Nouvelle invite ATT d'Apple dans l'UE avec iOS 27.2 : comment ordonner CMP et ATT avant décembre

Si votre application iOS a des utilisateurs en Allemagne, en France, en Italie, en Pologne ou en Roumanie, iOS 27.2 remplace l'alerte App Tracking Transparency (ATT) qu'ils voient par une nouvelle invite en pleine page, et l'échéance allemande pour Apple tombe à la mi-décembre 2026. D'ici là, vérifiez deux points : votre plateforme de gestion du consentement (CMP) s'affiche avant l'invite ATT, et votre texte de finalité ATT renvoie au choix que l'utilisateur y a déjà fait.

Nouvelle invite ATT d'Apple dans l'UE avec iOS 27.2, affichée après la CMP

Pourquoi Apple modifie l'invite

Les autorités de la concurrence de plusieurs pays de l'UE ont constaté qu'ATT imposait aux applications tierces des exigences plus strictes qu'à la publicité d'Apple elle-même. En Allemagne, le Bundeskartellamt a rendu les engagements d'Apple contraignants par une décision du 13 août 2026, à la suite de plaintes d'organisations professionnelles, dont BVDW, BDZV et ZAW. Apple dispose de quatre mois à compter de la notification formelle de cette décision pour les mettre en œuvre, si bien que l'échéance allemande ne peut pas tomber avant le 13 décembre 2026. En Pologne, l'UOKiK a rendu une décision similaire le 19 octobre 2026, avec un délai de mise en œuvre de deux mois. La France et l'Italie ont sanctionné Apple au sujet d'ATT en 2025, et une procédure est en cours en Roumanie.

Le 16 septembre 2026, Apple a annoncé la nouvelle invite pour iOS 27.2. Selon Apple, « en raison d'exigences légales », seule la nouvelle version est disponible pour les applications distribuées en Allemagne, en France, en Italie, en Pologne et en Roumanie. Dans le reste de l'UE, les applications peuvent choisir de l'utiliser. Hors de l'UE, rien ne change.

La nouvelle invite apparaît lorsque l'appareil se trouve dans l'un de ces pays et que la région du compte Apple de l'utilisateur est dans l'UE. Dans les cinq pays, iOS l'affiche même si votre application appelle encore l'ancienne API. La question n'est donc pas de savoir si vos utilisateurs la verront, mais si votre parcours et vos textes restent cohérents avec elle.

Ce qui change dans l'invite

L'invite est une feuille en pleine page. Dans les cinq pays, elle s'affiche toujours sous cette forme. Ailleurs dans l'UE, les applications l'activent via la nouvelle méthode requestTrackingAuthorization(usingExpandedInterface:additionalInformationAction:completionHandler:).

Les boutons sont désormais Autoriser et Refuser, au lieu d'Autoriser et Demander à l'app de ne pas suivre. Apple a retiré le symbole d'avertissement et le mot « suivre » de son propre texte, et l'interrupteur des Réglages s'appelle désormais « Allow Apps to Request to Link Your Activity Across Companies » (Autoriser les apps à demander à associer votre activité entre plusieurs entreprises).

Le texte de finalité accepte le Markdown : gras, italique, listes à puces et sauts de paragraphe. Il se place dans la nouvelle clé NSUserTrackingMarkdownUsageDescription de l'Info.plist. Si vous ne la renseignez pas, iOS utilise votre texte existant NSUserTrackingUsageDescription.

Un bouton facultatif Informations supplémentaires ouvre un écran contrôlé par votre application, par exemple les paramètres détaillés de votre CMP. Toucher ce bouton ferme l'invite sans réponse : le completion handler renvoie notDetermined, et l'application doit afficher l'invite à nouveau. Distinguez ces cas lorsque vous mesurez vos taux d'opt-in.

Les applications peuvent redemander un an après la dernière réponse de l'utilisateur, dans tous les pays de l'UE, que l'utilisateur ait autorisé ou refusé. iOS enregistre la date et impose ce délai. Si l'utilisateur a désactivé les demandes de suivi dans les Réglages, l'application ne peut pas demander.

Trois façons de combiner votre CMP et ATT

La décision du Bundeskartellamt décrit trois configurations.

1. Un parcours unique : le bouton Informations supplémentaires de l'invite ATT ouvre les paramètres de votre CMP. La FAQ d'Apple l'autorise pour les choix de consentement exigés par le RGPD et la directive ePrivacy, et permet à l'application de ramener l'utilisateur vers l'invite ATT, sauf s'il a refusé tous les choix pertinents.
2. La CMP d'abord, puis ATT : la CMP recueille le consentement et le texte de finalité ATT y fait référence. Votre configuration TCF reste inchangée. C'est la configuration la plus simple à mettre en place et à expliquer, et celle que nous recommandons.
3. Deux invites indépendantes : chacune demande de son côté et aucune ne mentionne l'autre. C'est toujours autorisé, mais l'utilisateur voit deux questions sans lien sur les mêmes données.

ATT seul ne remplace pas la CMP. Un Autoriser dans ATT n'est pas un consentement au sens du RGPD et ne produit pas de chaîne de consentement TCF : les vendors qui lisent cette chaîne ne reçoivent aucun signal.

