Ciblage publicitaire : l’Autorité de la concurrence prononce une sanction de 150 000 000 euros à l’encontre d’Apple en raison de la mise en œuvre du dispositif App Tracking Transparency (« ATT »)

L'essentiel

L’Autorité de la concurrence sanctionne Apple d’une amende de 150 000 000 euros, pour avoir, entre avril 2021 et juillet 2023, abusé de sa position dominante dans le secteur de la distribution d’applications mobiles sur les terminaux iOS et iPadOS.

Dans cette affaire, l’Autorité avait préalablement rejeté une demande de prononcé de mesures conservatoires, tout en décidant de poursuivre l’instruction au fond.

Dans le cadre de l’instruction au fond du dossier, l’Autorité constate que si l’objectif poursuivi par le dispositif ATT n’est pas critiquable en soi, ses modalités de mise en œuvre ne sont ni nécessaires ni proportionnées à l’objectif affiché par Apple de protection des données personnelles.

En effet, l’introduction du dispositif engendre une multiplication des fenêtres de recueil de consentement compliquant excessivement le parcours des utilisateurs d’applications tierces au sein de l’environnement iOS. Par ailleurs, l’Autorité souligne que les règles encadrant l’interaction entre les différentes fenêtres ainsi affichées portent atteinte à la neutralité du dispositif, causant un préjudice économique certain aux éditeurs d’applications et aux fournisseurs de services publicitaires. À cet égard, l’Autorité a relevé que l’ATT, tel que mis en œuvre par Apple, pénalisait tout particulièrement les plus petits éditeurs dans la mesure où contrairement aux principales plateformes verticalement intégrées, ces opérateurs dépendent en grande partie de la collecte de données tierces pour financer leur activité.

Le dispositif ATT mis en place par Apple le 26 avril 2021

Apple a introduit au mois d’avril 2021, au moment du lancement de la version 14.5 des systèmes d’exploitation iOS et iPadOS pour ses terminaux mobiles intelligents, le dispositif de transparence du suivi par les applications mobiles (App Tracking Transparency, dit « ATT »). Celui-ci consiste à demander, en vue d’une meilleure protection de la vie privée et par l’affichage d’une fenêtre de format partiellement standardisé, le consentement des utilisateurs d’iPhones ou d’iPads aux opérations de collecte de leurs données sur des applications tierces dans l’écosystème iOS et iPadOS exploité par Apple. Ce consentement, sollicité avant toute utilisation d’une application nouvellement téléchargée dans l’App Store autorise l’application concernée à collecter les données de l’utilisateur à des fins de ciblage publicitaire. En cas de consentement, l’application peut accéder à l’Identifier for Advertisers (« IDFA »), l’identifiant du terminal qui permet le suivi de celui-ci à travers son utilisation des applications et sites tiers.

L’Autorité avait, par une décision du 17 mars 2021, refusé la demande de mesures conservatoires et ordonné la poursuite de l’instruction au fond

Plusieurs associations représentant les différents acteurs de la publicité en ligne (médias, régies internet, agences de publicité, intermédiaires techniques, éditeurs, agences de marketing mobile) avaient saisi l’Autorité de la concurrence le 23 octobre 2020 en prévision de la mise en place de la sollicitation ATT annoncée par Apple. La sollicitation ATT était perçue comme un obstacle aux possibilités de réaliser de la publicité ciblée pour les utilisateurs de terminaux Apple, source de financement importante pour les éditeurs d’applications et autres acteurs de la publicité en ligne.

Dans sa décision du 17 mars 2021, l’Autorité avait décidé de ne pas prononcer de mesures conservatoires, précisant que l’instruction devait être poursuivie au fond.

La sollicitation ATT n’est ni nécessaire ni proportionnée

Si Apple est libre d’édicter des règles de protection des consommateurs supplémentaires à celles imposées par la réglementation, c’est à condition, compte tenu de la responsabilité particulière qui lui incombe en tant qu’opérateur dominant sur le marché de la distribution d’applications mobiles sur les terminaux iOS, de concilier cet objectif légitime avec le respect du droit de la concurrence.

