Suivi publicitaire sur iPhone : après la décision allemande, désactivez ATT avant sa possible évolution en Europe
Apple va revoir en Allemagne les écrans de demande de consentement qui encadrent le suivi publicitaire dans les applications sur iPhone.
Il est encore trop tôt pour affirmer que cette évolution sera étendue à l’ensemble de l’Union européenne. La décision du Bundeskartellamt produit directement ses effets en Allemagne. Sa généralisation éventuelle dépendra des choix d’Apple et des procédures encore en cours ou à venir dans d’autres Etats membres.
Ce changement ne supprime ni le droit de refuser ni la nécessité d’un consentement valable. Il rend toutefois le parcours plus favorable aux éditeurs qui souhaitent obtenir l’autorisation d’exploiter l’identifiant publicitaire de l’iPhone.
Les utilisateurs d’appareils tournant sous iOS n’ont pas à devenir l’arbitre de cette nouvelle architecture du consentement.
La solution la plus simple consiste à désactiver, dans iOS, l’option « Autoriser les demandes de suivi des apps ».
Ce choix bloque les sollicitations ATT et vaut refus de l’accès à l’identifiant publicitaire de l’iPhone pour les applications qui souhaitent suivre l’activité de l’utilisateur entre des applications et sites web appartenant à d’autres entreprises, notamment à des fins de publicité ciblée ou de partage avec des courtiers en données.
Il s’agit d’une mesure très utile, mais non d’un refus absolu : elle ne supprime pas à elle seule les autres collectes de données qu’une application pourrait réaliser sur un fondement distinct.
I) Sur la portée de la décision allemande relative à l’App Tracking Transparency :
La décision du Bundeskartellamt du 17 août 2026 est parfois présentée comme un recul de la protection offerte par Apple ou comme la disparition annoncée de l’App Tracking Transparency, dite ATT.
Cette présentation est inexacte.
L’autorité allemande ne reproche pas à Apple d’exiger une autorisation avant que des applications puissent suivre une personne d’un service à l’autre. Elle ne dit pas davantage que la publicité personnalisée devrait être imposée aux utilisateurs.
Le grief est plus précis : Apple a construit deux parcours de consentement différents pour une même finalité publicitaire.
Pour ses propres services, Apple utilisait un écran distinct, conçu selon ses propres choix rédactionnels et graphiques.
Pour les applications tierces, l’éditeur doit recueillir le consentement requis par le droit de la protection des données et, lorsqu’il souhaite accéder à l’identifiant publicitaire de l’appareil pour un suivi inter-applications, subir en supplément un prompt système imposé par Apple. L’éditeur ne maîtrise ni son titre, ni son contenu, ni les termes des réponses proposées.
Selon le Bundeskartellamt, l’écran d’Apple était susceptible d’encourager le consentement, tandis que celui imposé aux tiers pouvait le décourager.
C’est cette différence de traitement qui pose une difficulté au regard du droit de la concurrence, en raison de la position d’Apple à la fois comme contrôleur de l’écosystème iOS et App Store, éditeur d’applications et vendeur d’espaces publicitaires.
La décision ne confère donc aucun droit nouveau aux acteurs publicitaires sur les données des utilisateurs. Elle impose seulement qu’Apple ne favorise pas ses propres offres par le design du consentement.
II) Sur les modifications imposées à Apple en Allemagne seulement :
Les engagements rendus obligatoires par l’autorité allemande prévoient trois évolutions principales.
D’abord, Apple devra rapprocher les écrans de consentement utilisés pour ses propres activités et ceux imposés aux éditeurs tiers. Les formulations, symboles et choix de présentation susceptibles de décourager l’autorisation dans l’écran ATT destiné aux applications tierces devront être retirés. Les nouveaux écrans devront être neutres quant au contenu, aux termes employés et à leur mise en page.
Ensuite, les éditeurs disposeront d’une marge de manœuvre accrue pour expliquer la place de la publicité personnalisée dans leur modèle économique. L’autorité vise expressément les éditeurs de contenus, notamment de presse, dont une partie du financement dépend de la publicité ciblée.
Enfin, Apple devra simplifier l’enchaînement entre sa demande ATT et les demandes de consentement nécessaires au titre du droit des données personnelles. Un éditeur pourra davantage combiner les écrans, ou les articuler de manière intelligible, plutôt que de soumettre l’utilisateur à des demandes successives et parfois contradictoires.