Le parcours recommandé

1. L'utilisateur ouvre l'application et voit votre CMP.
2. L'utilisateur fait son choix, et la CMP l'enregistre et écrit la chaîne de consentement TCF.
3. Si l'utilisateur a accepté au moins une finalité qui nécessite un suivi entre applications, affichez l'invite ATT. S'il les a toutes refusées, ne l'affichez pas. La FAQ d'Apple précise que l'invite ATT ne doit pas être présentée aux utilisateurs qui ont refusé tous les choix pertinents dans une invite de consentement antérieure.
4. Le texte de finalité ATT renvoie au choix que l'utilisateur a déjà fait.
5. Avant de démarrer un SDK de publicité, d'attribution ou de mesure, vérifiez à la fois le consentement dans la CMP et le statut ATT.

Si l'utilisateur accepte dans la CMP mais refuse ATT, ne lisez pas l'IDFA et n'associez pas son activité aux données d'autres entreprises. Vous pouvez continuer les traitements auxquels il a consenti et qui ne nécessitent pas de suivi entre applications, comme la publicité contextuelle.

Rédiger le texte de finalité

Apple demande que le texte de finalité contienne les informations les plus importantes sur l'usage que vous faites des données. Avec le Markdown et une page entière, il peut expliquer la place d'ATT après la CMP :

Vous avez déjà choisi vos paramètres de confidentialité pour cette application.

iOS vous demande aussi, séparément, si nous pouvons utiliser l'identifiant publicitaire de votre appareil.

- **Autoriser** : nous l'utilisons pour afficher des publicités plus pertinentes et mesurer leurs performances.
- **Refuser** : nous conservons vos choix précédents et n'utilisons pas l'identifiant.

Placez le lien vers votre politique de confidentialité et vos paramètres détaillés derrière le bouton Informations supplémentaires, pas dans le texte de finalité.

Nouvelles demandes annuelles

La nouvelle demande annuelle est autorisée, pas obligatoire. Les engagements allemands la prévoient pour les utilisateurs qui ont déjà consenti via la CMP de l'éditeur, ce qui correspond au parcours ci-dessus : lorsque votre CMP redemande le consentement, par exemple après une modification de votre liste de vendors ou de votre usage des données, ne demandez ATT que si l'utilisateur a accepté une finalité pertinente.

SDK mobile UniConsent

Le SDK mobile UniConsent pour iOS, Android, Flutter et React Native affiche d'abord la CMP, enregistre la preuve de consentement RGPD et coordonne la demande ATT. Il renvoie le statut du consentement et le statut ATT sous forme de valeurs distinctes, pour que vous puissiez démarrer chaque SDK de publicité ou de mesure en fonction de ce que l'utilisateur a accepté. Le guide iOS avec ATT présente la configuration étape par étape.

Démarrez un essai gratuit pour configurer votre CMP mobile. Pour le contexte sur le consentement dans les applications, consultez la gestion du consentement dans les applications mobiles.

FAQ

Quelle est l'échéance d'Apple pour ATT dans l'UE ?

L'échéance allemande d'Apple est de quatre mois à compter de la notification formelle de la décision du 13 août 2026, donc au plus tôt le 13 décembre 2026. La décision polonaise accorde deux mois à compter du moment où elle devient définitive. La nouvelle invite arrive avec iOS 27.2 : testez votre parcours sur iOS 27.2 avant décembre.

Les applications hors des cinq pays sont-elles concernées ?

En partie. Dans le reste de l'UE, la nouvelle invite est facultative, mais la règle de la nouvelle demande annuelle s'applique dans toute l'UE. Hors de l'UE, l'invite ATT fonctionne comme avant.

Dois-je modifier ma configuration TCF ?

Non. Vos finalités TCF, votre liste de vendors et votre chaîne de consentement restent les mêmes. Les changements concernent l'application : le moment où elle appelle ATT et le contenu de l'invite.

Que faire si l'utilisateur refuse ATT après avoir accepté dans la CMP ?

Ne lisez pas l'IDFA et n'associez pas son activité aux données d'autres entreprises. Continuez à respecter le consentement donné dans la CMP pour les traitements qui ne nécessitent pas de suivi entre applications, et utilisez des signaux contextuels là où vous auriez utilisé l'IDFA.

Puis-je afficher l'invite ATT avant la CMP ?

Apple autorise des invites séparées, mais afficher ATT en premier pose deux problèmes. Un Autoriser dans ATT n'est pas un consentement au sens du RGPD et ne produit pas de chaîne de consentement TCF. Et Apple indique que l'invite ATT ne doit pas être présentée aux utilisateurs qui ont refusé tous les choix pertinents dans votre invite de consentement, ce que vous ne savez qu'une fois la CMP passée.

Comment fonctionne la nouvelle demande annuelle ?

Dans l'UE, une application peut afficher à nouveau l'invite ATT un an après la dernière réponse de l'utilisateur, qu'il ait autorisé ou refusé. iOS impose ce délai d'un an. Les utilisateurs qui ont désactivé les demandes de suivi dans les Réglages ne sont pas sollicités à nouveau.

À propos d'UniConsent

UniConsent est la plateforme de gestion du consentement de Transfon. Elle aide les éditeurs et les entreprises à respecter le RGPD, le UK GDPR et les réglementations mondiales sur la vie privée, sur des dizaines de millions de sessions utilisateur par jour. Pour toute question sur le consentement mobile ou ATT, écrivez à hello@uniconsent.com.