Apple Music : la double peine du droit français pour clauses abusives et RGPD

Temps de lecture : 14 min

Points clés à retenir

• Opacité rédactionnelle : la cour d’appel sanctionne une stratégie d’empilement de clauses génériques et ambiguës qui neutralise le consentement éclairé de l’utilisateur, en violation combinée du Code de la consommation et du RGPD.
• Qualification objective des données : l’autoqualification contractuelle est rejetée : l’adresse IP et autres identifiants techniques sont des données personnelles au sens de l’article 4.1 du RGPD, rendant les obligations d’information automatiques.
• Responsabilité de plein droit non éludable : le prestataire de services numériques ne peut s’exonérer de son obligation de résultat (art. L.221-15 C. consom.) par des clauses de limitation de responsabilité rédigées de manière trompeuse.

Une décision de principe sur le contrôle des CGU numériques

Dix ans de procédure pour un arrêt de 150 pages : tel est le bilan du contentieux opposant l’association UFC-Que Choisir à la société Apple Distribution International Limited (ADI) concernant les conditions générales du service iTunes, devenu Apple Music. Par un arrêt du 27 février 2026, la cour d’appel de Paris confirme très largement la condamnation de première instance, tout en apportant deux nuances importantes : elle déclare irrecevables les demandes portant sur des versions contractuelles obsolètes (CGU V1 à V5, engagement de confidentialité V1 et V2) et rectifie le fondement juridique de certaines clauses sanctionnées, en particulier la clause de licence sur les contenus des utilisateurs. Mais l’arrêt entend surtout sanctionner la méthode d’ensemble : un dispositif contractuel délibérément opaque, organisé autour d’une information pléthorique et ambiguë, de nature à empêcher le consentement éclairé de plusieurs millions d’utilisateurs français. La décision illustre la construction progressive, par le juge judiciaire, d’un contrôle articulé des conditions générales des services numériques, mobilisant conjointement le droit de la consommation, le droit commun des contrats et le RGPD.

Le service Apple Music constitue un service de fourniture de contenu numérique, soumis à l’acceptation des conditions générales d’utilisation (CGU), contrats d’adhésion au sens de l’article 1110 du Code civil. Ces CGU exposaient les utilisateurs à des stipulations fréquemment déséquilibrées, soit qu’elles confèrent au professionnel des prérogatives excessives dans l’exécution, soit qu’elles méconnaissent les exigences de transparence imposées par le RGPD. L’UFC-Que Choisir, association agréée au titre de la défense des consommateurs, avait mis en demeure Apple dès décembre 2015, avant de l’assigner en juin 2016. Le jugement du 9 juin 2020 avait fait droit à l’essentiel des demandes. Apple ayant interjeté appel, la cour confirme et alourdit la condamnation en portant les dommages-intérêts à 50 000 euros pour atteinte à l’intérêt collectif des consommateurs.

I – La sanction des clauses déséquilibrées au regard du droit de la consommation

La cour d’appel exerce son contrôle en mobilisant un triptyque normatif : l’article L.221-15 du Code de la consommation, qui pose le principe de responsabilité de plein droit du prestataire de services numériques ; l’article L.212-1, qui répute non écrites les clauses créant un déséquilibre significatif ; et les listes noire et grise des clauses présumées ou irréfragablement abusives (art. R.212-1 et R.212-2). L’article L.211-1, imposant une présentation claire et compréhensible, est également mobilisé comme fondement autonome d’illicéité – la cour confirmant qu’il ne s’agit pas d’une simple règle d’interprétation mais d’une obligation transverse.

A – Les clauses limitant la responsabilité de plein droit : sanction de l’opacité contractuelle

La cour sanctionne en premier lieu les clauses d’exclusion ou de limitation de responsabilité d’ADI. La formule selon laquelle Apple « fournira le Service avec diligence et dans le respect des règles de l’art » mais « ne donne aucun autre engagement ni aucune autre garantie » est qualifiée d’opaque : en énumérant des exclusions avant d’indiquer in fine dans quels cas sa responsabilité peut être engagée, ADI donne au consommateur l’impression que son obligation de plein droit (art. L.221-15) est éludée. La clause est déclarée à la fois illicite – pour violation de l’obligation de clarté – et abusive, car créant un déséquilibre significatif.