Trois configurations sont donc susceptibles d’apparaître à l’avenir pour se conformer à cette décision allemande.
La première consiste en un parcours unique, au sein duquel la demande ATT et les demandes de consentement requises par le droit de la protection des données sont présentées de manière coordonnée. Cette présentation unifiée n’implique pas nécessairement une réponse indistincte à toutes les finalités : l’utilisateur doit pouvoir comprendre ce qu’il autorise, refuser ce qu’il ne souhaite pas accepter et exprimer un choix valable pour chaque traitement concerné.
La deuxième repose sur deux écrans de demande coordonnés. La demande relevant d’ATT et celle portant sur les traitements de données personnelles demeurent distinctes, mais sont présentées dans un ordre cohérent. L’éditeur doit alors prévoir la situation dans laquelle l’utilisateur refuse le suivi au sens d’Apple tout en acceptant, par ailleurs, certaines finalités de publicité personnalisée dans l’interface de consentement RGPD, ou inversement.
La troisième maintient deux écrans de demande distincts, selon une logique proche du fonctionnement actuel. La demande ATT reste séparée de l’interface de consentement de l’éditeur, mais elle est allégée des formulations, signes ou choix de présentation que l’autorité allemande a considérés comme susceptibles de décourager indûment l’autorisation.
Apple dispose de quatre mois à compter de la notification de la décision pour mettre en œuvre ces changements, après des tests avec des éditeurs. Les engagements s’appliquent pendant sept ans sous la surveillance d’un mandataire indépendant.
À ce stade, cette obligation est circonscrite au marché allemand. Elle ne vaut pas par elle-même décision européenne applicable à tous les utilisateurs d’iPhone dans l’Union.
La question d’une éventuelle extension doit néanmoins être suivie avec attention : Apple a déjà été sanctionnée en France par l’Autorité de la concurrence, à hauteur de 150 millions d’euros, pour les conditions de mise en œuvre du dispositif ATT entre 2021 et 2023. D’autres autorités européennes de concurrence se sont déjà saisies de la question. La France et l’Italie ont notamment prononcé des sanctions contre Apple relatives à ATT.
La solution allemande s’inscrit ainsi dans un dialogue européen entre autorités de concurrence, sans constituer à elle seule une règle directement applicable dans toute l’Union. Elle pourrait donc constituer un précédent important, sans qu’il soit possible, à ce jour, d’annoncer une généralisation certaine du nouveau parcours de consentement.
III) Sur la neutralité concurrentielle et le consentement de l’utilisateur :
L’intérêt économique de cette réforme pour les éditeurs est évident.
L’identifiant publicitaire d’Apple, l’IDFA, permet à un acteur publicitaire de reconnaître un même terminal à travers plusieurs applications, sous réserve de l’autorisation ATT.
Lorsqu’il peut être exploité, le ciblage, la mesure des campagnes et la valorisation des espaces publicitaires deviennent plus rentables pour les éditeurs et les régies.
Selon les consultants de GameBiz, qui ont étudié quinze applications entre janvier et juillet 2026, les impressions publicitaires associées à un identifiant généreraient, selon les formats, de 40 à 80% de revenus supplémentaires par millier d’affichages. Cette donnée explique l’enjeu économique considérable des nouveaux parcours de consentement.
Mais l’intérêt économique des éditeurs n’est pas celui des utilisateurs.
Comme le Bundeskartellamt le rappelle explicitement : son objectif n’est pas d’obtenir les taux de consentement les plus élevés possible. Il est de garantir que les personnes qui refusent la publicité personnalisée puissent décider de manière aussi libre et informée que celles qui l’acceptent.
C’est une précision déterminante. La neutralité d’un écran de demande de suivi ne signifie pas que l’utilisateur devrait accepter le suivi. Tout ceci signifie seulement que le refus ne doit pas être artificiellement favorisé pour les concurrents d’Apple, tandis que l’acceptation serait encouragée dans les propres services de la firme.
IV) Sur la désactivation totale des demandes de suivi ATT :
Les nouveaux écrans de demande de consentement seront vraisemblablement plus intégrés au parcours d’entrée dans les applications, plus explicatifs et, parfois, fusionnés avec les demandes de consentement recueillies par les éditeurs au titre du RGPD.
