L'accord d'engagement d'août 2026 entre le Bundeskartellamt, l’autorité de concurrence fédérale allemande et Apple s'apprête à modifier la gestion du consentement sur iOS et iPadOS.
Depuis son annonce lors de la présentation d'iOS 14, l'App Tracking Transparency (ATT) d'Apple n'a cessé de faire réagir l'écosystème MarTech/AdTech et les autorités de régulation.
Six ans plus tard, c'est une étape décisive avec la publication par le régulateur allemand d'une note contraignant Apple à prévoir des changements pour se conformer aux exigences de la réglementation européenne.
Tout commence avec l'identifiant publicitaire d'Apple
IDFA (Identifier for Advertisers)
Chaque iPhone et iPad dispose d'un identifiant publicitaire unique attribué par défaut nommé IDFA (Identifier for Advertisers). Cet identifiant permet de suivre précisément les activités d'une application à une autre permettant ainsi le ciblage et la mesure pour l'ensemble de l'écosystème publicitaire.
Avant avril 2021, l'accès à cet identifiant était activé par défaut. Pour désactiver ce suivi, il était possible d'activer l'option « suivi publicitaire limité » dans les réglages de l'appareil.
Avec cet identifiant lié au système d'exploitation de l'appareil, le suivi est qualifié et déterministe. C'est la solution idéale pour mesurer les actions dont l'installation des applications, l'analyse du parcours utilisateurs ainsi que proposer des annonces ciblées et personnalisées aux utilisateurs identifiés.
Lancement de l'App Tracking Transparency (ATT) en 2021
A partir de la mise à jour iOS 14.5 en 2021, Apple impose aux applications d'avoir le consentement des utilisateurs pour pouvoir obtenir cet identifiant de suivi des utilisateurs. L'idée est de donner le choix à l'utilisateur sur chaque application de partager ou non l'identifiant IDFA. Cette décision est alignée avec la volonté d'Apple de protéger la vie privée de ses utilisateurs.
2021-2026 : l'écosystème et les régulateurs en opposition à l'ATT
Depuis le lancement de l'ATT en avril 2021, les instances européennes ont mené des enquêtes et sanctionné Apple notamment pour le design qui incite au refus du suivi par l'utilisateur, mettant ainsi en avant sa propre solution de publicité pour les applications mobiles.
Ces pratiques ont été jugées comme un abus de position dominante de la part d'Apple et ont été sanctionnées par plusieurs amendes, dont une de 150 millions d'euros en France en mars 2025 et une autre de 98,6 millions d'euros en Italie en décembre 2025.
La fronde est aussi venue de l'écosystème AdTech et MarTech et de leurs différentes associations en Europe.
Le double standard : la différence entre « tracking » et « personnalisation »
Le procès du « nudging », l'argument majeur des régulateurs
La régie publicitaire d'Apple (Apple Search Ads) n'utilise pas le framework ATT pourtant imposé à ses concurrents.
Apple impose une règle dont son propre écosystème publicitaire s'affranchit.
Ce double standard graphique et de vocabulaire a été qualifié d'architecture de choix biaisée (nudging) pour orienter le choix de l'utilisateur. C'est l'un des motifs retenus par les régulateurs pour condamner Apple pour abus de position dominante.
Pour recueillir le consentement des utilisateurs, Apple propose un écran de consentement spécifique axé sur la « personnalisation » contrairement aux développeurs tiers, contraints d'afficher le terme de « suivi » (track).
Décision du Bundeskartellamt et les changements obtenus
Le 17 août 2026, le régulateur allemand, le Bundeskartellamt, a publié non pas une nouvelle amende, mais les aménagements qu'Apple a accepté de mettre en œuvre et qui devraient être déployés pour les utilisateurs de l'Union européenne.
Le Bundeskartellamt a imposé à Apple la refonte graphique et éditoriale du prompt ATT d'iOS et d'iPadOS. Apple s'est engagée à modifier le design du prompt ATT (la pop-up système) et à autoriser une intégration unifiée du consentement sur iOS et iPadOS.
- Suppression des icônes : Le symbole de la main et l'icône orange d'avertissement seront supprimés du prompt car jugés dissuasif pour l'utilisateur.
- Changement de formulation : Le prompt de l'ATT devra désormais adopter une formulation et une structure neutres, avec la même approche que le prompt de consentement qu'Apple utilise pour sa propre régie (PA Prompt).
Une nouvelle ère pour la collecte des données dans l'environnement Apple
Le double consentement : ATT et RGPD
L'App Tracking Transparency (ATT) est une permission technique intégrée au système d'exploitation d'Apple (iOS et iPadOS) pour donner à l'utilisateur le contrôle de l'accès à l'identifiant publicitaire (IDFA) par les applications.
Cette autorisation ne se substitue pas au recueil du consentement valide au sens du RGPD. La plateforme de gestion du consentement (CMP) est le seul outil habilité à gérer la conformité réglementaire.
