ATT iOS 27.2 en France : recetter le consentement

Pour préparer ATT sur iOS 27.2 en France, ne remplacez pas simplement une fenêtre par une autre. Recettez la chaîne complète : ce que l’application veut relier, l’information montrée, le choix enregistré par Apple, le consentement éventuellement requis par la réglementation, le comportement des SDK et la mesure encore autorisée après un refus. Une fenêtre conforme qui laisse partir un SDK trop tôt reste un parcours défaillant.

Apple a annoncé le changement le 16 septembre 2026. À partir d’iOS et iPadOS 27.2, la version alternative de la fenêtre App Tracking Transparency sera la seule disponible pour les applications distribuées en France, en Allemagne, en Italie, en Pologne et en Roumanie. Apple précise que les situations dans lesquelles l’autorisation ATT doit être demandée ne changent pas.

La bonne décision n’est donc pas « comment obtenir davantage d’acceptations ? », mais comment rendre chaque choix compréhensible, cohérent et vérifiable jusque dans les données réellement émises ?

Ce que change iOS 27.2 — et ce qui ne change pas

App Tracking Transparency, ou ATT, encadre chez Apple le suivi qui relie des données d’une application à celles d’autres entreprises pour la publicité ciblée, la mesure publicitaire ou le partage avec un courtier en données. Sans autorisation, l’identifiant publicitaire de l’appareil reste indisponible et l’application ne peut pas remplacer ce refus par un autre identifiant destiné au même suivi.

Pour l’Union européenne, Apple introduit une version alternative de sa fenêtre système. Elle modifie sa présentation et son vocabulaire, puis peut proposer un bouton « Additional Information » permettant d’ouvrir une couche d’information ou des contrôles plus fins. En France, cette version alternative est imposée à partir d’iOS 27.2 pour les applications concernées par la distribution décrite par Apple.

Trois règles structurantes restent stables :

• le besoin de demander ATT dépend toujours des traitements réellement effectués, pas du dessin de la fenêtre ;
• l’application ne peut ni réserver une fonction à l’acceptation du suivi, ni récompenser cette acceptation ;
• l’éditeur reste responsable des SDK et services tiers intégrés à son application.

La nouvelle interface ouvre donc une possibilité de clarification. Elle ne transforme pas la permission Apple en preuve automatique de conformité, ni un refus en autorisation de suivre autrement.

Pourquoi ATT et consentement légal doivent rester deux objets distincts

La documentation Apple prévoit explicitement que des contrôles séparés puissent être nécessaires pour répondre au droit applicable. Elle demande alors de ne pas créer de contradiction entre ces contrôles et le choix ATT. Une autorisation donnée dans une plateforme de gestion du consentement ne permet pas d’ignorer un refus ATT pour les données collectées dans l’application et utilisées pour le suivi défini par Apple.

La CNIL rappelle de son côté qu’une permission fournie par le système d’exploitation ne suffit généralement pas, à elle seule, à recueillir un consentement libre, spécifique, éclairé et univoque pour tous les traitements envisagés. Elle recommande d’identifier les opérations de lecture ou d’écriture qui nécessitent un consentement, de choisir les permissions les moins intrusives et d’articuler les demandes sans confusion.

Cette distinction produit une règle opérationnelle simple : l’état technique et la base légale doivent être documentés séparément, puis réunis seulement au moment de décider si un traitement précis peut démarrer.

Objet	Question à trancher	Preuve attendue
ATT	Apple autorise-t-il le suivi défini par sa politique ?	état retourné par le système et version d’OS testée
consentement applicable	la personne a-t-elle consenti au traitement et aux finalités concernés ?	finalités, choix, date, version de l’information et retrait possible
SDK	chaque composant respecte-t-il ces deux états avant tout accès ou envoi ?	configuration, journaux de test et trafic réseau observé
attribution	quelle mesure reste possible sans contourner un refus ?	méthode documentée, données minimisées et limites d’interprétation

Ce tableau ne remplace pas une qualification juridique. Il évite surtout une erreur produit fréquente : considérer qu’un bouton accepté dans une couche suffit à autoriser toute la chaîne.

La matrice Zence : territoire, version, choix, SDK, mesure et preuve

Une ligne de matrice représente une situation testable. Elle relie le contexte d’exécution à une décision explicite, au lieu de noter seulement « la fenêtre s’affiche ».

