Consentement sur iOS : la fin du double standard Apple

En août 2026, le Bundeskartellamt a obligé Apple à revoir son prompt ATT. Avec iOS 27.2, les applications distribuées dans l'Union européenne peuvent afficher un écran neutre aux boutons symétriques, articuler ATT et CMP, et relancer l'utilisateur un an après sa réponse. Ce nouveau prompt est obligatoire en France, en Allemagne, en Italie, en Pologne et en Roumanie.

Depuis le lancement d'iOS 14.5 en avril 2021, le parcours utilisateur sur mobile tenait du parcours du combattant. Deux fenêtres de consentement successives (la CMP puis le prompt ATT) perturbaient la navigation. Qualifiée de « complexité inutile et artificielle » par la CNIL, cette mécanique a fait chuter le suivi publicitaire sur iPhone. Le 17 août 2026, l'autorité allemande de la concurrence a sifflé la fin de la récréation en contraignant Apple à réviser sa copie en Allemagne, une révision qu'Apple étend désormais à toute l'Union européenne.

1. Pourquoi le consentement sur iOS imposait-il deux fenêtres ?

Avant avril 2021, l'identifiant publicitaire d'Apple (l'IDFA) fonctionnait en mode opt-out. Les éditeurs pouvaient mesurer l'efficacité de leurs campagnes et cibler leurs audiences tant que l'utilisateur n'allait pas fouiller dans les réglages de son téléphone pour désactiver le suivi.

Le lancement du cadre App Tracking Transparency (ATT) sur iOS 14.5 a brutalement inversé la logique en imposant un passage obligatoire à un opt-in explicite. Aux États-Unis, en l'absence de législation fédérale équivalente au RGPD, l'ATT s'est imposé comme l'unique étape de consentement. En Europe, la situation s'est révélée bien différente.

Pour les acteurs européens, le problème tenait à la superposition des exigences. Pour respecter le RGPD, les applications devaient déjà afficher une bannière de consentement (CMP) dédiée à la collecte des données. En imposant son propre écran par-dessus, iOS forçait l'utilisateur à valider deux pop-ups successives pour une seule et même application, déclenchant une consent fatigue massive.

Dès mai 2022, dans un avis rendu à l'Autorité de la concurrence, la CNIL dénonçait cette double sollicitation en la qualifiant de « complexité inutile et artificielle ». Apple appliquait en effet une règle à deux vitesses. Alors que les éditeurs tiers subissaient ce double frein sur le marché européen, le géant américain se contentait d'une seule fenêtre intitulée « Publicité personnalisée » pour ses propres services.

2. Comment l'Europe a-t-elle sanctionné le nudging d'Apple ?

Au-delà de la multiplication des écrans, le piège tenait au nudging orchestré par Apple. Cette pratique consiste à orienter insidieusement les choix de l'utilisateur en jouant sur le design et la formulation des textes. Dans la fenêtre ATT d'origine, tout était pensé pour inciter au refus, du bouton de rejet mis en évidence à la main d'avertissement, en passant par l'usage répété du mot « track », sciemment choisi pour faire tiquer le grand public.

Face à ces biais, la riposte européenne s'est accélérée. L'Autorité de la concurrence française a ouvert le bal en mars 2025 avec une amende de 150 millions d'euros pour abus de position dominante, rapidement suivie par l'Italie avec 98,6 millions en décembre 2025. Le dénouement est survenu le 17 août 2026, lorsque le Bundeskartellamt allemand a imposé à Apple des engagements contraignants sur 7 ans sous le contrôle d'un mandataire indépendant.

3. Qu'est-ce qui change avec le nouveau prompt ATT ?

Les engagements acceptés cet été remplacent la fenêtre d'avertissement punitive par une interface neutre. Le mot « track » et la main d'avertissement disparaissent au profit d'un affichage pleine page doté de deux boutons parfaitement symétriques, l'un pour accepter, l'autre pour refuser.

Les éditeurs y gagnent surtout un espace texte personnalisable de 4 000 caractères (prévue par les engagements allemands, cette limite n'apparaît pas encore dans la documentation d'Apple) pour détailler les avantages du partage de données, ainsi que la possibilité de solliciter à nouveau l'utilisateur un an après sa dernière réponse, qu'il ait accepté ou refusé.

4. Comment intégrer ATT et la CMP ? Les trois options

La décision du 17 août 2026 définit trois options techniques pour organiser le recueil des autorisations au sein des applications.

Sur le plan juridique, le refus exprimé au niveau de la CMP prime toujours. Si un utilisateur refuse l'ensemble des finalités concernées sur le premier écran RGPD, l'application ne peut pas déclencher le prompt ATT et l'accès à l'IDFA demeure bloqué.

5. Quand le nouveau prompt ATT devient-il obligatoire ?

Officialisé le 16 septembre 2026, ce prompt alternatif arrive avec la première bêta d'iOS et iPadOS 27.2. Proposé en option dans toute l'Union européenne, son usage devient obligatoire pour les applications distribuées en France, en Allemagne, en Italie, en Pologne et en Roumanie.

Cette évolution technique de l'ATT ne modifie en rien les exigences du RGPD. Obtenir un accord sur l'interface d'Apple ne dispense aucunement de recueillir un consentement valide pour le traitement des données personnelles.

Une question de taille demeure en suspens. Apple continue d'exempter de consentement ses frameworks d'attribution agrégés, SKAdNetwork et AdAttributionKit, ouverts à tous les annonceurs. L'asymétrie la plus nette est ailleurs : les campagnes Apple Ads remontent leurs données via l'API AdServices, un canal que les réseaux publicitaires tiers ne partagent pas. Au vu de la position stricte des autorités de contrôle sur le suivi sans IDFA, ce point mérite d'être surveillé.

6. Quelle feuille de route pour les équipes mobile ?

L'arrivée d'iOS 27.2 impose d'adapter votre stratégie de collecte.

La priorité consiste à mesurer la déperdition actuelle entre CMP et ATT pour évaluer le gain potentiel d'une transition. Il faut ensuite trancher entre les différentes options, tout en préparant la rédaction des 4 000 caractères d'explication en lien avec votre DPO.

Notre avis chez Smart Bees : privilégiez l'option 1, le prompt fusionné. Côté UX, l'utilisateur ne voit plus qu'un seul écran au lieu de deux, ce qui limite la consent fatigue. Côté tracking, un seul parcours de consentement veut dire un seul point de collecte à instrumenter, moins d'états à réconcilier entre CMP et ATT, et une recette bien plus simple à maintenir dans le temps.

Deux points de vigilance cependant. D'abord, tout ce qui s'affiche derrière le bouton « Additional Information » relève de votre responsabilité juridique : le texte se valide avec votre DPO. Ensuite, un passage par cet écran renvoie le statut « notDetermined » tant que l'utilisateur n'est pas revenu valider dans la feuille ATT. Prévoyez-le dans votre plan de marquage et dans la configuration de votre MMP, sinon ces détours remonteront comme des abandons.

Côté technique, la prudence reste de rigueur. Apple a publié sa documentation le 16 septembre (nouvelle demande d'autorisation à interface étendue et nouvelle clé Info.plist acceptant du Markdown), mais iOS 27.2 est encore en bêta : mieux vaut attendre la version finale avant de figer les développements lourds.

Sources : Bundeskartellamt, communiqué du 17 août 2026 ; Apple Developer, « Updates to App Tracking Transparency in the European Union », 16 septembre 2026 ; Autorité de la concurrence, décision 25-D-02 (mars 2025) ; Apple Developer, « User Privacy and Data Use », section « ATT in the European Union ».