À cet égard, un opérateur dominant qui exploite une plateforme numérique peut orienter le modèle économique des opérateurs référencés sur sa plateforme, limiter leur liberté d’entreprendre, et influer sur la qualité et la diversité de l’offre ouverte aux internautes. Aussi, le fait pour un opérateur dominant tel qu’Apple de mettre en œuvre des règles d’accès à une plateforme numérique disproportionnées ou privées de justification objective, peut affecter le fonctionnement des marchés où les opérateurs économiques référencés sur la plateforme numérique sont actifs et nuire, in fine, aux intérêts des consommateurs.

Or, si la sollicitation ATT n’est pas critiquable dans son principe au regard des bénéfices qu’elle est susceptible d’apporter aux utilisateurs en matière de protection de leur vie privée, l’Autorité a constaté que les modalités de mise en œuvre concrètes de ce dispositif sont abusives au sens du droit de la concurrence, notamment, en ce qu’elles compliquent artificiellement le parcours des utilisateurs d’applications tierces et faussent la neutralité du dispositif au détriment des petits éditeurs se finançant par la publicité.

Un dispositif artificiellement complexe pénalisant spécifiquement les éditeurs d’applications tierces au sein de l’environnement iOS

L’Autorité a constaté que le dispositif ATT imposé par Apple n’est pas nécessaire, dans la mesure où il ne permet pas le recueil d’un consentement valable au regard du droit applicable tel qu’il résulte, notamment de la loi Informatique et Libertés.

En pratique, la circonstance que les éditeurs qui le souhaiteraient ne peuvent s’appuyer sur la sollicitation ATT pour se conformer à leurs obligations légales les contraint à devoir continuer à recourir à leurs propres solutions de recueil du consentement, appelées consent management platform ou « CMP ». Cette situation engendre une multiplication des fenêtres de recueil de consentement compliquant excessivement le parcours des utilisateurs d’applications tierces au sein de l’environnement iOS, ce que la Commission nationale de l’informatique et des libertés (ci-après, la « CNIL ») avait observé dans un avis de 2022 rendu à la demande de l’Autorité.

Des règles de fonctionnement portant atteinte à la neutralité du dispositif

Par ailleurs, les règles encadrant l’interaction entre les différentes fenêtres ainsi affichées portent atteinte à la neutralité du dispositif. En effet, si le refus d’une opération de traçage publicitaire ne doit être effectué qu’une fois, l’acceptation d’une telle opération doit, quant à elle, toujours être confirmée une seconde fois par l’utilisateur. L’asymétrie en résultant empêche le recueil d’un consentement éclairé que l’ATT est pourtant censé favoriser. Ces inconvénients, qui ont causé un préjudice certain aux éditeurs d’applications et aux fournisseurs de services publicitaires, paraissent d’autant moins justifiés que des modifications marginales du dispositif, recommandées par la CNIL, permettraient de les éviter.

L’asymétrie de traitement entre Apple et les éditeurs

Enfin, l’Autorité a constaté une asymétrie de traitement entre celui qu’Apple se réservait et celui qu’elle appliquait aux éditeurs. En effet, alors que ces derniers devaient recueillir un double consentement auprès des utilisateurs pour les opérations de suivi sur les sites et applications tiers, Apple ne demandait pas le consentement des utilisateurs s’agissant de ses applications propres (jusqu’à la mise en œuvre de l’iOS 15). Cette circonstance a d’ailleurs conduit la CNIL à infliger une sanction à Apple pour avoir porté atteinte à l’article 82 de la loi Informatique et Libertés transposant la directive ePrivacy.

Cette asymétrie demeure aujourd’hui dans la mesure où Apple a mis en place une fenêtre « Publicité Personnalisée » unique pour recueillir le consentement des utilisateurs pour sa propre collecte de données, alors qu’elle continue d’exiger un double consentement pour la collecte de données tierces réalisées par les éditeurs.

Un dispositif particulièrement néfaste pour les petits éditeurs

Bien que la mise en place du dispositif ATT ait eu des conséquences pour l’ensemble des éditeurs d’application, ce dispositif se révèle particulièrement néfaste pour les plus petits d’entre eux qui, notamment en l’absence de données propriétaires en nombre suffisant, ne bénéficient pas de possibilités de ciblage alternatives.

Ainsi, pour plusieurs acteurs dont Ad4Screen : la perte d’activité des acteurs de taille réduite est à opposer aux « acteurs ayant leur propre "écosystème" de données [qui] pourront donc tirer leur épingle du jeu et renforcer leur offre sans utiliser l’IDFA ou les cookies ». Cet acteur cite en particulier l’exemple de Meta et de Google qui peuvent suivre le parcours d’un utilisateur après que ce dernier ait vu une publicité.

