UFC-Que Choisir c/ Apple : le juge entre équilibre contractuel et conformité au RGPD

A – Les clauses limitant la responsabilité de plein droit : la sanction de l’opacité contractuelle

La Cour sanctionne en premier lieu les clauses d’exclusion ou de limitation de responsabilité d’ADI. La formule des CGU selon laquelle Apple « fournira le Service avec diligence et dans le respect des règles de l’art » mais « ne donne aucun autre engagement ni aucune autre garantie concernant le Service » est qualifiée d’opaque19 : en énumérant des exclusions et limitations avant d’indiquer in fine les cas dans lesquels sa responsabilité peut être engagée, ADI donne au consommateur l’impression que son obligation de plein droit est éludée, en violation de l’article L. 221-15 du Code de la consommation. La clause est ainsi déclarée à la fois illicite – pour violation de l’obligation de clarté et d’information – et abusive, en ce qu’elle crée un déséquilibre significatif au sens de l’article L. 212-1.

De même, la clause prévoyant que la responsabilité d’ADI est écartée pour les « faits échappant à son contrôle » ou les « faits indépendants de sa volonté » est jugée illicite : ces formulations, plus larges que les causes d’exonération limitativement prévues à l’article L. 221-15 (fait du consommateur, fait imprévisible et insurmontable d’un tiers, force majeure), permettraient à ADI d’invoquer une faille technique ou l’intervention d’un sous-traitant pour s’exonérer de sa responsabilité contractuelle de plein droit.

Mais la Cour va plus loin encore s’agissant de la clause n° 10 des CGU, qui exclut la responsabilité d’ADI pour la perte ou la corruption des données de l’utilisateur en relation avec l’usage du service. Combinant le droit de la consommation et le RGPD, elle juge que cette clause viole l’article R. 212-1, 6°, du Code de la consommation20 – en supprimant le droit à réparation du consommateur – et l’article 82 du RGPD, qui institue une responsabilité de plein droit du responsable de traitement. La Cour relève expressément que le régime de l’article 82 est d’ordre public et ne peut être contractuellement aménagé par des clauses contractuelles au détriment de la personne concernée21.

B – Les clauses de suspension et de résiliation discrétionnaires : l’asymétrie contractuelle prohibée

L’analyse continue à travers la sanction, par le juge, de l’illicéité et de l’abus des clauses de suspension et de résiliation du service (clauses nos 5 et 6 des CGU). Ces stipulations prévoient en effet une interruption ou une résiliation à l’initiative exclusive d’ADI, sans préavis raisonnable ni possibilité pour l’utilisateur de se justifier ou de contester la décision22. La Cour relève que l’éventualité d’un préavis n’est envisagée que dans la clause n° 5, laissée à la seule discrétion d’ADI – potestative, donc – et totalement absente par ailleurs de la clause n° 6 dans ses différentes versions. En privant l’utilisateur de toute procédure contradictoire préalable, ces clauses créent un déséquilibre significatif au sens de l’article L. 212-1 du Code de la consommation et sont irréfragablement abusives au sens de l’article R. 212-1, 4° et 6° du même code.

C – La clause de licence sur les contenus des utilisateurs : un fondement consumériste plutôt que les droits d’auteur

Un enseignement particulièrement notable de l’arrêt tient au sort de la clause par laquelle l’utilisateur concède à Apple une « licence mondiale, gratuite, perpétuelle et non-exclusive pour utiliser les éléments [qu’il soumet] dans les services et à des fins marketing et à des fins internes »23. Le tribunal avait fondé l’illicéité de cette stipulation sur les articles L. 131-1 et L. 131-3 du Code de la propriété intellectuelle, prohibant la cession globale des œuvres futures et imposant un formalisme pour la transmission des droits d’auteur. La cour d’appel infirme le jugement sur ce point : elle relève que l’utilisateur n’est pas dépossédé de son contenu, qu’il demeure libre d’exploiter ses publications, et que les contenus concernés (photographies de profil, playlists personnelles) sont de nature basique et limitée, de sorte que ni l’article L. 131-1 ni l’article L. 131-3 n’ont vocation à s’appliquer.

