I del 4 kallade jag inledningsvis samtycke för "huvudströmbrytaren" – det som, när det är avstängt, kollapsar hela identitetsstegen till anonym.
En strömbrytare är binär. På eller av, annons eller ingen annons. Och nästan alla behandlar samtycke precis så: Användaren tryckte på en banner, vi fångade en consent string, vi stoppade in den i bid requesten, klart. Compliant.
Men det som körs i din auktion är inte en strömbrytare. Det påminner mer om en gränskontroll – en som ställer samma fem frågor till varenda impression och släpper igenom en del medan annat avvisas. Consent stringen är inte beslutet. Den är dokumentet du räcker fram vid kontrollen. Så det är här huvudströmbrytaren plockas isär – och här vi kommer till den del som de flesta missar:
Samtycke avgör inte i första hand om du får betalt. Det avgör hur mycket.
Tre begrepp, för det här lagret är verkligen tätpackat:
Skalar man bort abstraktionen är privacy-lagret bara några få fält. I OpenRTB 2.6:
"regs": {
"gdpr": 1,
"gpp": "DBABMA~CPXxRfAPXxRf...",
"gpp_sid": [2, 7]
},
"user": { "ext": { "consent": "CPXxRfAPXxRfABcAB..." } }gdpr: 1 = GDPR gäller, 0 = nej, utelämnat = okäntgpp: Global Privacy Platform – kuvertet för flera lagstiftningargpp_sid: sektioner som gäller: 2 = TCF Europa, 7 = US Nationaluser.ext.consent: själva TC Stringen
Lägg märke till uppdelningen. regs.gdpr är bara en flagga – den säger att regimen gäller. Den talar inte om för köparen vad användaren faktiskt har tillåtit. Substansen är den ogenomskinliga stringen borta i user.ext.consent. Du behöver båda.
Och gpp som ligger bredvid? Det är Global Privacy Platform – ett kuvert som bär Europas TCF-string, en amerikansk delstatssignal och Kanadas, var och en som en numrerad sektion. Samma trick som OpenRTB själv gjorde för auktioner: Hindra alla från att uppfinna sitt eget format. I takt med att det amerikanska privacy-lapptäcket växer blir just det fältet i det tysta det som betyder något.
Innan Prebid låter ett enda bud lämna sidan läser dess TCF Control-modul den stringen och ställer fem frågor, en per Purpose. Varje "nej" stänger sin egen port. Och här är det som dödar boolean-tanken: Portarna svänger inte i takt.
Fullt samtycke öppnar alla fem. Berättigat intresse – fallbacken när en användare inte aktivt säger ja – öppnar bara några av dem:
Visualisering genererad med claude.ai
Det mellanrummet är hela historien. Under TCF v2.3 – den version som IAB gjorde obligatorisk i början av 2026 – kan berättigat intresse inte bära personaliserade annonser: Purpose 3 till 6 kräver riktigt samtycke. Så på en grund av berättigat intresse kan du fortfarande köra en kontextuell auktion (Purpose 2) och mäta den (Purpose 7), men lagring (Purpose 1), identitet (Purpose 4) och precis geolokalisering kräver alla samtycke. Tre av de fem portarna slår igen.
Den som gör mest ont är Purpose 4. När den är stängd tar Prebid bort user.ext.eids innan någon adapter ser det – hela identitetsstegen från del 4, borta för den impressionen. Du är inte i mörker; auktionen körs fortfarande. Du har bara fallit ner till en kontextuell annons – Googles "limited ads"-läge, uppritat port för port. (Förlorar du också Purpose 2, utan vare sig samtycke eller berättigat intresse, stannar även auktionen – bidderna bjuder inte alls.)
Men fem portar är den förenklade versionen. Den riktiga TCF-listan är längre – elva Purposes och två Special Features:
Visualisering genererad med claude.ai
De goda nyheterna finns i den nedre halvan. Berättigat intresse håller mer vid liv än man kunde frukta: inte bara den kontextuella auktionen, utan hela mät- och målgruppsblocket – annons- och innehållsmätning, publikstatistik, tjänsteförbättring och innehållsurval (Purpose 7 till 11).
