Règlement (UE) 2022/1925 — DMA, règlement sur les marchés contestables et équitables dans le secteur numérique, applicable depuis le 2 mai 2023 (obligations effectives le 7 mars 2024)Art. 3 DMA — critères de désignation d'un « contrôleur d'accès » (gatekeeper) : CA UE ≥ 7,5 Md€/an ou capitalisation ≥ 75 Md€, service utilisé par ≥ 45 millions d'utilisateurs finaux actifs et ≥ 10 000 entreprises utilisatrices dans l'UEArt. 5 § 4 DMA — obligation « anti-steering » : le contrôleur d'accès doit permettre gratuitement aux utilisateurs professionnels d'informer leurs clients d'offres alternatives, de les y orienter et de conclure des contrats en dehors de son serviceArt. 5 § 2 DMA — obligation de recueillir un consentement spécifique pour combiner les données personnelles entre services, avec alternative équivalente et moins intrusiveArt. 30 DMA — amendes de la Commission : jusqu'à 10 % du chiffre d'affaires mondial total, portées à 20 % en cas de réitération de l'infractionLe 23 avril 2025, la Commission européenne rend ses deux premières décisions de non-conformité au titre du DMA. Apple est sanctionnée de 500 M€ pour avoir restreint, via les règles de son App Store, la possibilité pour les développeurs d'informer gratuitement leurs utilisateurs d'offres moins chères disponibles hors de la plateforme — sans démontrer que ces restrictions étaient objectivement nécessaires et proportionnées. Meta écope de 200 M€ pour son modèle « payer ou consentir » (Facebook/Instagram, lancé en novembre 2023), jugé non conforme faute d'offrir une alternative réellement équivalente et moins gourmande en données personnelles.
Le 7 juillet 2025 — un an jour pour jour avant la publication de ce module — Apple forme un recours en annulation devant le Tribunal de l'Union européenne (affaire T-438/25, Apple c. Commission), fondé sur cinq moyens de droit contestant l'interprétation de l'obligation anti-steering, l'injonction de mise en conformité et le montant de l'amende. Le recours est toujours pendant à ce jour ; en parallèle, la Commission a ouvert des procédures distinctes contre Alphabet/Google pour des pratiques similaires sur Google Play et Google Search.
Le DMA ne sanctionne pas un contenu illicite ni une faille de sécurité : il sanctionne une architecture technique — règles de l'App Store, design d'un bandeau de consentement — jugée anticoncurrentielle. Pour un professionnel de la sécurité offensive, le dossier Apple mérite une attention particulière car la mise en conformité forcée modifie directement la surface d'attaque : autoriser les liens et les paiements externes à l'App Store (via l'« External Purchase Link Entitlement » introduite par Apple en réaction) réintroduit des flux hors du bac à sable historiquement fermé de l'App Store, avec de nouveaux vecteurs de phishing et de contournement du contrôle qualité d'Apple à anticiper côté audit. Le régime DMA (concurrence entre plateformes) et le régime DSA déjà traité dans ce dépôt (transparence et contenus illicites) forment un doublon réglementaire cohérent mais distinct, que tout audit de conformité plateforme doit désormais couvrir séparément.