Les 5 points clés de la décision de l’Autorité de la concurrence sanctionnant l’App Tracking Transparency d’Apple 

Même sans injonction de remède immédiat, c’est une victoire nette pour les acteurs des médias et de la publicité en ligne, ont estimé lundi 31 mars lors d’une conférence de presse les associations professionnelles (Alliance Digitale, SRI, Udecam, Geste) à l’origine des deux plaintes déposées en 2020 et en 2022 devant l’Autorité de la concurrence, sitôt après l’annonce de sa décision, plus tôt dans la matinée. Ils étaient assistés par leur avocate à l’œuvre sur ce dossier, Fayrouze Masmi-Dazi (Dazi Avocats). Apple était initialement défendu par Yelena Trifounovitch (Bredin Prat), avant de changer d’avocat en cours de procédure pour choisir Mélanie Thill-Tayara (Dechert).

Les structures représentatives des éditeurs et des entreprises de marketing numérique avaient saisi l’organe pour contester les restrictions apportées par Apple au suivi des utilisateurs avec le déploiement d’iOS 14 et de sa fonctionnalité App Tracking Transparency (ATT). Elles reprochaient à Apple un abus de position dominante et une manœuvre anticoncurrentielle. Elles estiment que les modifications introduites dans iOS14 en 2021, sous couvert de protéger la vie privée de ses utilisateurs – mouvement déjà amorcé en 2017 avec Intelligent Tracking Prevention (ITP), pour refuser les cookies dans son navigateur Safari – ont eu pour objectif et finalité d’entraver l’activité de ses concurrents publicitaires. 

Un dispositif disproportionné et vicié

L’Autorité de la concurrence a constaté qu’Apple a abusé de sa position dominante dans le secteur de la distribution d’applications mobiles sur les terminaux iOS et iPadOS entre le 26 avril 2021 et le 25 juillet 2023 : “Si l’objectif poursuivi par le dispositif ATT n’est pas critiquable en soi, ses modalités de mise en œuvre ne sont ni nécessaires, ni proportionnées à l’objectif affiché par Apple de protection des données personnelles”, relève-t-elle.

Apple est sanctionné d’une amende particulièrement importante (150 millions d’euros), exécutoire immédiatement même en cas d’appel. Si aucune mesure conservatoire n’est prononcée – afin de laisser d’autres autorités de la concurrence en Europe publier les résultats de leurs enquêtes similaires (en Allemagne, Italie, Pologne, Roumanie…) et de se coordonner davantage avec la Cnil -, Apple devra néanmoins modifier à brève échéance son dispositif (sous quelques semaines ? Quelques mois ?), considéré illégal en l’état. L’Autorité n’a cependant pas fixé de date maximale pour cette modification.

Si la décision complète n’est pas encore publiée (elle le sera “dans les prochains jours”, selon l’Autorité, une fois certains de ses éléments liés au secret des affaires supprimés par les parties), son résumé, ainsi que sa présentation et les explications de son président Benoît Cœuré lundi 31 mars, offrent suffisamment d’éléments pour en retenir les cinq principaux enseignements.

1. Les modalités d’ATT rejetées, pas son principe

Si le principe pour le groupe américain de solliciter lui aussi le consentement pour la collecte de données n’est pas remis en cause, l’Autorité a considéré que les modalités de mise en œuvre du dispositif ATT sont abusives et portent atteinte à la concurrence. 

Elle relève ici plusieurs comportements fautifs d’Apple dans la mise en œuvre. Premièrement, le dispositif, lourd, est jugé non nécessaire, car il n’est pas indispensable pour atteindre l’objectif de protection de la vie privée. Tel qu’implémenté, il ne permet pas aux éditeurs tiers de se conformer pleinement aux exigences légales relatives à la protection de la vie privée (RGPD). Les éditeurs doivent donc afficher une seconde fenêtre de consentement (leur CMP) pour recueillir un “consentement éclairé”, complexifiant inutilement le parcours des utilisateurs.

Deuxièmement, l’Autorité juge le dispositif non proportionné : il complique artificiellement le parcours des utilisateurs d’applications tierces et fausse la neutralité du dispositif. Les règles encadrant l’interaction entre la sollicitation ATT et les fenêtres de consentement des éditeurs sont jugées asymétriques : elles “portent atteinte à la neutralité du dispositif, car le refus de traçage publicitaire ne doit être effectué qu’une fois par l’utilisateur, tandis que l’acceptation du traçage publicitaire doit être confirmée une seconde fois par l’utilisateur”, relève l’organe.