Det som faktiskt faller bort utan samtycke är ett tätt kluster: lagring på enheten (Purpose 1), de fyra personaliserings-Purposes (3 till 6) och special features som precis geolokalisering. Så "inget samtycke" urholkar inte requesten – det tar bort identitet och personalisering, medan mätning och kontext fortsätter att fungera. Det är därför limited ads fortfarande tjänar en betydande bit snarare än ingenting.
Var och en av dessa portar tunar du med config – exakt mönstret från del 3:
pbjs.setConfig({
consentManagement: {
gdpr: {
cmpApi: 'iab',
defaultGdprScope: true,
rules: [
{ purpose: "storage", enforcePurpose: true, enforceVendor: true },
{ purpose: "basicAds", enforcePurpose: true, enforceVendor: true },
{ purpose: "personalizedAds", enforcePurpose: true, enforceVendor: true },
{ purpose: "measurement", enforcePurpose: true, enforceVendor: true },
{ purpose: "transmitPreciseGeo", enforcePurpose: true }
]
}
}
});
Huvudströmbrytaren var aldrig en enda brytare. Det är fem portar, och stringen avgör vilka som öppnas.
Att fånga en consent string och skicka den vidare är de enkla 5 %. Att respektera den är de andra 95 % – de fem portkontrollerna, utförda på nytt i varenda auktion innan något lämnar webbläsaren.
Och det finns en obehaglig hake. Den string du så omsorgsfullt skickar runt? Domstolarna har nu slagit fast att den i sig själv är persondata. I IAB Europe mot Gegevensbeschermingsautoriteit (EU-domstolen, mål C-604/22, mars 2024) fastslog domstolen att en TC String kan identifiera en person när den kombineras med något som en IP-adress. Det målet går tillbaka till ett beslut från den belgiska dataskyddsmyndigheten 2022, som gav IAB Europe böter på 250.000 € för ramverket – böter som marknadsdomstolen i Bryssel i allt väsentligt fastställde i maj 2025.
Signalen vi byggde för att bevisa att vi respekterar integriteten är nu själv reglerad som persondata. Kvittot blev till bevismaterial. Om ramverket är hållbart compliant är i praktiken oavgjort. (Jag är ad-tech-nörd, inte advokat. Ta det som kontext, inte som rådgivning.)
Och så till skälet till att "boolean" är fel ord. När samtycket försvinner blir det för det mesta inte svart. Du faller ner i ett sämre läge. Google kallar det Limited Ads: enbart kontextuellt, inga sparade identifierare. Annonsen levereras fortfarande. Den levereras bara för mindre.
Så samtycke är inte en brytare mellan betalt och obetalt. Det är ett vred för hur mycket.
Jag gav dig våra siffror i del 4: Över drygt 3,3 miljarder impressions kördes ungefär var femte i det begränsade läget utan fullt samtycke och tjänade omkring 27 % mindre i genomsnitt. Men genomsnittet döljer historien: Den rena open auction – den demand som lutar sig hårdast mot tredjepartsidentitet – förlorade omkring 60 % av sitt värde i det ögonblick samtycket försvann, medan PMP och header bidding förlorade ungefär en fjärdedel, och guaranteed och sponsorskap bara ensiffriga procenttal.
Samma mönster som identitetsstegen, eftersom det är samma mönster. Samtycke kostar dig mest precis där du kontrollerar minst.
Samtycke är inte en boolean.
regs.gdpr) plus en ogenomskinlig string (user.ext.consent) – i allt högre grad inuti GPP-kuvertet.Det här är den femte artikeln i serien i nio delar Vad döljer sig egentligen i en bid request?
Låt oss hjälpa dig att få ut maximalt av dina displaykampanjer.