De même, la clause prévoyant que la responsabilité est écartée pour les « faits échappant à son contrôle » ou « indépendants de sa volonté » est jugée illicite : ces formulations sont plus larges que les causes d’exonération limitativement prévues par l’article L.221-15 (fait du consommateur, fait d’un tiers imprévisible et insurmontable, force majeure). Elle permettrait à ADI d’invoquer une faille technique ou l’intervention d’un sous-traitant pour s’exonérer.

Mais la cour va plus loin s’agissant de la clause n°10 des CGU, qui exclut la responsabilité d’ADI pour la perte ou la corruption des données de l’utilisateur. Combinant droit de la consommation et RGPD, elle juge que cette clause viole l’article R.212-1, 6° (suppression du droit à réparation) et l’article 82 du RGPD (responsabilité de plein droit du responsable de traitement). La Cour relève expressément que le régime de l’article 82 est d’ordre public et ne peut être aménagé contractuellement au détriment de la personne concernée.

B – Les clauses de suspension et de résiliation discrétionnaires : asymétrie contractuelle prohibée

Les clauses n°5 et n°6 des CGU prévoient une interruption ou une résiliation à l’initiative exclusive d’ADI, sans préavis raisonnable ni possibilité pour l’utilisateur de se justifier ou de contester la décision. La cour relève que l’éventualité d’un préavis n’est envisagée que dans la clause n°5, laissée à la seule discrétion d’ADI – potestative donc – et totalement absente de la clause n°6. En privant l’utilisateur de toute procédure contradictoire préalable, ces clauses créent un déséquilibre significatif au sens de l’article L.212-1 et sont irréfragablement abusives au sens de l’article R.212-1, 4° et 6°.

C – La clause de licence sur les contenus des utilisateurs : un fondement consumériste plutôt que le droit d’auteur

Un enseignement notable de l’arrêt tient au sort de la clause par laquelle l’utilisateur concède à Apple une « licence mondiale, gratuite, perpétuelle et non-exclusive pour utiliser les éléments [qu’il soumet] dans les services et à des fins marketing et à des fins internes ». Le tribunal avait fondé l’illicéité sur les articles L.131-1 et L.131-3 du Code de la propriété intellectuelle. La cour infirme le jugement sur ce point : elle relève que l’utilisateur n’est pas dépossédé de son contenu et que les contenus concernés (photographies de profil, playlists) sont de nature basique, de sorte que ni l’article L.131-1 ni L.131-3 n’ont vocation à s’appliquer.

La cour retient en revanche l’illicéité de la clause sur le seul fondement du droit de la consommation. La formulation « licence mondiale » assortie d’une durée « perpétuelle » et d’une utilisation « non-exclusive » n’est pas intelligible pour le consommateur, qui donne un blanc-seing à ADI. La clause crée un déséquilibre significatif au sens des articles L.211-1 et L.212-1 et doit être réputée non écrite.

II – Le contrôle judiciaire de la conformité des clauses au RGPD : une articulation originale

L’instance introduite en 2016 est antérieure à l’entrée en vigueur du RGPD. La cour justifie l’application du règlement en relevant que les versions litigieuses des clauses ont continué à produire leurs effets après le 25 mai 2018. Elle étend ainsi le champ de l’action associative en matière de protection des données, en application de la directive n°2020/1828 et de l’article 80, §2, du RGPD transposé par l’article 37 de la loi Informatique et Libertés – solution fidèle à la jurisprudence Fashion ID de la CJUE.

A – La requalification des « données techniques » en données personnelles : rejet de l’autoqualification

Les CGU présentaient comme de simples « données techniques » l’adresse IP, les identifiants de dispositif, les configurations système, les périphériques (clause n°8), mais aussi le code postal, l’identifiant publicitaire et les données de géolocalisation. La cour écarte fermement cette présentation. S’appuyant sur l’article 4.1 du RGPD et la jurisprudence Breyer de la CJUE, elle rappelle que le moyen tiré du caractère non personnel de ces données « repose sur une auto-qualification contraire à l’approche objective définie par l’article 4.1 du RGPD » (arrêt, §138). Dès lors que ces identifiants permettent une identification indirecte, les obligations d’information des articles 12 à 14 du RGPD deviennent automatiquement applicables. La clause est déclarée illicite pour violation du RGPD et abusive au sens des articles L.212-1 et R.212-1, 4°.

