Voilà qui devrait porter un sacré coup à l'image anti-pub et défense de la vie privée des internautes qu'Apple se forge à grands coups de communication depuis des années. Mercredi 4 janvier, la Commission nationale informatique et libertés (Cnil), gardien de la vie privée sur Internet, a annoncé une sanction de 8 millions d'euros contre Apple Distribution International, qui gère l'activité publicitaire du géant américain en Europe sur l'App Store. La raison ? Une utilisation abusive du consentement des utilisateurs... à des fins publicitaires.
Consentement extorqué sur l'App Store
Concrètement, France Digitale, porte-voix des développeurs d'applications à l'origine de la plainte auprès de la Cnil déposée fin 2021, reproche à Apple d'avoir mis en place du ciblage publicitaire personnalisé dans l'ancienne version 14.6 du système d'exploitation iOS, sur lequel fonctionne ses iPhone. L'association dénonçait la récolte abusive d'identifiants personnels par le biais des applications natives comme l'App Store, sans recueillir au préalable le consentement de l'utilisateur. Or, le recueil de ce consentement, de manière explicite, est une exigence légale du RGPD, le règlement européen sur la protection des données, en vigueur depuis 2018, et de la directive européenne e-Privacy, transposée en France dans la loi Informatique et libertés.
La CNIL a donc effectué plusieurs contrôles en 2021 et 2022 pour vérifier les accusations de France Digitale. Et effectivement, ses services ont constaté que sous l'ancienne version 14.6, « lorsqu'un utilisateur se rendait sur l'App Store, des identifiants poursuivant plusieurs finalités, dont des finalités de personnalisation des annonces publicitaires diffusées sur l'App Store, étaient par défaut automatiquement lus sur le terminal sans recueil du consentement », indique l'institution.
Or, ces données personnelles (les identifiants) ne sont pas indispensables à la fourniture du service de l'App Store et ne peuvent donc pas être utilisées sans le consentement explicite de l'utilisateur. « Mais les paramètres de ciblage de la publicité disponibles à partir de l'icône "Réglages" de l'iPhone, étaient pré-cochés par défaut », relève la Cnil. Autrement dit, le consentement n'était même pas demandé par Apple pour utiliser ces identifiants pour personnaliser la publicité visible sur l'App Store.
Autre élément aggravant pour la Cnil : Apple rendait très difficile la désactivation de ce tracking imposé. Or, la loi impose de rendre facile d'accès l'acceptation ou le refus des outils de ciblage publicitaires. « L'utilisateur devait effectuer un grand nombre d'actions pour parvenir à désactiver ce paramètre [...]. Ces éléments ne permettaient pas de recueillir le consentement préalable des utilisateurs », tranche la Cnil.
Duplicité d'Apple entre son discours et ses actions
En condamnant Apple, la Cnil valide la plainte de France Digitale. Mais surtout, elle expose au grand jour la duplicité de l'entreprise. Car la firme de Tim Cook se targue depuis des années de respecter scrupuleusement le RGPD et se positionne à la fois comme une entreprise anti-publicités et comme le plus grand défenseur de la vie privée des internautes. Le fabricant d'iPhone met même un point d'honneur à s'assurer que les applications hébergées sur ses appareils recueillent ce fameux consentement. Le message est tellement explicite que le taux d'acceptation du ciblage publicitaire a chuté jusqu'à 80% depuis qu'Apple a renforcé sa politique de protection de la vie privée.
Cette politique d'Apple pénalise fortement le business publicitaire des développeurs d'applications. Par ricochet, ceux-ci décident parfois de basculer d'un modèle d'application gratuite, financée par la publicité, à un modèle d'application payante... ce qui permet à Apple d'empocher entre 15% et 30% de commission.
Autrement dit, la dureté d'Apple vis-à-vis des développeurs, sous prétexte de la protection des données des utilisateurs, lui permet in fine de pousser certaines applications à basculer d'un modèle gratuit à un modèle payant, ce qui lui permet de capter une partie non négligeable de leurs revenus...
Cerise sur le gâteau : Apple ne s'applique manifestement pas la même rigueur quand il s'agit de recueillir le consentement des utilisateurs pour ses propres services publicitaires. Le consentement, si difficile à obtenir pour les développeurs d'applications, était coché par défaut pour les propres services d'Apple, comme l'a constaté la Cnil.
L'Alliance Digitale, la principale association professionnelle des acteurs du marketing en France, se félicite de « voir enfin le masque tomber autour des pratiques déloyales d'Apple ». Son directeur général adjoint, Pierre Devoize, déplore la faiblesse du montant de l'amende -8 millions d'euros pour une entreprise qui génère un milliard de dollars de chiffre d'affaires par jour dans le monde-, mais il se réjouit du symbole.
« La décision révèle qu'Apple procède à des activités de tracking publicitaire "de grande ampleur" de nature à constituer un "manquement grave" à la législation française. Cette condamnation qui s'ajoute à celle du Tribunal de commerce du 19 décembre dernier témoigne de l'ampleur des pratiques abusives d'Apple, contestées partout dans le monde. »
L'étau se resserre autour d'Apple
Le faible montant de l'amende peut s'expliquer par le fait que ces abus ont été corrigés dans la nouvelle version du système d'exploitation d'Apple, iOS 15, disponible depuis fin 2021... sous la pression des régulateurs.
Ainsi, ses pratiques publicitaires mais aussi tarifaires sur l'App Store donnent lieu à des plaintes partout dans le monde, de la Corée du Sud au Japon, en passant par les Etats-Unis et l'Union européenne.
Toutefois, Apple, qui fait appel de la décision de la Cnil, peut trouver quelques motifs de consolation. Dans ses justifications, l'autorité reconnaît comme circonstance atténuante le fonctionnement « par cohortes », et non individuel, de ce ciblage publicitaire. Traduction : Apple ne cherchait pas à cibler des individus mais des catégories d'individus, ce qui est un fonctionnement moins agressif pour la vie privée. De plus, la sanction ne concerne que la France, car elle relève de la directive européenne e-Privacy, qui ne permet que des sanctions nationales. Pour le RGPD, il faudra que le dossier soit traité par la Cnil irlandaise, car le siège social européen d'Apple est situé en Irlande.
Marché européen de l’électricité : ce rapport tant attendu par l'Etat qui ne prône pas de réforme majeure (29)
Sujets les + commentés