Distribution et appareil	État ATT	Consentement pertinent	SDK et données	Attribution permise	Preuve	Décision
France, iOS 27.2, premier parcours	non déterminé	non demandé	aucun SDK publicitaire actif	aucune attribution dépendante du suivi	capture, état système, trafic réseau	présenter l’information au moment utile
France, iOS 27.2	autorisé	toutes les finalités utiles acceptées	composants autorisés seulement	méthode documentée et bornée	événement de choix, configuration, requêtes observées	démarrer les traitements prévus
France, iOS 27.2	autorisé	une finalité refusée	SDK correspondant suspendu	mesure limitée aux finalités acceptées	choix granulaire et absence d’appel interdit	appliquer le choix le plus restrictif
France, iOS 27.2	refusé	état séparé quelconque	suivi ATT bloqué	mesure sans identifiant de suivi, si légitime	IDFA indisponible et requêtes bloquées	poursuivre le service sans suivi interdit
réglage global désactivé	non demandable	état séparé documenté	aucun contournement	attribution compatible avec ce contexte seulement	état du réglage et trafic observé	ne pas relancer la fenêtre
choix âgé d’au moins un an dans l’UE	acceptation ou refus antérieur	finalités toujours pertinentes	inchangé avant nouveau choix	inchangée avant décision	date précédente et éligibilité vérifiée	décider si une nouvelle demande est utile
retrait depuis le contrôle légal	état ATT encore autorisé	consentement retiré	traitements concernés arrêtés	mesure recalculée sans ces finalités	retrait horodaté et arrêt réseau	respecter le retrait sans attendre ATT
ancienne version d’iOS supportée	état hérité	consentement courant	branche de compatibilité maîtrisée	règle propre à la version	même compte de test sur deux versions	éviter une régression lors du déploiement

Les intitulés « distribution » et « appareil » doivent reprendre le comportement réellement observé dans l’environnement de test. Ne déduisez pas la fenêtre affichée d’une langue, d’une adresse IP ou d’un pays déclaré isolément. Versionnez le compte de test, le territoire de distribution, la version du système, le build et la configuration serveur.

Huit scénarios de recette avant de publier la mise à jour

La recette doit combiner interface, état persistant, trafic réseau et données reçues côté serveur. Une capture de la fenêtre ne prouve pas ce qui s’est passé avant ou après.

1. Installer l’application sans choix antérieur. Avant toute demande, vérifier qu’aucun SDK publicitaire ou d’attribution n’accède à une donnée utilisée pour le suivi. Présenter la demande au moment où sa finalité peut être comprise.
2. Refuser ATT. Terminer le parcours principal, puis confirmer que le service reste utilisable, que l’identifiant publicitaire n’est pas exploité et qu’aucun identifiant alternatif ne reconstitue le même suivi.
3. Accepter ATT puis refuser une finalité plus fine. Si la couche « Informations supplémentaires » ou une CMP propose plusieurs choix, le composant lié à la finalité refusée doit rester inactif même si ATT est autorisé.
4. Accepter les choix nécessaires. Vérifier seulement les traitements annoncés : SDK attendu, destination, paramètres minimaux, stockage serveur et durée de conservation. Une acceptation ne justifie pas un flux non documenté.
5. Désactiver globalement les demandes de suivi. L’application ne doit pas afficher une boucle d’incitation ni envoyer vers Réglages de manière trompeuse. Le parcours sans suivi doit rester cohérent.
6. Retirer un consentement après usage. Confirmer l’arrêt des traitements concernés, la mise à jour du serveur, l’effet sur les SDK déjà initialisés et l’accès au contrôle depuis l’application.
7. Tester une nouvelle demande après un an. Apple autorise dans l’Union européenne une nouvelle sollicitation un an après le choix précédent, accepté ou refusé, sauf si les demandes sont désactivées au niveau du système. Vérifier l’éligibilité ; ne transformez pas cette possibilité en relance automatique.
8. Comparer iOS 27.2 et une version encore supportée. Rejouer les mêmes choix avec le même jeu de données afin de détecter une différence d’initialisation, de texte, de redirection ou de mesure introduite par la nouvelle branche.

Chaque scénario reçoit un résultat observable : passé avec preuve, bloqué avec responsable, ou non applicable avec justification. « Aucun crash » n’est pas une preuve suffisante si une requête réseau indésirable est partie silencieusement.

Auditer les SDK avant de travailler le texte de la fenêtre

Le risque principal se trouve souvent derrière la fenêtre. Un SDK d’analytics, de publicité, d’attribution, de connexion ou de deep linking peut ouvrir une connexion, lire un identifiant ou transmettre un événement avant que l’application ait consolidé les choix utiles.

Construisez un registre minimal pour chaque composant : version, fournisseur, finalités, données lues, destinations, moment d’initialisation, signal de consentement attendu, comportement après refus, capacité de retrait et personne responsable. La CNIL recommande d’obtenir une documentation précise des traitements, de suspendre ceux qui reposent sur le consentement jusqu’au signal valide et de vérifier que le fournisseur permet l’exercice des droits.

Le test doit ensuite confronter le registre au trafic réel. Utilisez des comptes dédiés, un environnement de recette et des données sans secret. Observez le lancement à froid, l’ouverture de la couche d’information, chaque choix, le retour dans l’application, une mise en arrière-plan et un redémarrage. Un SDK correctement configuré au premier lancement peut se réinitialiser autrement après une mise à jour ou une restauration.

