Apple trekt ATT-toestemmingsvenster gelijk na besluit Bundeskartellamt

Apple past binnen vier maanden het toestemmingsvenster voor app-tracking op iPhone en iPad aan, nadat het Bundeskartellamt de toezeggingen van het bedrijf bindend verklaarde en de procedure over het App Tracking Transparency Framework sloot.

Het grootste verschil zit niet in de vormgeving maar in het aantal vensters. Een app-uitgever die op iOS advertentieruimte verkoopt, moet nu vaak twee keer om een keuze vragen: eerst via de eigen toestemmingsbanner voor de AVG, daarna nog eens via het door Apple voorgeschreven ATT-venster. Die dubbele drempel mag straks één scherm worden. Juridisch reikt het besluit niet verder dan Duitsland, maar Apple zegt de aanpassing in vrijwel alle EU-landen door te voeren, waarmee de vraag voor Nederlandse uitgevers verschuift van of naar wanneer.

Wat er uit het venster verdwijnt

Het ATT-venster bestaat sinds april 2021 en bepaalt of een app-uitgever bij de IDFA mag, de reclame-identificatie waarmee een apparaat over bedrijven heen herkenbaar blijft. Zonder een ja in dat venster is er geen IDFA, en dus geen bedrijfsoverstijgende meting van een campagne. Een gelijkwaardig technisch alternatief bestaat er volgens het onderzoek van de toezichthouder niet.

In de nieuwe versie verdwijnen de blauwe waarschuwingshand en het woord tracking, dat uitgevers als alarmerend ervoeren. Labels en knopvolgorde worden gelijkgetrokken met het venster dat Apple voor de eigen gepersonaliseerde reclame gebruikt, de PA Prompt, en beide vensters moeten voortaan correct beschrijven wat er bij toestemming met de data gebeurt. De ruimte voor eigen uitleg groeit fors: de Customizable Purpose String mag tot 4.000 tekens tellen, terwijl een richtlijn van Apple die tekst nu in de praktijk op één of twee zinnen houdt.

Precies daar zat de klacht. De waarschuwingshand, het verschil in woordkeus tussen app-tracking en gepersonaliseerde reclame, de ongelijke ruimte voor uitleg en de volgorde van de knoppen stuurden de keuze: in Apple's eigen venster richting ja, in dat van derden richting nee. Bundeskartellamt-president Andreas Mundt benadrukt dat het doel niet is om zo hoog mogelijke toestemmingspercentages te halen, maar dat wie zijn data niet afstaat dat net zo vrij en geïnformeerd moet kunnen beslissen als wie dat wel doet.

Van twee vensters naar één

Het tweede deel van de toezeggingen gaat over de architectuur van de vraag. Uitgevers mogen een tekstknop in het nieuwe ATT-venster zetten en doorlinken naar een tweede laag met granulaire instellingen of extra uitleg. Daarmee ontstaan drie routes.

Alles in één venster. Je combineert je eigen toestemmingsvraag met het ATT-venster. Voorwaarde is dat alle informatie die de privacyregels op de eerste laag eisen ook echt in je eigen tekst staat, en dat granulaire keuzes achter de tekstknop komen. Eén klik op toestaan of weigeren geldt dan voor allebei.

Gescheiden, met verwijzing. Je banner blijft ongewijzigd en het ATT-venster verwijst naar de toestemming die de gebruiker je al gaf. Weigert iemand in je banner, dan mag het ATT-venster daarna niet worden getoond. Wie wel toestemde, mag twaalf maanden na de laatste vertoning opnieuw het ATT-venster zien.

Gescheiden, zonder verband. Alles blijft zoals het nu is. Ook dan krijg je het nieuwe, neutralere venster.

Sommige uitgevers zetten er vandaag zelfs nog een eigen pre prompt voor om uitleg kwijt te kunnen, waardoor een gebruiker in het slechtste geval drie keer iets moet aanklikken voordat er één advertentie gemeten is. De eerste route haalt daar een hele stap uit. Het Europese voorstel om de cookiebanner te vervangen door een browsersignaal dat je voorkeur eenmalig vastlegt staat intussen onder lobbydruk van Google en een aantal lidstaten, dus die tweede vraag verdwijnt voorlopig niet uit de wet, hooguit uit het scherm.

Waar de nieuwe vensters opduiken

In Duitsland worden straks alleen nog het nieuwe ATT-venster en de aangepaste PA Prompt getoond. De onderhandelde oplossing geldt voor gebruikers met een Duits App Store-factuuradres en een Duitse apparaatlocatie, en het Bundeskartellamt houdt het er zelf op dat die oplossing invloed kán hebben op de inrichting van het ATTF in andere lidstaten. Apple is stelliger en zegt de wijzigingen door te voeren in vrijwel alle EU-landen, zo meldt Reuters.

Duitsland is niet het enige land dat het ATTF aanpakte. Frankrijk beboette Apple vorig jaar met 150 miljoen euro en Italië met 98,6 miljoen; Roemenië en Polen voeren eigen procedures. De toezichthouders stemden af binnen het European Competition Network, met de Europese Commissie erbij. Nederland staat niet in dat rijtje, dus voor een Nederlandse uitgever hangt het venster dat je klanten straks zien volledig aan Apple's eigen uitrol.

Zeven jaar onder toezicht

Apple kreeg vier maanden vanaf de betekening van het besluit van 13 augustus om de wijzigingen stap voor stap in iOS en iPadOS te bouwen en aan uitgevers bekend te maken, met technische tests waaraan app-uitgevers zelf meedoen. Daarna gelden de verplichtingen zeven jaar, bewaakt door een onafhankelijke Monitoring Trustee die ook bemiddelt als een uitgever vindt dat Apple zich er niet aan houdt.

Het ATTF blijft dus bestaan, en Apple mag zijn privacylat hoger leggen dan de wet voorschrijft. Wat verandert is wie de vormgeving bepaalt. Het besluit rust op paragraaf 19a van de Duitse mededingingswet, de regeling voor grote digitale concerns waaronder Apple sinds april 2023 valt en die de hoogste Duitse rechter in maart 2025 bevestigde. Diezelfde beweging speelde in juli in Luxemburg, waar het EU-Gerecht Apple's beroep tegen de poortwachterstatus van de App Store en iOS afwees. Een venster dat vier jaar lang een productbeslissing was, wordt nu per knop en per woord door toezichthouders herschreven.