Données personnelles et clauses abusives : Apple condamnée à propos d’Apple Music

Par un arrêt du 27 février 2026, la Cour d’appel de Paris (ci-après la « CA Paris ») apporte des précisions importantes sur le contrôle des clauses contractuelles à l’ère numérique. Saisie par l’Union fédérale des consommateurs – Que choisir (ci-après « UFC – Choisir »), la juridiction articule de manière fine le droit de la consommation et le Règlement général sur la protection des données (ci-après « le RGPD »), tout en sanctionnant plusieurs stipulations des conditions d’utilisation du service Apple Music. 

Rappel des faits et de la procédure 

Par un arrêt du 27 février 2026 (CA Paris, RG n°21/00128), la CA de Paris s’est prononcée sur la licéité de nombreuses clauses figurant dans les conditions générales d’utilisation (ci-après « CGU ») et les documents relatifs à la protection des données du service Apple Music. 

Le litige trouve son origine dans une assignation délivrée dès 2016 par l’UFC-Que Choisir, qui contestait plusieurs stipulations contractuelles au regard du droit de la consommation et du droit des données personnelles. 

Par jugement du 9 juin 2020, le tribunal judiciaire de Paris avait fait droit à une partie des demandes et condamné la société Apple Distribution International à verser 20 000 euros de dommages et intérêts au titre du préjudice causé à l’intérêt collectif des consommateurs. 

Saisie en appel, la Cour : 

• confirme en grande partie l’analyse du premier juge,  

• déclare toutefois irrecevables certaines demandes portant sur d’anciennes versions contractuelles,  

• et porte la condamnation à 50 000 euros. 

Un contrôle approfondi des clauses au regard du droit de la consommation 

Sur le fondement des articles L.212-1, L.211-1 et R.212-1 du Code de la consommation, la Cour procède à un contrôle détaillé des stipulations contractuelles, en examinant leur clarté, leur équilibre et leur portée. 

Sont notamment sanctionnées plusieurs clauses relatives à la responsabilité du professionnel. La Cour relève que certaines stipulations limitaient excessivement la responsabilité d’Apple ou reposaient sur des formulations imprécises, contraires aux exigences de transparence et de loyauté contractuelle. 

Les clauses encadrant la disponibilité du service sont également partiellement censurées. En permettant des modifications, suspensions ou résiliations unilatérales sans garanties suffisantes pour l’utilisateur, elles créent un déséquilibre significatif au détriment du consommateur. 

En matière de propriété intellectuelle, la Cour adopte une position nuancée. Elle ne remet pas en cause l’ensemble des stipulations relatives aux contenus des utilisateurs, mais censure spécifiquement celle qui conférait à Apple une licence particulièrement large, mondiale, gratuite et sans limitation de durée, pour l’exploitation de ces contenus. Cette stipulation est réputée non écrite. 

Données personnelles : le RGPD comme norme d’éclairage, non de substitution 

L’un des apports majeurs de l’arrêt réside dans l’articulation opérée entre le RGPD et le droit de la consommation. 

La Cour rappelle que l’action engagée ne vise pas à apprécier la conformité globale des traitements de données, mais à contrôler les clauses contractuelles. Elle refuse ainsi toute automaticité entre une éventuelle non-conformité au RGPD et le caractère abusif d’une clause : chaque fondement juridique doit être examiné de manière autonome. 

Pour autant, le RGPD constitue une norme d’appréciation pertinente. La Cour sanctionne plusieurs stipulations relatives aux données personnelles lorsqu’elles participent à un déséquilibre contractuel, notamment : 

• la qualification erronée de certaines données comme « non personnelles »,  

• des insuffisances d’information sur les finalités, les destinataires ou l’existence de traitements de profilage,  

• ou encore des limitations injustifiées à l’exercice de certains droits des utilisateurs.  

Elle relève également un défaut de transparence concernant l’usage des cookies et les modalités de consentement. 

Une intégration des documents de confidentialité dans le champ contractuel 

La Cour confirme que les documents relatifs à la protection des données — tels que les politiques de confidentialité — font partie intégrante du socle contractuel liant le professionnel au consommateur. 

À ce titre, ils peuvent être soumis : 

• au contrôle des clauses abusives,  

• et à la sanction du réputé non écrit.  

L’arrêt reconnaît par ailleurs la recevabilité de l’action de l’UFC-Que Choisir sur le fondement du RGPD, conformément à l’article 80 §2 du règlement et à sa transposition en droit français. 

Portée de la décision 

Cette décision illustre trois évolutions structurantes du contentieux numérique : 

1. Le renforcement du contrôle des clauses contractuelles dans les services numériques, y compris lorsqu’elles concernent les données personnelles.  

2. L’intégration des politiques de confidentialité dans le périmètre contractuel et leur soumission au droit de la consommation.  

3. La complémentarité des régimes juridiques, le RGPD venant éclairer, sans s’y substituer, l’analyse du déséquilibre contractuel.  

Par cet arrêt, la Cour d’appel de Paris confirme que le respect des règles relatives aux données personnelles s’inscrit désormais dans une approche globale de l’équilibre contractuel. 

Pour les acteurs du numérique, le risque juridique ne se limite plus aux sanctions administratives des autorités de contrôle : il s’étend pleinement au contentieux civil et consumériste, sous l’impulsion notamment des actions portées par les associations de consommateurs. 

LOCK-T  

Avec la participation de Célia HAPPI, stagiaire.