En pratique, les éditeurs sont donc contraints de présenter le prompt ATT d'Apple et la CMP auprès de l'utilisateur pour que le suivi publicitaire soit à la fois activé techniquement et conforme à la loi.
Cette sollicitation de l'ATT d'Apple et son usage en doublon ont été étudiés et qualifiés par plusieurs autorités de régulation européennes.
L'autorité britannique de la concurrence (CMA) a théorisé dès 2022 l'« architecture de choix » (choice architecture). De son côté, la CNIL a qualifié cette double sollicitation de « complexité inutile et artificielle » pour l'utilisateur dans son avis de 2022, tandis que le Bundeskartellamt allemand a condamné en 2026 une « architecture de choix inutilement complexe » (unnecessarily complicated choice architecture).
Ce parcours redondant sature l'expérience et pourrait créer de la confusion chez les utilisateurs entraînant une fatigue de consentement (consent fatigue) qui pourrait influencer le refus du tracking par l'utilisateur, selon l'idée partagée par le GESTE à la CNIL :
Le fait de demander deux fois d'affilée un consentement à l’utilisateur sur la collecte et l’utilisation de ses données est une source de perturbation de l'expérience de l'utilisateur pour l'accès au contenu, une source de fatigue de consentement et même une source de réponses contradictoires, irrationnelles du fait des biais cognitifs que cette double sollicitation introduit
Les 3 parcours de consentement proposés
Dans la note associée du Bundeskartellamt au communiqué de presse, les solutions de mise en œuvre du prompt de l'App Tracking Transparency et de la gestion de la plateforme de consentement sont précisées.
En 2024, la CNIL publiait ses recommandations relatives aux applications mobiles qui est un document de référence. Avec les FAQ du Bundeskartellamt du 17 août 2026, une nouvelle étape est franchie en matière de recommendation du régulateur.
Trois scénarios possibles sont proposés, et tous profitent du changement du prompt ATT négocié avec Apple.
Option 1 : Le Prompt fusionné avec la CMP intégrée au prompt ATT
Cette option permet de proposer à l'utilisateur un écran unique de consentement en intégrant directement les exigences de la CMP au sein du prompt ATT d'Apple ce qui supprime l'enchaînement de deux écrans consécutifs de choix (le prompt ATT et la CMP).
Une zone de texte personnalisable sera ajoutée au prompt (Customizable Purpose String) avec jusqu'à 4 000 caractères ce qui permet d'afficher les mentions d’information légales de premier niveau requises (First Layer) par le RGPD pour expliquer le suivi publicitaire.
Les actions possibles de l'utilisateur sont également intégrées nativement dans l'interface du prompt. Pour rappel, la bannière de la Consent Management Platform (CMP) doit proposer les options pour que l'utilisateur :
- Accepter en totalité le tracking
- Refuser en totalité le tracking
- Accéder au détail et pouvoir donner son accord partiel
C'est un changement majeur pour la gestion du consentement dans l'écosystème des applications.
L'écran pour les paramètres granulaire (niveau 2) est géré par l'application (ou délégué à la CMP) pour permettre à l'utilisateur d’ajuster ses choix par finalité et d'avoir le détail des vendors.
La relance à 12 mois pour l'ATT est possible uniquement si l'utilisateur passe par le niveau 2 et a accepté le suivi via la CMP.
Option 2 : la séquence CMP puis prompt ATT
C'est une séquence en deux temps avec la CMP de l'éditeur qui s'affiche en premier l'écran principal. Dans un second temps, plusieurs scénarios sont possibles :
- Si l'utilisateur accepte la CMP : l'application déclenche le prompt ATT
- Si l'utilisateur a consenti à la CMP mais a décliné le prompt ATT : Apple autorise à afficher de nouveau le prompt ATT après un délai de 12 mois (si le consentement CMP est toujours actif)
- Si l'utilisateur refuse sur la CMP : l'application a l'interdiction légale d'afficher le prompt ATT (l'IDFA reste bloqué par défaut)
Cette option propose un double consentement avec le risque à nouveau de consent fatigue.
Option 3 : CMP et prompt ATT fonctionnent indépendamment
Aussi une logique de double consentement mais contrairement à l'option 2, il n'y a pas de séquence pour cette dernière option proposée dans le document du Bundeskartellamt.
La CMP et le prompt de l'ATT s'affichent l'une après l'autre de manière totalement indépendante et sans communication technique.
Comme il n'y a aucune liaison technique pour prouver à l'OS d'Apple que l'utilisateur a par ailleurs consenti à la CMP, la règle des 12 mois ne peut pas s'appliquer. Le refus est donc définitif au niveau de l'OS. Pour réactiver le suivi, l'utilisateur peut toujours faire la démarche dans les réglages de son appareil.
Au-delà de la fatigue de consentement : critères de choix pour l'ATT et la CMP
L'option 1 est la seule qui réduit la consent fatigue, est-ce donc le choix à privilégier ? C'est un arbitrage difficile car c'est aussi un choix risqué car ce fonctionnement favorise un choix "du tout ou rien" pour le suivi et la mesure publicitaire.