B – L’opacité rédactionnelle comme manquement autonome au principe de transparence

La cour identifie un deuxième manquement systémique dans l’usage de formulations imprécises ou conditionnelles. La répétition de l’alternative « et/ou » dans la clause relative à la divulgation aux tiers est qualifiée d’ambiguïté préjudiciable. Le recours à des termes non définis tels que « partenaires stratégiques » ou « tiers » sans préciser les catégories de destinataires au sens de l’article 13.1.e du RGPD confère à ADI un pouvoir discrétionnaire incompatible avec l’exigence de transparence. L’absence d’information sur la durée de conservation des données et sur les droits des personnes concernées, combinée à la formule impérative « Vous acceptez que », est regardée comme une violation directe de l’article 7 du RGPD : une telle rédaction ne peut constituer un consentement « libre, spécifique, éclairé et univoque », conformément à la jurisprudence Orange România de la CJUE.

C – La sanction du profilage dissimulé et de la présentation trompeuse des traitements

La cour sanctionne également les clauses qui dissimulent l’existence ou l’étendue de traitements intrusifs. La clause décrivant le calcul d’un « indice de confiance de l’appareil » à partir des données d’utilisation est qualifiée de profilage au sens de l’article 4.4 du RGPD, sans que les informations sur la logique sous-jacente, les conséquences et les droits d’opposition soient fournies – violation des articles 13.2.f et 14.2.g. De plus, la cour relève une contradiction majeure : l’Engagement de Confidentialité affirme qu’Apple ne recourt pas au profilage, tandis que le document spécifique Apple Music décrit un mécanisme de profilage – incohérence violant le principe de loyauté.

De même, la clause relative aux données hachées des contacts (fonctionnalité « Apple Music Friends ») est sanctionnée pour défaut de transparence. La cour précise que le hachage constitue une pseudonymisation, non une anonymisation : ces données restent des données personnelles au sens de l’article 4 du RGPD, la réidentification demeurant possible. La formulation négative (« Apple ne collecte pas ») minimise la réalité du traitement – l’envoi de données hachées aux serveurs d’Apple – et crée une ambiguïté contraire à l’article 12.

Enfin, la cour procède à une lecture combinée des clauses relatives aux données, conformément à la délibération de la CNIL du 8 juin 2023 et à la jurisprudence Planet49 de la CJUE : l’appréciation de la loyauté impose une lecture globale et contextuelle des documents contractuels, permettant de déceler les effets cumulatifs d’une stratégie rédactionnelle dont l’objet est de neutraliser le consentement éclairé de l’utilisateur.

Enseignements pour les praticiens et signaux réglementaires

L’arrêt du 27 février 2026 dépasse la simple confirmation d’une condamnation. Il constitue une décision de principe sur la manière dont le juge articule droit de la consommation et RGPD pour contrôler les CGU numériques. Plusieurs enseignements méritent d’être retenus :

• Le principe de responsabilité de plein droit du prestataire (art. L.221-15) est une exigence contractuelle autonome à laquelle aucun artifice rédactionnel ne peut déroger.
• La qualification des données personnelles est une question de droit objective, dont le responsable de traitement ne peut se décharger par une autoqualification.
• La transparence exigée par le RGPD n’est pas une formalité – elle conditionne la validité du consentement et l’exercice effectif des droits des personnes concernées.

Ce signal revêt une résonance particulière dans le contexte réglementaire actuel. Alors que la proposition de règlement omnibus numérique, adoptée par la Commission européenne le 19 novembre 2025, envisage de modifier la définition même des données à caractère personnel après pseudonymisation, le Comité européen de la protection des données et le Contrôleur européen ont alerté les colégislateurs sur le risque d’un affaiblissement substantiel des droits fondamentaux. La résistance du juge judiciaire français rappelle que, dans un paysage normatif incertain, c’est au juge que revient, pour l’heure, la charge de maintenir un niveau effectif de protection des utilisateurs face aux plateformes numériques.