 21). Sans preuve de divulgation, la base légale était fragile. Le segment disclosedVendors comble cette ambiguïté de signalisation.

Ce que vous devez vérifier chez vous :

1. Votre CMP est-elle passée en v2.3 ? Toute chaîne générée après le 28 février 2026 sans segment disclosedVendors est non conforme au standard.
2. Vos vendeurs lisent-ils le nouveau segment ? Un partenaire resté en v2.2 peut interpréter le signal de manière erronée.
3. Le nombre de vendeurs affichés correspond-il à ce que vous exposez réellement ? Un décalage entre disclosedVendors et la GVL configurée est un indicateur d’audit immédiat.

TCF et exigences CNIL : les cinq points de friction

Le TCF est un standard privé. Il ne préempte pas les recommandations de la CNIL du 17 septembre 2020, qui restent le référentiel de contrôle en France. Dans mon expérience d’audit, cinq écarts reviennent presque systématiquement sur les implémentations TCF.

1. Refuser doit être aussi simple qu’accepter

La CNIL exige que le refus soit accessible au même niveau que l’acceptation, sans étape supplémentaire. Beaucoup d’implémentations TCF placent « Continuer sans accepter » en typographie réduite, ou ne l’affichent qu’au second écran. C’est le premier motif de mise en demeure sur les bandeaux, et l’un des dark patterns explicitement visés.

2. L’intérêt légitime comme base légale des traceurs publicitaires

C’est le point le plus mal compris. Le TCF autorise techniquement un vendeur à déclarer l’intérêt légitime pour certaines finalités. Mais en droit français, le dépôt et la lecture d’un traceur publicitaire relèvent de l’article 82 de la loi Informatique et Libertés, transposant l’article 5(3) de la directive ePrivacy : le consentement y est exigé, l’intérêt légitime n’est pas une base alternative disponible.

L’intérêt légitime peut, le cas échéant, fonder des traitements ultérieurs distincts de l’accès au terminal. Il ne peut pas fonder la lecture-écriture elle-même. Si votre CMP présente des vendeurs en « intérêt légitime » pour des finalités publicitaires actives par défaut, l’exposition est réelle. Voir mon guide sur les conditions de l’intérêt légitime.

3. Le nombre de vendeurs

Un bandeau TCF standard expose fréquemment plus de 800 partenaires. La CNIL considère qu’une information intelligible suppose que l’utilisateur puisse comprendre à qui il consent. Exposer un annuaire de plusieurs centaines de sociétés à un internaute n’est pas de l’information : c’est de la dissuasion. Réduire la liste des vendeurs à ceux réellement actifs est à la fois une mesure de conformité et un levier mécanique sur votre taux de consentement.

4. La durée de conservation du choix

La CNIL recommande de ne pas solliciter à nouveau l’utilisateur avant six mois en cas de refus, et retient une durée de conservation des choix de l’ordre de six mois. Le TCF, lui, ne fixe pas de durée : il l’expose. Vérifiez le paramétrage de votre CMP, notamment la durée du cookie euconsent-v2.

5. La preuve du consentement

L’Art. 7(1) RGPD impose de pouvoir démontrer le consentement. La TC String est un élément de preuve, pas la preuve complète : elle horodate un choix mais ne documente pas ce qui a été affiché à l’écran. Conservez les versions successives de votre configuration CMP, les captures de vos écrans de consentement, et le journal de vos modifications de GVL. C’est exactement le type de traçabilité que la CNIL demande en contrôle.

Ce que le Digital Omnibus pourrait changer

La Commission a retiré la proposition de règlement ePrivacy le 11 février 2025 après huit ans de blocage. Le paquet Digital Omnibus présenté en novembre 2025 déplace les règles de consentement aux traceurs directement dans le RGPD, via de nouveaux articles 88a et 88b.

Les orientations principales du texte en discussion :

• une liste limitative de cas d’exemption de consentement (transmission d’une communication, service explicitement demandé, mesure d’audience de première partie réalisée pour le compte du responsable de traitement, maintenance de la sécurité) ;
• l’obligation de permettre le refus « au moyen d’un unique bouton cliquable ou d’un moyen équivalent » ;
• l’interdiction de resolliciter l’utilisateur pour la même finalité pendant au moins six mois après un refus ;
• à terme, la prise en compte de signaux exprimés au niveau du navigateur.

Prudence : il s’agit d’une proposition en trilogue, pas d’un texte applicable. Le calendrier prévoit une application de l’article 88a six mois après l’entrée en vigueur, et de l’article 88b à 24 mois. Si le texte est adopté en l’état, le TCF devra évoluer — notamment sur la gestion des signaux navigateur et sur la resollicitation. Rien de tout cela ne dispense de se conformer au droit actuel entre-temps.