Depuis le lancement d'ATT, Apple propose une alternative de mesure sans l'IDFA (Identifier for Advertisers) fondée sur l'anonymisation et l'agrégation des données soumises à un seuil de volume statistique. Les applications bénéficiant d'un important volume d'utilisateurs sont donc les plus à même de surmonter cet enjeu et de franchir ces seuils.
Le critère de décision et d'arbitrage se situe entre la recherche du suivi nominatif (via l'IDFA) et la résilience de la mesure anonymisée assurée par les protocoles SKAdNetwork (SKAN) ou AdAttributionKit (AAK) d'Apple.
En cas de refus de l'ATT : la mesure sans identifiant avec Apple
En cas de refus du suivi par l'IDFA, Apple propose une alternative de mesure et de suivi pour piloter les campagnes. Au lieu de partager un identifiant publicitaire individuel, Apple s'appuie sur une solution d’attribution qui transmet des données nettoyées, anonymisées et regroupées sous forme de cohortes. Ce système est en place depuis le lancement de l'App Tracking Transparency.
Cette méthode protège la vie privée de l'utilisateur en empêchant les acteurs de la mesure publicitaire de lier une action à un utilisateur spécifique.
SKAdNetwork et AdAttributionKit
Le protocole historique SKAdNetwork (SKAN) est aujourd’hui remplacé par AdAttributionKit (AAK). Cette version introduite à partir d'iOS 17.4 apporte de nouvelles fonctionnalités comme la gestion avancée des campagnes de réengagement, de fenêtres d'attribution configurables et une intégration native hors de l'App Store d'Apple répondant aux exigences du Digital Markets Acts (DMA) européen.
L'obstacle juridique
Les frameworks SKAdNetwork (SKAN) et AdAttributionKit (AAK) sont par conception respectueux de la vie privée (Privacy by Design) car ils n'utilisent pas l'identifiant individuel (IDFA).
Pour les régulateurs, si un utilisateur européen clique sur « tout refuser » sur l'écran principal, le refus est strict. L'éditeur a l'interdiction légale d'exploiter le suivi anonymes proposé par Apple.
La règle de l'article 82 (Directive ePrivacy) impose en effet d'obtenir un consentement préalable pour toute opération de lecture ou d'écriture d'informations dans le terminal de l'utilisateur. La loi s'applique indépendamment du fait que les données soient nominatives ou anonymisées.
En résumé : comparatif des 3 scénarios pour une application pour l'ATT et la CMP
| Critères | Option 1 | Option 2 | Option 3 |
|---|---|---|---|
| Type d'intégration | Prompt fusionné (ATT + CMP) | Séquence (CMP puis ATT) | CMP et ATT indépendants |
| Parcours utilisateur | Écran unique (CMP intégrée dans le prompt ATT) | 2 écrans consécutifs (CMP puis pop-up ATT) | 2 écrans avec une double sollicitation (sans liaison technique) |
| Le premier niveau d'information (First Layer) |
Intégrée au Prompt ATT (jusqu'à 4 000 car.) | Gérée sur l'écran CMP de l'éditeur | Gérée sur l'écran CMP de l'éditeur |
| Suivi nominatif (IDFA) | Actif si clic sur « Autoriser » (Niv. 1) ou paramétré (Niv. 2) | Actif si validation CMP ET clic sur « Autoriser » (ATT) | Actif si validation CMP ET clic sur « Autoriser » (ATT) |
| Mesure SKAN / AAK (sans IDFA) | Bloquée si refus direct au Niveau 1 Active si acceptation ou personnalisation (Niveau 2) |
Active dès que la CMP est validée (même si l'ATT est refusé) | Active uniquement si la CMP séparée est validée |
| Relance à 12 mois | Autorisée uniquement si l'utilisateur personnalise (Niveau 2) | Autorisée si CMP = Oui et ATT = Non | Interdite (refus définitif au niveau de l'OS) |
| Fatigue de consentement | Réduction du nombre de clics | Élevée (risque de rejet au 2ᵉ écran) | Très élevée |
Selon les régulateurs européens, la mesure via les frameworks SKAdNetwork (SKAN) ou AdAttributionKit (AAK) nécessite impérativement le consentement préalable collecté par la CMP pour être partagé aux Mobile Measurement Partner (MMP) et aux acteurs publicitaires. C'est une contrainte réglementaire spécifique pour les utilisateurs européens.
Et maintenant ?
Les quatre mois accordés à Apple après la décision du 13 août 2026 vont permettre la mise en opération avec les développeurs et les CMP pour déployer les premières phases de test des options présentées dans l'accord.
Pour les éditeurs d'application, c'est le moment de faire l'état des lieux de la gestion de la CMP et du tracking pour anticiper la transition sur iOS et iPadOS tant pour la conformité de collecte que la qualité de la donnée.