La Cour retient en revanche l’illicéité de la clause sur le seul fondement du droit de la consommation. La formulation « licence mondiale » assortie d’une durée « perpétuelle » et d’une utilisation « non-exclusive » n’est pas intelligible pour le consommateur, qui donne ainsi un blanc-seing à ADI pour exploiter ses publications, les expressions employées paraissant renvoyer à une utilisation possible par des tiers. La clause crée également un déséquilibre significatif au sens des articles L. 211-1 et L. 212-1 du Code de la consommation et doit donc être réputée non écrite.

A – La requalification des « données techniques » en données personnelles : le rejet de l’autoqualification

Le premier manquement central identifié par la Cour tient à la qualification erronée opérée par ADI de certaines données à caractère personnel. Les CGU présentaient comme de simples « données techniques » – ne relevant pas du régime de protection du RGPD – des informations telles que l’adresse IP, les identifiants de dispositif, les configurations système et les périphériques (clause n° 8 des CGU), mais également le code postal, l’identifiant publicitaire et les données de géolocalisation (clauses de l’Engagement de Confidentialité).

La Cour écarte fermement cette présentation. S’appuyant sur la définition de l’article 4, § 1, du RGPD28, et sur la jurisprudence de la CJUE – notamment l’arrêt Breyer29 concernant les adresses IP –, elle rappelle que le moyen tiré du caractère non personnel de ces données « repose sur une auto-qualification contraire à l’approche objective définie par l’article 4.1 du RGPD » (arrêt, § 138). Dès lors que ces identifiants permettent une identification indirecte, les obligations d’information des articles 12 à 14 du RGPD deviennent automatiquement applicables. La clause est déclarée illicite pour violation des articles 4, 730 et 1231 du RGPD, et abusive au sens des articles L. 212-1 et R. 212-1, 4°, du Code de la consommation.

B – L’opacité rédactionnelle comme manquement autonome au principe de transparence

La Cour identifie un deuxième manquement systémique dans la rédaction des clauses relatives aux traitements de données : l’usage de formulations imprécises ou conditionnelles qui prive l’utilisateur de toute prévisibilité quant aux traitements opérés32. Plusieurs techniques rédactionnelles sont sanctionnées. La répétition de l’alternative « et/ou » dans la clause relative à la divulgation des données aux tiers (clause n° 9 des CGU) est qualifiée d’ambiguïté préjudiciable : l’objectif de concision ne peut primer l’impératif de transparence de l’article 12.1 du RGPD. Le recours à des termes non définis tels que « partenaires stratégiques » ou « tiers » – sans préciser les catégories de destinataires au sens de l’article 13.1.e du RGPD – confère à ADI un pouvoir discrétionnaire sur le transfert des données incompatible avec l’exigence de transparence.

Plus encore, l’absence d’information sur la durée de conservation des données (RGPD, 13.2.a) et sur les droits des personnes concernées (RGPD, 13.2.b), combinée à l’emploi de la formule impérative « Vous acceptez que » dans une clause confuse, est regardée comme une violation directe de l’article 7 du RGPD : une telle rédaction ne peut constituer un consentement « libre, spécifique, éclairé et univoque », conformément à la jurisprudence Orange România de la CJUE33.

C – La sanction du profilage dissimulé et de la présentation trompeuse des traitements

La Cour sanctionne encore les clauses qui dissimulent l’existence ou l’étendue de traitements particulièrement intrusifs. S’agissant du document « Apple Music et Confidentialité », la clause décrivant le calcul d’un « indice de confiance de l’appareil » à partir des données d’utilisation est qualifiée de profilage au sens de l’article 4, § 434, du RGPD, les informations sur la logique sous-jacente, les conséquences pour l’utilisateur et ses droits d’opposition n’étant pas fournies, en violation des articles 13, § 2, f) et 14, § 2, g), du RGPD. La Cour relève en outre une contradiction majeure : l’Engagement de Confidentialité d’Apple affirme que la société ne recourt pas au profilage, tandis que le document spécifique Apple Music et Confidentialité décrit un mécanisme de profilage – incohérence violant par elle-même le principe de loyauté.

