I del 4 kalte jeg innledningsvis samtykke for "hovedbryteren" – den tingen som, når den er slått av, kollapser hele identitetsstigen til anonym.
En bryter er binær. På eller av, annonse eller ingen annonse. Og nesten alle behandler samtykke akkurat slik: Brukeren trykket på et banner, vi fanget en consent string, vi dyttet den inn i bid requestet, ferdig. Compliant.
Men det som kjører i auksjonen din, er ikke en bryter. Det minner mer om et grensekontrollpunkt – ett som stiller de samme fem spørsmålene til hver eneste impression og slipper noe igjennom, mens annet blir avvist. Consent stringen er ikke beslutningen. Den er dokumentet du rekker frem ved kontrollen. Så det er her hovedbryteren blir plukket fra hverandre – og her vi kommer til den delen de fleste overser:
Samtykke avgjør ikke primært om du blir betalt. Det avgjør hvor mye.
Tre begreper, for dette laget er virkelig tettpakket:
Skreller man vekk abstraksjonen, er privacy-laget bare noen få felter. I OpenRTB 2.6:
"regs": {
"gdpr": 1,
"gpp": "DBABMA~CPXxRfAPXxRf...",
"gpp_sid": [2, 7]
},
"user": { "ext": { "consent": "CPXxRfAPXxRfABcAB..." } }gdpr: 1 = GDPR gjelder, 0 = nei, utelatt = ukjentgpp: Global Privacy Platform – konvolutten for flere lovgivningergpp_sid: seksjoner som gjelder: 2 = TCF Europa, 7 = US Nationaluser.ext.consent: selve TC Stringen
Legg merke til oppdelingen. regs.gdpr er bare et flagg – det sier at regimet gjelder. Det forteller ikke kjøperen noe om hva brukeren faktisk har tillatt. Substansen er den ugjennomsiktige stringen borte i user.ext.consent. Du trenger begge.
Og gpp, som ligger ved siden av? Det er Global Privacy Platform – én konvolutt som bærer Europas TCF-string, et amerikansk delstatssignal og Canadas, hver som en nummerert seksjon. Samme triks som OpenRTB selv gjorde for auksjoner: Stopp alle fra å finne opp sitt eget format. I takt med at det amerikanske privacy-lappeteppet vokser, blir nettopp det feltet stille og rolig det som betyr noe.
Før Prebid lar et eneste bud forlate siden, leser TCF Control-modulen den stringen og stiller fem spørsmål, ett per Purpose. Hvert "nei" lukker sin egen port. Og her er det som tar livet av boolean-tanken: Portene svinger ikke i takt.
Fullt samtykke åpner alle fem. Berettiget interesse – fallbacken når en bruker ikke aktivt sier ja – åpner bare noen av dem:
Visualisering generert med claude.ai
Det mellomrommet er hele historien. Under TCF v2.3 – den versjonen IAB gjorde obligatorisk i starten av 2026 – kan berettiget interesse ikke bære personaliserte annonser: Purpose 3 til 6 krever ekte samtykke. Så på et grunnlag av berettiget interesse kan du fortsatt kjøre en kontekstuell auksjon (Purpose 2) og måle den (Purpose 7), men lagring (Purpose 1), identitet (Purpose 4) og presis geolokasjon krever alle samtykke. Tre av de fem portene smeller igjen.
Den som gjør mest vondt, er Purpose 4. Når den er lukket, fjerner Prebid user.ext.eids før noen adapter ser det – hele identitetsstigen fra del 4, borte for den impressionen. Du er ikke i mørket; auksjonen kjører fortsatt. Du har bare falt ned til en kontekstuell annonse – Googles "limited ads"-modus, tegnet opp port for port. (Mister du også Purpose 2, uten verken samtykke eller berettiget interesse, stopper selv auksjonen – bidderne byr ikke i det hele tatt.)