L’utilisateur pourra se voir expliquer ce que finance la publicité personnalisée, les fonctionnalités qu’elle contribuerait à maintenir gratuitement ou la manière dont elle participerait à l’équilibre économique du service.
Ces explications peuvent être légitimes. Elles n’emportent cependant aucune obligation légale d’accepter le suivi.
Pour éviter de devoir subir, application par application, un parcours de consentement de plus en plus élaboré, il convient de désactiver le réglage général d’iOS :
Réglages > Confidentialité et sécurité > Suivi
Puis désactivez :
« Autoriser les demandes de suivi des apps ».
Précisément comme ceci :
On peut constater que "lorsque ce réglage est désactivé, toutes les nouvelles demandes de suivi des apps sont automatiquement refusées".
Lorsque cette option est désactivée, les applications ne peuvent donc plus solliciter l’autorisation ATT.
Une application qui tenterait néanmoins d’obtenir cette permission est traitée comme si l’utilisateur avait choisi de refuser la demande, en indiquant « Demander à l’app de ne pas me suivre ».
Techniquement, l’application qui n’a pas reçu l’autorisation ATT ne peut pas accéder à un IDFA exploitable. La valeur de l’identifiant publicitaire est alors constituée d’une chaîne de zéros.
Apple interdit dans les règles applicables aux développeurs de l’App Store le contournement de ce choix par fingerprinting, c’est-à-dire par la collecte de données techniques ou d’usage dans le but de reconstituer une représentation unique de l’utilisateur ou de son appareil.
Un éditeur ne peut donc pas obtenir, par le prompt ATT, l’autorisation d’accéder à l’identifiant publicitaire de l’iPhone afin de suivre l’activité de l’utilisateur à travers les applications et les sites d’autres entreprises.
Ce réglage ne fait toutefois pas disparaître toute publicité ni toute collecte de données.
Une application peut encore traiter les données nécessaires à son fonctionnement, exploiter certaines informations fournies directement par l’utilisateur, ou solliciter d’autres permissions. Il faut en particulier surveiller les autorisations de localisation, d’accès aux contacts, photos, etc.
Le cabinet a déjà recommandé d’opt-out via cette manipulation par le passé. L’actualité démontre qu’elle ne relève pas d’une précaution abstraite.
V) Sur les risques liés à l’identifiant publicitaire et à la géolocalisation :
L’identifiant publicitaire est présenté comme un outil de personnalisation de la publicité. Cette description est incomplète.
Associé à des données de géolocalisation, à des horodatages, à des données d’usage et aux informations remontées par les applications, cet identifiant peut permettre de reconstituer les habitudes d’une personne : son domicile, son lieu de travail, ses trajets, ses fréquentations et ses périodes d’absence.
Ce risque n’est absolument pas théorique.
Dans une enquête publiée en décembre 2025, Le Monde a examiné une base de données commercialisée par un courtier en données personnelles. Celle-ci contenait plus de seize millions d’identifiants publicitaires et près d’un milliard de points de géolocalisation.
L’exploitation de ces informations a permis d’identifier ou de suivre les déplacements de personnes relevant de services et d’infrastructures particulièrement sensibles : agents de renseignement, personnels de protection présidentielle, gendarmes, militaires, personnels pénitentiaires, salariés du secteur de la défense ou d’installations nucléaires.
Tout ceci ne concerne donc pas seulement l’intimité de chaque utilisateur. Il concerne aussi la sécurité des personnes, de leurs proches et, dans certains cas, la sécurité nationale.
Les données de géolocalisation peuvent constituer des données personnelles lorsqu’elles permettent l’identification directe ou indirecte d’une personne.
Lorsqu’elles ne sont pas strictement nécessaires à la fourniture du service demandé, leur collecte et leur utilisation, notamment à des fins publicitaires ou de revente marketing, requièrent un consentement libre, spécifique, éclairé et univoque.
Et désactiver globalement ou refuser au cas par cas la demande ATT ne suffit pas à empêcher la collecte de localisation par une application à laquelle cette autorisation a été accordée.
Il convient donc de vérifier également les permissions de géolocalisation et de choisir, lorsque cela est possible, l’accès « lorsque l’app est active » plutôt qu’un accès permanent.