De même, la clause relative aux données hachées des contacts de l’utilisateur (fonctionnalité « Apple Music Friends ») est sanctionnée pour défaut de transparence. La Cour précise que le hachage constitue une pseudonymisation et non une anonymisation : ces données restent des données à caractère personnel au sens de l’article 4 du RGPD, la réidentification demeurant possible (arrêt, § 187). La formulation négative (« Apple ne collecte pas ») minimise la réalité du traitement – l’envoi de données hachées aux serveurs d’Apple – et crée une ambiguïté contraire à l’article 12 du RGPD.

Enfin, la Cour procède à une lecture combinée des clauses relatives aux données, conformément à la méthodologie qu’elle valide expressément en citant la délibération de la CNIL du 8 juin 202335 et la jurisprudence Planet49 de la cour de justice36 : l’appréciation de la loyauté et de la transparence impose une lecture globale et contextuelle des documents contractuels, et non une analyse cloisonnée clause par clause. Cette approche permet à la Cour de déceler les effets cumulatifs d’une stratégie rédactionnelle d’ensemble dont l’objet, si ce n’est l’effet, est de neutraliser le consentement éclairé de l’utilisateur.

Conclusion. L’arrêt rendu par la cour d’appel de Paris, le 27 février 2026, dépasse la simple confirmation d’une condamnation de première instance. Il constitue une décision de principe sur la manière dont le juge judiciaire articule les instruments du droit de la consommation et du RGPD pour contrôler les conditions générales des services numériques. La Cour ne se contente pas de sanctionner des clauses isolément déséquilibrées : elle identifie dans le dispositif contractuel d’ADI une logique d’ensemble – empilement de clauses génériques et ambiguës, qualification trompeuse des données, information pléthorique mais vide de substance – dont l’effet est de neutraliser les droits de l’utilisateur.

Sur le plan substantiel, plusieurs enseignements méritent d’être retenus. Le principe de responsabilité de plein droit du prestataire de services numériques, fondé sur l’article L. 221-15 du Code de la consommation, est érigé en exigence contractuelle autonome à laquelle aucun artifice rédactionnel ne peut déroger. La qualification des données personnelles est une question de droit objective, dont le responsable de traitement ne peut se décharger par une autoqualification contractuelle. La transparence exigée par le RGPD n’est pas une formalité – elle conditionne la validité du consentement et l’exercice effectif des droits des personnes concernées.

Cette rigueur dans l’analyse adresse un signal sans ambiguïté à l’ensemble des opérateurs de services numériques : la rédaction des conditions générales est un exercice de conformité juridique, pas un instrument de captation unilatérale des droits des utilisateurs.

Ce signal revêt d’ailleurs une résonance particulière au regard du contexte réglementaire dans lequel il s’inscrit. Alors que la proposition de règlement omnibus numérique, adoptée par la Commission européenne le 19 novembre 202537, envisage notamment de modifier la définition même des données à caractère personnel après pseudonymisation – ouvrant la voie à une réduction significative du champ d’application du RGPD –, le Comité européen de la protection des données et le Contrôleur européen ont conjointement alerté les colégislateurs sur le risque d’un affaiblissement substantiel des droits fondamentaux des personnes, rappelant que les modifications proposées « vont clairement au-delà de la jurisprudence de la CJUE »38. Le paradoxe est saisissant : au moment où la puissance publique européenne s’apprête peut-être à assouplir le cadre réglementaire au bénéfice des géants numériques extra-européens, le juge judiciaire français réaffirme avec force que la transparence et la licéité des traitements de données ne sont pas des variables d’ajustement39.