TCF v2.2 compliance migratie

Wat is TCF v2.2?

Transparency & Consent Framework van IAB Europe is het standaard-protocol voor consent in het ad-ecosysteem. Versie 2.2 is verplicht sinds 2 januari 2024. Google negeert consent-signals van CMPs die nog op v2.0 of v2.1 draaien.

Hoe weet ik welke versie mijn CMP draait?

Open klant-site in Chrome → DevTools Console → paste:

window.__tcfapi('getTCData', 2, (data, ok) => {
  if (ok) console.log('Policy version:', data.tcfPolicyVersion)
})

• Policy version 2 = TCF v2.0 (deprecated)
• Policy version 3 = TCF v2.1 (deprecated)
• Policy version 4 = TCF v2.2 ✓

Audit via Signum

Signum heeft een ingebouwde TCF decoder. Endpoint:

POST /monitoring/tcf-audit/{clientId}
{
  "tcString": "CPxxx...",
  "persist": true
}

Response geeft:

• decoded — of de string parsed
• tcfPolicyVersion — versie-check
• findings[] — tcf_policy_outdated bij <4, tcf_consent_stale bij >13 mnd oud
• consentModeSignals — Google CM v2 mapping (ad_storage, ad_user_data, etc.)

Upgrade-flow per CMP

Cookiebot

1. Log in op manage.cookiebot.com → Settings → IAB TCF v2.2
2. Vink "Enable TCF v2.2" aan + kies Global scope of Service-specific
3. Save → je script-embed genereert nu policy-version-4 strings
4. Audit via Signum endpoint om te verifiëren

OneTrust

1. OneTrust admin → Cookie Consent → IAB Framework
2. Upgrade "TCF 2.x" to "TCF 2.2"
3. Republish consent template naar alle environments
4. Verify met Chrome DevTools zoals boven

Didomi / Sourcepoint

Bij deze 2 zit TCF v2.2 in de notice-config. Contact support of zie vendor docs.

Hoe Signum mapt naar Consent Mode v2

Als je klant een TCF CMP draait (Cookiebot-TCF, Didomi, OneTrust, Sourcepoint), gebruik je consentPlatform: 'tcf' in de GTM deploy-config. Signum installeert dan:

1. TCF - Consent Default tag: default-deny alle 7 signals, ads_data_redaction=true, url_passthrough=true
2. TCF - Listener tag: registreert __tcfapi addEventListener en mapt purposes → CM v2 signals

Mapping (Google's officiële regels)

Purpose 1         → ad_storage? analytics_storage? functionality_storage?
Purpose 1+2+7     → ad_storage granted
Purpose 1+7+(8|9) → analytics_storage granted
Purpose 3+4       → ad_personalization granted
Purpose 5+6       → personalization_storage granted
Always            → security_storage granted

Waarom dit belangrijk is

De tcf_policy_outdated audit-finding heeft severity: critical — wordt direct naar klant gepush via email-notification.

Stale consent (>13 maanden)

CNIL + EDPB adviseren consent opnieuw vragen na 13 maanden. Onze audit vlagt dit alstcf_consent_stale (warn severity). Re-prompt via je CMP's re-consent feature.