↓ Version .md brute (pour NotebookLM)

Anti-steering, gatekeepers et 500 millions d'euros : ce que le procès Apple contre la Commission européenne révèle du Digital Markets Act

Le 7 juillet 2026, cela fait exactement un an que la société Apple a déposé devant le Tribunal de l'Union européenne un recours en annulation contre l'une des décisions les plus commentées de l'histoire récente de la régulation numérique européenne. Cette coïncidence de calendrier est une bonne occasion de revenir sur un texte que beaucoup de professionnels de la cybersécurité connaissent de nom sans toujours le distinguer clairement de son cousin plus médiatique, le Digital Services Act : le Digital Markets Act, ou DMA, le règlement européen sur les marchés contestables et équitables dans le secteur numérique.

Le DMA, règlement (UE) 2022/1925 du 14 septembre 2022, poursuit un objectif fondamentalement différent du DSA. Là où le DSA régule la manière dont les plateformes en ligne traitent les contenus illicites et la transparence de leurs pratiques de modération, le DMA s'attaque à la structure concurrentielle des marchés numériques dominés par un petit nombre d'acteurs. Son mécanisme central repose sur la notion de « contrôleur d'accès », traduction française du terme anglais gatekeeper. L'article 3 du règlement fixe des critères quantitatifs précis pour cette désignation : une entreprise est présumée contrôleur d'accès si elle réalise un chiffre d'affaires annuel dans l'Union européenne d'au moins 7,5 milliards d'euros au cours de chacune des trois dernières années, ou si sa capitalisation boursière moyenne a atteint au moins 75 milliards d'euros lors du dernier exercice, à condition qu'elle fournisse le même service de plateforme essentiel dans au moins trois États membres. Un second critère, cumulatif avec le précédent sur le plan de la présomption, exige que ce service de plateforme essentiel compte au moins 45 millions d'utilisateurs finaux actifs mensuels établis dans l'Union et au moins 10 000 entreprises utilisatrices actives par an, ces seuils devant être atteints sur trois exercices consécutifs pour caractériser une position à la fois solide et durable. Une fois désignée, une entreprise se voit imposer une liste d'obligations et d'interdictions directement applicables, sans qu'il soit nécessaire pour la Commission de démontrer, comme en droit de la concurrence classique, un abus de position dominante au cas par cas : c'est là toute la différence de philosophie du DMA, pensé comme une régulation ex ante plutôt qu'un contentieux ex post.

Parmi ces obligations, l'article 5 paragraphe 4 du règlement impose ce que la pratique appelle l'obligation « anti-steering ». Le contrôleur d'accès doit permettre, gratuitement, aux entreprises utilisatrices de son service de plateforme essentiel de communiquer et de promouvoir des offres auprès des utilisateurs finaux qu'elles ont acquis via ce service, y compris en dehors de celui-ci, et de conclure des contrats avec ces utilisateurs finaux, quel que soit le canal utilisé. Concrètement, pour l'App Store d'Apple, cela signifie qu'un développeur d'application doit pouvoir informer ses utilisateurs qu'un abonnement moins cher est disponible sur son propre site web, et les y renvoyer, sans qu'Apple ne puisse l'en empêcher ni lui imposer des conditions faisant obstacle à cette information.

C'est précisément sur ce terrain que la Commission européenne a rendu, le 23 avril 2025, sa toute première décision de non-conformité visant Apple au titre du DMA. La Commission a constaté que les règles commerciales imposées par Apple aux développeurs continuaient, malgré les ajustements apportés par l'entreprise depuis l'entrée en application du règlement, à restreindre leur capacité à informer effectivement les utilisateurs d'offres alternatives et à les y orienter. Apple n'a pas réussi à démontrer que ces restrictions étaient objectivement nécessaires et proportionnées, un standard de preuve qui pèse sur le contrôleur d'accès lui-même et non sur la Commission. La sanction s'est élevée à 500 millions d'euros. Le même jour, dans une décision distincte mais publiée conjointement, la Commission a également sanctionné Meta à hauteur de 200 millions d'euros pour son modèle publicitaire dit « payer ou consentir », introduit en novembre 2023 sur Facebook et Instagram, qui proposait aux utilisateurs européens un choix binaire entre accepter la combinaison de leurs données personnelles entre services à des fins publicitaires ou payer un abonnement mensuel pour une version sans publicité. La Commission a jugé que ce modèle ne respectait pas l'article 5 paragraphe 2 du DMA, qui exige qu'un utilisateur refusant le croisement de ses données ait accès à un service alternatif réellement équivalent et moins gourmand en données personnelles, ce qui n'était pas le cas ici. Dans la même série de décisions, la Commission a par ailleurs accédé à une demande de Meta visant à retirer Facebook Marketplace de la liste des services désignés, ce service étant passé sous le seuil des 10 000 entreprises utilisatrices actives.

