Apple vient d’écoper d’une amende pour ses manquements sur le consentement dans son App Store. Avant iOS 15, l’identifiant publicitaire était utilisé sans autorisation pour recueillir des données, alors que la société imposait aux éditeurs tiers, dans le même temps, des conditions strictes d’accès à l’identifiant. La firme a l'intention de faire appel.

iOS 14.5 avait largement bousculé le monde de la publicité en imposant à l’ensemble des éditeurs tiers de recueillir le consentement des utilisateurs avant d’utiliser l’identifiant publicitaire dans les applications. L’identifiant permet pour rappel de suivre les activités de la personne entre les applications, permettant en retour la personnalisation des publicités. Aussi, refuser le suivi bloque la collecte de ces données, mais ne supprime en aucun cas la publicité elle-même.

En mars 2021 cependant, l’association France Digitale saisit la CNIL d’une plainte à l’encontre d’Apple. En ligne de mire, le réglage de confidentialité « Publicités personnalisées » activé par défaut, qui « ne permet pas aux utilisateurs de consentir valablement aux traitements de ciblage publicitaire ».

La formation restreinte a rendu sa décision le 29 décembre, publiée hier par la CNIL : une sanction de 8 millions d’euros a été prononcée à l’encontre d’Apple Distribution International (ADI) pour manquement à la loi Informatique et Libertés. Explications.

Ce qui est reproché

« Les services de la CNIL ont constaté que sous l’ancienne version 14.6 de système d’exploitation de l’iPhone, lorsqu’un utilisateur se rendait sur l’App Store, des identifiants poursuivant plusieurs finalités, dont des finalités de personnalisation des annonces publicitaires diffusées sur l’App Store, étaient par défaut automatiquement lus sur le terminal sans recueil du consentement », explique la CNIL.

Or, puisque ces identifiants ne sont pas « strictement nécessaires » à l’App Store, ils n’avaient aucune raison d’être lus sans accord préalable de l’utilisateur ou l’utilisatrice.

Circonstance aggravante pour Apple, il était complexe de remédier à cette situation. La CNIL pointe ainsi l’absence de réglage dans l’assistant de configuration au premier démarrage de l’appareil. Il fallait se rendre manuellement dans Réglages > Confidentialité > Publicité Apple pour décocher l’utilisation de l’identifiant. Rien n’indiquait non plus la bonne marche à suivre.

Dans le détail de la délibération, on trouve plusieurs informations intéressantes, notamment qu’Apple a répondu rapidement aux demandes de compléments adressées par la CNIL. Dans cette affaire, le rapporteur était François Pellegrini, vice-président de la Commission en charge du commerce et de la publicité.

C’est Pellegrini qui a proposé initialement une amende administrative de 6 millions d’euros le 27 juillet dernier pour manquement à l’article 82 de la loi de 1978, finalement relevée à 8 millions. Deux jours plus tard, Apple demandait un délai complémentaire pour présenter ses observations en réponse, ce qui lui fut refusé par la formation restreinte. S'est ensuivi un échange d’observations et de réponses pendant plusieurs mois, avant finalement une séance le 12 décembre, dans lequel les conclusions ont été exposées à Apple.

Apple a joué le jeu, mais fera appel

L’entreprise a observé durant cette séance que les faits reprochés étaient obsolètes. En effet, iOS 15 a introduit une question claire posée à l’utilisateur lors de sa première visite à l’App Store. En somme, la même question que celle posée pour les applications tierces, mettant fin au « deux poids, deux mesures ».

Il était cependant trop tard pour la CNIL, car l’enquête avait déjà commencé. Que la modification ait été prévue par Apple ou appliquée en réaction au contrôle d’une ou plusieurs CNIL ne change rien au résultat : la version 14.6 était celle en place au moment du début de l’enquête, utilisée par des millions de personnes. 27,5 millions d’appareils se sont ainsi connectés à l’App Store français entre les 5 juillet 2020 et 2021, selon les données transmises par Apple.

Cette dernière a également considéré que « son droit de ne pas participer à sa propre incrimination a été violé dans la mesure où, durant la phase d’investigation, elle a volontairement transmis des documents qui ont ensuite été retenus comme étant des " preuves à charge contre elle " dans le cadre de la procédure de sanction ». Peine perdue, la CNIL ayant répliqué, d’une part que la collecte a été réalisée dans le cadre d’une procédure de contrôle fondée sur l’article 19, d’autre part que l’entreprise a pu librement s’exprimer pendant la phase contradictoire.

En plus de l’amende administrative, la décision est rendue publique pour une durée de deux ans sur le site de la CNIL et Légifrance. Après quoi, la décision sera toujours là, mais elle n’identifiera plus nommément Apple.

Comme le rappelle la CNIL à la fin de sa libération, la décision peut faire l’objet d’un recours devant le Conseil d’État à compter de sa notification. C’est précisément ce que fera Apple, qui a confirmé son intention et sa « déception » au Financial Times.