Men fem porter er den forenklede utgaven. Den virkelige TCF-listen er lengre – elleve Purposes og to Special Features:
Visualisering generert med claude.ai
De gode nyhetene ligger i den nederste halvdelen. Berettiget interesse holder mer i live enn man skulle frykte: ikke bare den kontekstuelle auksjonen, men hele måle- og målgruppeblokken – annonse- og innholdsmåling, publikumsstatistikk, tjenesteforbedring og innholdsutvelgelse (Purpose 7 til 11).
Det som reelt faller bort uten samtykke, er en tett klynge: lagring på enheten (Purpose 1), de fire personaliserings-Purposene (3 til 6) og special features som presis geolokasjon. Så "intet samtykke" uthuler ikke requestet – det fjerner identitet og personalisering, mens måling og kontekst fortsetter å virke. Det er derfor limited ads fortsatt tjener en betydelig slant fremfor ingenting.
Hver eneste av disse portene tuner du med config – nøyaktig mønsteret fra del 3:
pbjs.setConfig({
consentManagement: {
gdpr: {
cmpApi: 'iab',
defaultGdprScope: true,
rules: [
{ purpose: "storage", enforcePurpose: true, enforceVendor: true },
{ purpose: "basicAds", enforcePurpose: true, enforceVendor: true },
{ purpose: "personalizedAds", enforcePurpose: true, enforceVendor: true },
{ purpose: "measurement", enforcePurpose: true, enforceVendor: true },
{ purpose: "transmitPreciseGeo", enforcePurpose: true }
]
}
}
});
Hovedbryteren var aldri én bryter. Det er fem porter, og stringen avgjør hvilke som åpner.
Å fange en consent string og sende den videre er de enkle 5 %. Å respektere den er de andre 95 % – de fem portkontrollene, utført på nytt i hver eneste auksjon, før noe forlater nettleseren.
Og det er en ubehagelig vri her. Den stringen du så omhyggelig sender rundt? Domstolene har nå avgjort at den i seg selv er persondata. I IAB Europe mot Gegevensbeschermingsautoriteit (EU-domstolen, sak C-604/22, mars 2024) slo domstolen fast at en TC String kan identifisere en person når den kombineres med noe som en IP-adresse. Den saken går tilbake til en avgjørelse fra det belgiske datatilsynet i 2022, som ga IAB Europe en bot på 250.000 € for rammeverket – en bot som markedsdomstolen i Brussel i det store og hele stadfestet i mai 2025.
Signalet vi bygde for å bevise at vi respekterer personvernet, er nå selv regulert som persondata. Kvitteringen ble til bevismateriale. Om rammeverket er holdbart compliant, er reelt uavklart. (Jeg er ad-tech-nerd, ikke advokat. Ta det som kontekst, ikke som rådgivning.)
Og så til grunnen til at "boolean" er feil ord. Når samtykket forsvinner, går du som oftest ikke i svart. Du faller ned i en dårligere tilstand. Google kaller det Limited Ads: kun kontekstuelt, ingen lagrede identifikatorer. Annonsen blir fortsatt levert. Den blir bare levert for mindre.
Så samtykke er ikke en bryter mellom betalt og ubetalt. Det er en dreieknapp for hvor mye.
Jeg ga deg tallene våre i del 4: Over drøyt 3,3 milliarder impressions kjørte omtrent hver femte i den begrensede tilstanden uten fullt samtykke og tjente rundt 27 % mindre i snitt. Men gjennomsnittet skjuler historien: Den rene open auction – den demanden som lener seg hardest på tredjepartsidentitet – mistet rundt 60 % av verdien sin i det øyeblikket samtykket forsvant, mens PMP og header bidding mistet rundt en fjerdedel, og guaranteed og sponsorater bare ensifrede prosenter.
Samme mønster som identitetsstigen, fordi det er det samme mønsteret. Samtykke koster deg mest akkurat der du kontrollerer minst.
Samtykke er ikke en boolean.
regs.gdpr) pluss en ugjennomsiktig string (user.ext.consent) – i økende grad inne i GPP-konvolutten.Dette er den femte artikkelen i serien i ni deler Hva skjuler seg egentlig i et bid request?
La oss hjelpe deg med å få maksimalt ut av display-kampanjene dine.