2. ATT est asymétrique

C’est le troisième élément fautif majeur retenu par l’Autorité : ATT est non-neutre et asymétrique, en ce que ses règles de fonctionnement favorisent ses services et besoins au détriment des autres acteurs, éditeurs d’applications tierces et prestataires de marketing, confrontés aux mêmes besoins de tracking utilisateur. 

Cette différence de traitement les désavantage en deux objets. D’abord, Apple ne demandait pas le consentement de ses utilisateurs pour ses applications propres (jusqu’à l’introduction des “publicités personnalisées”). Le groupe a d’ailleurs été sanctionné par la Cnil à cet égard, en décembre 2022, pour des informations incomplètes et potentiellement trompeuses. Ensuite, le fait qu’Apple utilise une fenêtre de consentement unique pour recueillir le consentement aux publicités personnalisées pour ses propres applications, tout en imposant son dispositif aux éditeurs revient à les contraindre à mettre en place un double consentement (ATT et CMP éditeur).

3. ATT viole le RGPD 

C’est l’un des points les plus notables de la décision. L’Autorité a largement évalué ce dossier en étudiant les enjeux de protection des données personnelles et en particulier le respect du RGPD. C’est la première fois que l’Autorité de la concurrence française s’appuie autant dans une décision sur l’examen du RGPD et sur l’application des exigences légales relatives à la protection de la vie privée : elle établit un lien direct entre violation du RGPD et abus de position dominante.

“C’est l’application de l’arrêt ‘Meta contre Bundeskartellamt’ du 4 juillet 2023 pris par la Cour de Justice de l’Union européenne, qui a d’ailleurs imposé également la consultation des autorités de protection de la vie privée”, explique l’avocate Fayrouze Masmi-Dazi. 

Pour justifier sa décision dans cette affaire, la CJUE avait alors souligné que dans le cadre de l’examen d’un abus de position dominante de la part d’une entreprise, “il peut s’avérer nécessaire pour l’autorité de la concurrence de l’État membre concerné d’examiner également la conformité du comportement de cette entreprise à des normes autres que celles relevant du droit de la concurrence, telles que les règles prévues par le RGPD.” Néanmoins, lorsque l’autorité de la concurrence nationale relève une violation du RGPD, “elle ne se substitue pas aux autorités de contrôle mises en place par ce règlement”, expliquait la CJUE, et “afin d’assurer une application cohérente du RGPD, les autorités de la concurrence nationales doivent se concerter et coopérer loyalement avec les autorités veillant au respect de ce règlement.”

Cet arrêt est clé pour donner une base légale supplémentaire aux affaires concurrentielles liées au RGPD. Les litiges autour de la protection des données entrent dans le champ concurrentiel.

4. La première collaboration étroite entre la Cnil et l’ADLC dans une décision

Protection des données et respect de la concurrence sur le marché des médias et de la publicité en ligne doivent interagir ; c’est un point clé de la décision de l’Autorité de la concurrence et c’est aussi un constat validé par la Cnil.

Pour définir sa position et appliquer le RGPD, l’Autorité a en effet collaboré étroitement avec la Cnil. Elle s’est appuyée sur deux avis sollicités auprès de l’organe de protection des données. “Ces deux avis ont permis de montrer que la mise en conformité de la fenêtre ATT avec le droit de la concurrence n’aurait pas conduit Apple à dégrader l’efficacité de son dispositif de protection de la vie privée”, relève l’Autorité. 

La Cnil a notamment indiqué à l’Autorité que “le fait de conduire les éditeurs à devoir recueillir systématiquement deux fois l’accord de l’utilisateur à la même finalité constitue une complexité inutile et artificielle, dans la mesure où il semble que la sollicitation ATT pourrait aisément, sous réserve de quelques modifications, servir également à recueillir les consentements requis par la loi française et le RGPD”. La Cnil a également relevé qu’”une amélioration marginale des modalités de paramétrage de la sollicitation ATT, ne remettant pas en cause la lisibilité propre à cette fenêtre (…), permettrait de conserver la protection de l’utilisateur offerte par la sollicitation ATT”, soit le refus aussi simple que l’acceptation et la mention du suivi, “sans présenter l’inconvénient de créer un dispositif complexe et excessif pour l’utilisateur”.