Cette discipline rejoint notre méthode de conception d’une application iOS et Android : les permissions, les erreurs et l’exploitation font partie du produit, pas d’une finition après développement.

Mesurer l’acquisition sans contourner le refus

Le refus ATT ne signifie pas que toute mesure devient impossible. Il oblige à séparer les méthodes qui nécessitent le suivi défini par Apple de celles qui peuvent fonctionner sans relier une personne ou un appareil entre plusieurs entreprises.

Apple propose notamment AdAttributionKit pour mesurer certaines campagnes avec une approche conçue pour préserver davantage la vie privée. Son existence ne dispense pas d’auditer les données, les partenaires et les limites de la méthode choisie. Une conversion agrégée n’explique pas automatiquement la qualité d’un client, sa marge ou son usage durable.

Conservez donc deux niveaux de preuve :

• preuve technique : quel événement a été produit, avec quelle méthode, dans quel état de consentement ;
• preuve commerciale : quelle visite, activation, vente ou marge peut raisonnablement être reliée à une décision sans surattribution.

Notre retour d’expérience sur la combinaison UGC, SEO et Meta Ads pour un SaaS mobile montre pourquoi installations, activation et revenu doivent rester distincts. Pour les autres traceurs, le guide sur les pixels de suivi email et la mesure utile applique la même règle : la collecte n’a de valeur que si elle soutient une décision explicite et proportionnée.

Exemple fictif : une application financée par la publicité

Imaginons une application gratuite qui utilise un SDK publicitaire, un SDK d’attribution et un outil d’analytics interne. L’équipe veut profiter du bouton d’information supplémentaire pour expliquer les finalités et proposer des choix granulaires.

Le premier test révèle que le SDK d’attribution démarre au lancement, avant ATT et avant le contrôle granulaire. Le second montre qu’après un refus de la finalité publicitaire, le SDK reste suspendu au premier usage mais redémarre après une mise à jour de l’application. Enfin, les tableaux de bord mélangent conversions agrégées et utilisateurs identifiés.

La correction ne consiste pas à réécrire un texte plus convaincant. Elle place l’initialisation derrière une règle commune, persiste séparément l’état ATT et les choix légaux, rejoue cette règle à chaque lancement, puis sépare les séries de mesure dans la restitution. La preuve associe captures, états, trafic réseau et événements serveur pour quatre parcours.

Cet exemple est volontairement fictif. Il illustre une méthode de recette sans prétendre décrire un client, un taux d’acceptation ou un résultat obtenu par Zence.

Ce que le protocole ne permet pas de conclure

Le nouveau format ne permet pas de prévoir un taux d’acceptation. Le texte, le moment, le public, la valeur perçue et les usages de données diffèrent selon les applications. Optimiser uniquement ce taux peut même masquer le vrai objectif : obtenir un choix compris et exploiter correctement ses conséquences.

L’article ne qualifie pas la base légale de votre traitement et ne remplace pas une analyse juridique ou celle d’un délégué à la protection des données. Les recommandations CNIL distinguent obligations, recommandations et bonnes pratiques ; leur application dépend des traitements et des rôles réels.

Enfin, iOS 27.2 vient d’être annoncé. Les outils, la documentation technique ou le comportement des versions bêta peuvent évoluer. Datez la source, le SDK, le build et le résultat de chaque test. Si Apple précise son interface, mettez à jour la matrice propriétaire plutôt que d’empiler une exception non documentée.

Commencer par la plus petite preuve complète

Un premier audit peut rester court : inventaire des SDK, deux états ATT, deux choix légaux, une ancienne version d’iOS, la nouvelle branche iOS 27.2 et un contrôle réseau. Ce périmètre suffit pour révéler une initialisation trop précoce, une contradiction entre choix ou une mesure impossible à justifier.

Pour cadrer le reste du produit, utilisez aussi notre guide de cahier des charges d’application mobile et notre analyse du prix d’une application mobile, qui intègre backend, stores, recette et maintenance. Zence accompagne la conception et la maintenance d’applications iOS et Android en reliant interface, données, partenaires et exploitation. Vous pouvez faire relire votre parcours ATT avant de publier la mise à jour.

Sources officielles

Apple Developer — Updates to App Tracking Transparency in the European Union, annonce du 16 septembre 2026, pays concernés et maintien du périmètre de demande.

Apple Developer — User privacy and data use, définition du suivi, interface alternative, nouvelle demande après un an, contrôles séparés et responsabilités liées aux SDK.

Apple Developer — Requesting Authorization with Expanded Interface, API de l’interface étendue.

Apple Developer — NSUserTrackingMarkdownUsageDescription, clé de description associée à l’information étendue.

CNIL — Permissions dans les applications mobiles, distinction entre permission technique et consentement, minimisation et articulation avec une CMP.

CNIL — Intégrer des SDK et respecter la vie privée, documentation, suspension des traitements et responsabilités des acteurs.