Ces deux décisions ne sont pas restées sans suite contentieuse. Le 7 juillet 2025, Apple a introduit devant le Tribunal de l'Union européenne un recours en annulation, enregistré sous la référence T-438/25, dirigé contre la décision C(2025) 2090 final de la Commission. Le recours d'Apple s'articule autour de cinq moyens de droit distincts, portant notamment sur l'interprétation retenue par la Commission de la portée exacte de l'obligation anti-steering, sur la validité de l'injonction de mise en conformité qui accompagnait la sanction financière, et sur la proportionnalité du montant de l'amende elle-même. Le litige reste pendant devant le Tribunal à la date de rédaction de ce module, sans qu'un calendrier de décision définitif ait été rendu public. Ce n'est pas un cas isolé : la Commission a ouvert des procédures d'instruction distinctes contre Alphabet, maison mère de Google, portant sur des pratiques de steering au sein de Google Play et sur un possible autopréférencement dans les résultats de Google Search, et a déjà transmis à l'entreprise des constatations préliminaires. L'année 2026 s'annonce ainsi comme celle où la première génération de décisions de non-conformité du DMA sera, pour la première fois, mise à l'épreuve du contrôle juridictionnel du Tribunal de l'Union.

Pour un lecteur venu du monde de la sécurité offensive, l'intérêt de ce dossier ne se limite pas à son montant ou à sa portée concurrentielle. La mise en conformité forcée d'Apple avec l'obligation anti-steering a eu une conséquence technique directe : l'entreprise a dû introduire de nouveaux mécanismes, dont une entitlement spécifique permettant aux applications iOS d'afficher des liens externes de paiement, un canal qui n'existait tout simplement pas dans l'architecture fermée historique de l'App Store. Chaque ouverture réglementaire de ce type modifie la surface d'attaque d'un écosystème pensé, depuis son origine, autour d'un contrôle centralisé et d'une revue systématique des applications par Apple avant leur mise en ligne. Un lien de paiement externe, une redirection vers un site tiers depuis une application par ailleurs jugée de confiance par l'utilisateur parce que distribuée via l'App Store, ouvre un boulevard classique de phishing et d'ingénierie sociale que les équipes de sécurité, aussi bien offensives que défensives, doivent désormais intégrer à leurs modèles de menace pour les applications mobiles. Le DMA illustre ainsi une dynamique récurrente en régulation numérique : une obligation pensée pour restaurer la concurrence économique produit, comme effet secondaire non anticipé par le législateur, une reconfiguration du périmètre de sécurité technique de la plateforme concernée.

Ce dossier s'inscrit enfin dans un paysage réglementaire numérique européen désormais dense, où le DMA côtoie le DSA, le RGPD et l'AI Act, chacun avec son propre régime de sanction et sa propre autorité de contrôle, mais avec des acteurs — souvent les mêmes grandes plateformes — soumis simultanément à plusieurs de ces cadres pour des aspects différents de leur activité.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cinq angles possibles pour approfondir ce sujet selon l'intérêt du lecteur — copier l'un d'entre eux tel quel dans le champ de personnalisation de l'Audio Overview NotebookLM.

Angle 1 — Audit offensif et nouvelle surface d'attaque de l'App Store. Concentre-toi sur les conséquences techniques concrètes de la mise en conformité anti-steering d'Apple : l'introduction de l'External Purchase Link Entitlement, les nouveaux flux de redirection hors du bac à sable historique de l'App Store, et les scénarios de phishing ou d'ingénierie sociale qu'un audit de sécurité mobile devrait désormais tester spécifiquement sur les applications iOS exploitant ces liens externes.

Angle 2 — Architecture technique et critères de désignation des contrôleurs d'accès. Explique comment la Commission européenne établit concrètement qu'une entreprise franchit les seuils quantitatifs de l'article 3 du DMA (chiffre d'affaires, capitalisation, nombre d'utilisateurs et d'entreprises utilisatrices), quelles données et quels processus de reporting cela suppose côté plateforme, et comment cette logique de seuil se compare à celle des entités essentielles sous NIS2 ou des GPAI à risque systémique sous l'AI Act, déjà traitées dans ce dépôt.

Angle 3 — Comparaison des régimes de sanction numériques déjà documentés dans ce dépôt. Mets en perspective l'amende DMA de 500 M€ infligée à Apple et de 200 M€ infligée à Meta avec l'amende DSA de 120 M€ infligée à X, la sanction CNIL de 42 M€ contre Free/Free Mobile au titre du RGPD, et le régime de sanction de l'article 101 de l'AI Act : comment ces régimes se chevauchent ou se complètent pour un même grand acteur technologique soumis à plusieurs cadres à la fois.

Angle 4 — Veille réglementaire automatisée sur le contentieux DMA. Concentre-toi sur la manière de construire une veille technique et juridique continue permettant de suivre l'évolution du recours T-438/25 devant le Tribunal de l'Union européenne, les nouvelles désignations de contrôleurs d'accès par la Commission, l'issue des procédures ouvertes contre Alphabet/Google, et les décisions de non-conformité à venir sur d'autres obligations du DMA (interopérabilité, portabilité des données).

Angle 5 — Prospective contentieuse et scénarios d'issue du procès Apple. Explore les différents scénarios possibles pour l'affaire T-438/25 : confirmation intégrale de la décision de la Commission, annulation partielle sur la proportionnalité de l'amende, ou remise en cause de l'interprétation même de l'obligation anti-steering, en t'appuyant sur les cinq moyens de droit soulevés par Apple et sur les précédents procéduraux du recours de X contre sa sanction DSA, déjà traité dans ce dépôt.