C’est la première décision rendue en France à partir d’une collaboration étroite entre les deux organes. Cette collaboration s’inscrit dans le cadre d’une volonté commune d’associer marché équitable et transparent d’un côté, et respect des intérêts des consommateurs et de leurs données personnelles ; collaboration attendue par le marché publicitaire depuis plusieurs années, puis annoncée par les deux organes d’abord en novembre 2022, puis en décembre 2023, avant ses premiers effets lors de la recommandation de la Cnil relatives aux applications mobiles publiée en septembre 2024. 

La Cnil concrétise ainsi son rapprochement avec l’Autorité de la concurrence, et la prise en compte plus poussée, désormais, des enjeux de marché dans sa lecture des textes protégeant les données personnelles et leur application. C’est en quelque sorte un revirement aussi pour la Commission dans cette affaire.

Dans son premier avis du 17 décembre 2020, rendu dans le cadre de la saisie par le marché de l’Autorité de la concurrence pour des mesures conservatoires – finalement rejetées -, la Cnil avait estimé, certes avant le déploiement réel d’ATT en France, que ce dispositif pouvait représenter un bénéfice, tant pour les utilisateurs que pour les éditeurs d’applications : ATT “offrirait aux utilisateurs un meilleur contrôle sur leurs données à caractère personnel en leur permettant, d’une part, d’exprimer leurs choix de manière simple et éclairée (sous réserve des éléments rappelés ci-dessus) et, d’autre part, en empêchant techniquement et/ou contractuellement les éditeurs d’application de tracer l’utilisateur sans son autorisation”, selon des propos cités dans la première décision de l’Autorité de la concurrence de mars 2021. La Cnil a ensuite changé d’optique après la mise en place effective d’ATT.

5. La décision ouvre la voie à des contentieux en réparation

Au-delà de l’interdiction d’ATT et des mesures conservatoires prises ou pas, l’enjeu de la décision de l’Autorité résidait dans la désignation précise des victimes du dispositif d’Apple. C’est chose faite, avec une terminologie sans équivoque sur les victimes et le préjudice économique : “L’Autorité souligne que les règles encadrant l’interaction entre les différentes fenêtres ainsi affichées portent atteinte à la neutralité du dispositif, causant un préjudice économique certain aux éditeurs d’applications et aux fournisseurs de services publicitaires. À cet égard, l’Autorité a relevé que l’ATT, tel que mis en œuvre par Apple, pénalisait tout particulièrement les plus petits éditeurs dans la mesure où contrairement aux principales plateformes verticalement intégrées, ces opérateurs dépendent en grande partie de la collecte de données tierces pour financer leur activité.”

L’Autorité estime que l’instauration d’ATT a eu un impact notable et défavorable sur l’économie des acteurs du marché, via “une diminution significative du taux de partage de l’IDFA avec les éditeurs d’applications, avec des effets négatifs ‘en cascade’ sur l’accès aux données et leurs capacités de traçage (pour le ciblage publicitaire), le prix des publicités, les coûts des éditeurs, et la demande de publicités non liées aux recherches.”

Pour les effets sur les éditeurs, l’Autorité distingue selon qu’ils “disposent ou non de données propriétaires en nombre suffisant”, et selon “leur degré de dépendance à la publicité pour se financer. Elle observe que “les petits éditeurs sont plus sévèrement impactés”.

L’analyse faite par l’Autorité de la concurrence sur les effets du dispositif ATT sur les éditeurs et les acteurs du marketing digital va permettre aux acteurs qui s’estiment lésés d’enclencher des négociations avec Apple pour leur indemnisation – avec des chances très limitées d’aboutir, tant Apple s’est montré jusque-là fermé à la moindre discussion avec le marché -, et plus certainement d’assigner le groupe devant le Tribunal des activités économiques de Paris afin de demander des dommages et intérêts pour pratiques anticoncurrentielles. 

Les procédures et les dédommagements prendront des années : Apple va vraisemblablement interjeter appel de la décision de l’Autorité, auquel cas le dossier ATT serait de nouveau étudié devant la Cour d’appel de Paris, pendant un à deux ans. Ce qui suspendrait les éventuelles procédures en réparation qui auraient été lancées.