Un exemple de collaboration avec la CNIL : la prise en compte des enjeux de protection des données personnelles par l’Autorité dans son analyse

Le 12 décembre 2023, l’Autorité et la CNIL ont publié une déclaration commune intitulée « Protection des données et concurrence : une ambition commune », confirmant ainsi leur volonté d’approfondir leur coopération déjà bien établie. Le 19 décembre 2024, la CNIL a publié les conclusions d’une mission confiée à Bruno Lasserre sur les conséquences à tirer de l’articulation entre protection des données et concurrence pour la CNIL et sa pratique de régulation.

L’action de l’Autorité et de la CNIL s’exerce au bénéfice des consommateurs de produits et services numériques, qui sont également détenteurs de droits à la protection de leurs données. D’une part, la politique de la protection des données personnelles vise à protéger les utilisateurs contre toute collecte et exploitation préjudiciable de leurs données. D’autre part, la politique de la concurrence vise à garantir les conditions d’une concurrence libre et non faussée entre les entreprises sur les marchés dans l’intérêt des consommateurs, en favorisant l’innovation, la diversité de l’offre et des prix attractifs. Malgré des objectifs de politique publique distincts, les deux cadres de régulation présentent en réalité une certaine convergence d’objectifs, au sens large, en ce qu’ils sont, in fine, mis en œuvre au bénéfice des usagers.

Au mois de septembre 2024, après avoir été saisie par la CNIL pour avis, l’Autorité a rendu un avis sur un projet de recommandation relatives aux applications mobiles. Cette saisine concrétisait pour la première fois les engagements pris par les deux institutions dans le cadre de leur déclaration conjointe signée au mois de décembre 2023.

La présente affaire constitue un nouvel exemple de coopération entre l’Autorité et la CNIL. L’Autorité a en effet bénéficié de deux avis rendus par la CNIL sur les différentes questions d’application de la législation relative à la protection de la vie privée soulevées par l’affaire, dont elle a tenu compte dans son analyse concurrentielle.

Ces deux avis ont permis de montrer que la mise en conformité de la fenêtre ATT avec le droit de la concurrence n’aurait pas conduit Apple à dégrader l’efficacité de son dispositif de protection de la vie privée. Ainsi, invitée par l’Autorité à produire des observations dans le cadre de l’instruction au fond, la CNIL a indiqué que « le fait de conduire les éditeurs à devoir recueillir systématiquement deux fois l’accord de l’utilisateur à la même finalité constitue une complexité inutile et artificielle, dans la mesure où il semble que la sollicitation ATT pourrait aisément, sous réserve de quelques modifications, servir également à recueillir les consentements requis par la loi française et le RGPD ». La CNIL relève également « [qu’]une amélioration marginale des modalités de paramétrage de la sollicitation ATT ne remettant pas en cause la lisibilité propre à cette fenêtre […] permettrait de conserver la protection de l’utilisateur offerte par la sollicitation ATT […] (refus aussi simple que l’acceptation, mention du suivi), sans présenter l’inconvénient de créer un dispositif complexe et excessif pour l’utilisateur ».

Ainsi, cette affaire montre que le droit de la concurrence et le droit à la protection de la vie privée ne s’opposent pas, mais visent tous deux à garantir un marché équitable et transparent qui préserve les intérêts et le bien-être du consommateur.

L’Autorité prononce une sanction de 150 000 000 d’euros à l’encontre d’Apple pour avoir abusé de sa position dominante sur le secteur de la publicité sur applications mobiles sur les terminaux iOS et iPadOS

Eu égard à la gravité des faits, à la durée de l’infraction (entre le 26 avril 2021 et le 25 juillet 2023) et à la puissance économique d’Apple, l’Autorité a décidé de prononcer à l’encontre des
sociétés Apple Distribution International Limited (ADI) et Apple Inc., en tant qu’auteures, et des sociétés Apple Operations International Limited et Apple Inc. en tant que sociétés mères, une amende de 150 000 000 euros.

L’Autorité adjoint à cette sanction pécuniaire une obligation pour Apple de publication du résumé de la décision sur son site internet pendant une durée de sept jours consécutifs.