VI) Sur la portée limitée des réglages de refus du suivi publicitaire :
Désactiver ATT ne permet que de supprimer un étage important du dispositif de suivi publicitaire et d’éviter les demandes propres à Apple relatives à l’IDFA.
La lecture ou l’écriture d’informations sur le terminal, ainsi que l’accès à certains identifiants publicitaires, requièrent en principe une information préalable et un consentement, sauf lorsque l’opération est strictement nécessaire au service demandé.
Une application peut présenter son propre écran de consentement, notamment par l’intermédiaire d’une plateforme de gestion du consentement, ou "CMP", pour traiter certaines données publicitaires, mesurer l’audience ou mobiliser des partenaires.
Sur Android, la simple réinitialisation de l’identifiant publicitaire remplace l’ancien AAID par un nouveau. Elle peut compliquer certains rapprochements, mais elle laisse subsister un identifiant publicitaire utilisable par les applications.
La mesure la plus protectrice consiste à rechercher l’option « Supprimer l’identifiant publicitaire » dans les réglages d'un appareil sous Android.
Après la suppression de l’AAID sur un appareil Android, les applications qui tentent d’y accéder reçoivent une chaîne de zéros. Aucun nouvel identifiant n’est automatiquement créé. Cette suppression ne doit pas être confondue avec une disparition de tous les identifiants susceptibles d’être utilisés par une application. En l’absence d’identifiant publicitaire, une application peut encore, sous certaines conditions, utiliser un identifiant persistant ou propriétaire, à condition de respecter ses règles de confidentialité et le droit applicable. La suppression de l’AAID est préférable à sa simple réinitialisation, mais elle ne dispense pas de contrôler les permissions accordées et les paramètres propres à chaque application.
Sur iPhone comme sur Android, il convient de ne pas se contenter de réinitialiser périodiquement l’identifiant publicitaire, mais supprimer ou neutraliser l’identifiant lorsqu’un tel réglage est proposé.
Apple va devoir, en Allemagne, rendre sa mécanique de consentement plus équitable pour ses concurrents. C’est une exigence de concurrence. Elle ne constitue nullement une raison pour les utilisateurs de devenir plus accommodants avec le suivi publicitaire.
Il faudra observer si ce précédent allemand devient une norme de fait dans l’Union européenne. En attendant, l’utilisateur n’est tenu ni de patienter, ni de devenir plus accommodant avec le suivi publicitaire.
L’identifiant publicitaire n’est pas nécessaire au fonctionnement courant d’un téléphone. Il a été conçu pour permettre la reconnaissance d’un même terminal dans des usages publicitaires distincts. Associé à des données de géolocalisation, à des horodatages et à des informations d’usage, il ne révèle plus seulement des préférences de consommation mais peut permettre de reconstituer un mode de vie, des déplacements, un domicile ou un lieu de travail.
Désactivez-le.
La vie privée ne consiste pas à choisir, plusieurs fois par semaine, quel acteur pourra exploiter davantage vos usages. Elle consiste aussi à pouvoir dire non une fois pour toutes.
La protection de la vie privée sur internet n’est pas une option. C’est un droit fondamental qu’il appartient à tous de faire respecter.
Sources :
- Communiqué du Bundeskartellamt allemand du 17 août 2026, en anglais : https://www.bundeskartellamt.de/SharedDocs/Meldung/EN/Pressemitteilungen/2026/08_17_2026_Apple_ATTF.html
- Documentation Apple relative à App Tracking Transparency "Get ready for AppTrackingTransparency" : https://developer.apple.com/news/?id=8h0btjq7
- Documentation de Google relative à l’identifiant publicitaire : https://support.google.com/googleplay/android-developer/answer/6048248?hl=fr
- L’enquête du Monde sur les données de géolocalisation publicitaires, pour l’illustration du risque opérationnel et de sécurité nationale : https://www.lemonde.fr/pixels/article/2025/12/10/espions-policiers-ou-militaires-d-elite-francais-trahis-par-les-donnees-publicitaires-de-leurs-smartphones_6656694_4408996.html
- CNIL, règles applicables à la géolocalisation mobile : https://www.cnil.fr/fr/geolocalisation-applications-mobiles-quelles-regles
Crédits image : Unsplash - Jonas Leupe