Checklist d’audit TCF pour un éditeur français

À passer en revue trimestriellement :

• [ ] CMP certifiée IAB Europe et enregistrée avec un CMP ID valide
• [ ] Version TCF v2.3 confirmée, segment disclosedVendors présent dans les chaînes générées
• [ ] Bouton de refus au premier niveau, même poids visuel que l’acceptation
• [ ] Aucun traceur publicitaire déposé avant le recueil du consentement (à vérifier en navigation privée, onglet Réseau)
• [ ] Liste des vendeurs restreinte aux partenaires réellement actifs, revue documentée
• [ ] Aucun vendeur publicitaire actif par défaut sous couvert d’intérêt légitime
• [ ] Durée de conservation du choix paramétrée à six mois maximum
• [ ] Retrait du consentement aussi accessible que son recueil (Art. 7(3) RGPD)
• [ ] Traceurs recensés et rattachés à une finalité dans le registre des activités de traitement
• [ ] Archivage des configurations CMP successives à titre de preuve

Ce recensement des traceurs, leur rattachement aux finalités du registre et la conservation des preuves de configuration constituent un travail de documentation continu. C’est typiquement ce que Legiscope automatise pour les équipes qui n’ont pas de DPO à temps plein.

Ce qu’il faut retenir

• La TC String est une donnée à caractère personnel (CJUE, C-604/22, 7 mars 2024), et son traitement exige donc une base légale identifiée.
• IAB Europe n’est responsable conjoint que du périmètre restreint de l’enregistrement des préférences, pas des traitements ultérieurs des vendeurs. La Cour des marchés l’a confirmé les 14 mai 2025 et 9 janvier 2026.
• Le contentieux belge ne vous protège ni ne vous condamne : en France, votre conformité s’apprécie au regard de l’article 82 de la loi Informatique et Libertés et des recommandations CNIL, sous le contrôle de la CNIL.
• Le TCF v2.3 est obligatoire depuis le 1er mars 2026 : segment disclosedVendors dans toutes les nouvelles TC Strings.
• Le point de non-conformité le plus fréquent en France reste l’intérêt légitime invoqué pour des traceurs publicitaires, qui n’est pas une base disponible pour l’accès au terminal.
• Le Digital Omnibus (articles 88a et 88b RGPD) est en trilogue : il ne s’applique pas encore, mais il redessinera le cadre.

FAQ

Le TCF d’IAB Europe est-il illégal ?

Non. Aucune décision n’a déclaré le TCF illégal en tant que standard. La décision APD 21/2022 a été annulée pour vice de procédure et la validation du plan d’action a été annulée le 9 janvier 2026 ; l’APD doit désormais reprendre une décision tenant compte du périmètre restreint défini par la CJUE. Le TCF est en revanche un standard privé qui ne garantit pas, à lui seul, la conformité de votre implémentation.

Utiliser une CMP certifiée TCF suffit-il pour être conforme en France ?

Non. La certification TCF atteste de la conformité au standard d’IAB Europe, pas aux exigences de la CNIL. Les écarts les plus fréquents portent sur l’accessibilité du refus, le nombre de vendeurs exposés, la durée de conservation des choix et l’usage de l’intérêt légitime pour des traceurs publicitaires.

Peut-on invoquer l’intérêt légitime pour déposer des cookies publicitaires ?

Non, pas pour l’opération de dépôt ou de lecture elle-même. L’article 82 de la loi Informatique et Libertés, qui transpose l’article 5(3) de la directive ePrivacy, exige le consentement préalable pour tout accès au terminal non strictement nécessaire au service demandé. L’intérêt légitime au sens de l’Art. 6(1)(f) RGPD peut éventuellement fonder des traitements ultérieurs distincts, sous réserve d’un test de mise en balance documenté.

Que faire concrètement pour passer au TCF v2.3 ?

Le travail est côté CMP : vérifier auprès de votre prestataire que la version déployée génère bien le segment disclosedVendors, contrôler une TC String récente au moyen d’un décodeur, et confirmer auprès de vos partenaires SSP et DSP qu’ils lisent la nouvelle version. Profitez-en pour élaguer la Global Vendor List activée sur votre site.

La CNIL peut-elle sanctionner un éditeur qui utilise le TCF ?

Oui. La CNIL contrôle l’implémentation, pas le standard. Elle a prononcé des amendes de plusieurs dizaines de millions d’euros sur le fondement de l’article 82 de la loi Informatique et Libertés pour des manquements au recueil du consentement, indépendamment de toute question relative au TCF. Voir le panorama des sanctions RGPD et CNIL.