Lancer une boutique en ligne ne s'improvise pas. Au-delà du catalogue produits et des campagnes marketing, chaque e-commerçant doit respecter un ensemble de règles précises qui encadrent son activité. Le cadre juridique du commerce électronique repose sur plusieurs textes fondateurs : la loi pour la confiance dans l'économie numérique (LCEN) de 2004, le Code de la consommation, et plus récemment le Règlement Général sur la Protection des Données (RGPD) entré en application en 2018. Ces textes définissent des obligations concrètes, dont le non-respect expose le commerçant à des sanctions financières et pénales. Mieux vaut les connaître avant d'ouvrir son site plutôt qu'après une mise en demeure de la DGCCRF.
Ce que la loi impose en matière d'information des consommateurs
Avant même qu'un client clique sur « Valider ma commande », le site doit lui avoir communiqué un certain nombre d'informations obligatoires. Cette exigence de transparence précontractuelle est posée par le Code de la consommation et constitue l'une des premières vérifications effectuées lors d'un contrôle de la DGCCRF. L'amende maximale en cas de manquement atteint 1 500 euros par infraction constatée.
Ces informations doivent figurer de manière lisible, accessible et permanente sur le site. Voici les mentions que tout e-commerce doit afficher :
- L'identité complète du vendeur : raison sociale, adresse du siège, numéro SIRET
- Les coordonnées de contact : adresse e-mail et numéro de téléphone
- Le prix total des produits, taxes et frais de livraison inclus
- Les modalités de paiement et de livraison acceptées
- L'existence et les conditions d'exercice du droit de rétractation
- La durée minimale du contrat pour les services d'abonnement
- Les garanties légales applicables (garantie de conformité, garantie des vices cachés)
L'affichage du prix mérite une attention particulière. Le taux de TVA standard en France est de 20 % sur la majorité des biens et services. Le prix affiché au consommateur doit systématiquement inclure la TVA. Afficher un prix hors taxes sans mention explicite constitue une pratique commerciale trompeuse, sanctionnée pénalement. Les frais de port doivent quant à eux être indiqués avant la finalisation de la commande, pas après.
Un point souvent négligé : les mentions légales du site. Elles doivent indiquer le nom de l'hébergeur, le directeur de publication et l'identité de l'entreprise exploitant le site. Ces informations ne sont pas optionnelles. Leur absence expose le responsable du site à une peine pouvant aller jusqu'à un an d'emprisonnement et 75 000 euros d'amende selon la LCEN.
RGPD et protection des données : les obligations concrètes pour un site marchand
Dès qu'un site collecte une adresse e-mail, un numéro de téléphone ou une adresse postale, il traite des données personnelles au sens du RGPD. Par définition, il s'agit de toute information se rapportant à une personne physique identifiée ou identifiable. Un e-commerce en collecte massivement : lors de la création de compte, du passage de commande, de l'inscription à la newsletter ou du suivi de livraison.
La CNIL (Commission Nationale de l'Informatique et des Libertés) est l'autorité de contrôle française compétente. Elle peut mener des audits et infliger des amendes pouvant atteindre 4 % du chiffre d'affaires mondial ou 20 millions d'euros pour les manquements les plus graves. Ces chiffres ne sont pas théoriques : plusieurs entreprises françaises ont été sanctionnées depuis 2018.
Les obligations pratiques se déclinent en plusieurs niveaux. D'abord, le site doit afficher une politique de confidentialité claire, rédigée en langage compréhensible, précisant quelles données sont collectées, pourquoi, combien de temps elles sont conservées et avec qui elles sont partagées. Ensuite, le recueil du consentement doit être explicite pour toute utilisation à des fins marketing. Une case pré-cochée ne suffit pas.
Les cookies méritent un traitement spécifique. Depuis les recommandations de la CNIL de 2020, les sites doivent proposer un bandeau permettant à l'utilisateur d'accepter ou refuser les traceurs de manière aussi simple. Refuser doit être aussi facile qu'accepter. Un bouton « Tout accepter » bien visible face à un lien « Paramétrer » discret ne respecte pas cette exigence d'équité.
Enfin, tout sous-traitant qui traite des données pour le compte de l'e-commerçant (prestataire de paiement, logiciel de CRM, transporteur) doit faire l'objet d'un contrat de traitement de données conforme à l'article 28 du RGPD. Ignorer cette obligation expose l'e-commerçant à une responsabilité solidaire en cas de fuite de données.
Les conditions générales de vente : un document qui protège les deux parties
Les conditions générales de vente (CGV) sont le document qui fixe les droits et obligations des parties lors d'une transaction commerciale. Entre un professionnel et un consommateur, leur publication sur le site est obligatoire. Elles doivent être accessibles avant toute commande et le client doit en avoir pris connaissance avant de valider son achat, généralement via une case à cocher.
Des CGV bien rédigées couvrent au minimum : les conditions de commande et de paiement, les délais et modalités de livraison, la politique de retour et de remboursement, les modalités d'exercice du droit de rétractation, et le traitement des réclamations. Le droit de rétractation accordé au consommateur est de 14 jours calendaires à compter de la réception du bien. Ce délai ne peut pas être réduit contractuellement.
En cas de modification des CGV, la loi impose d'informer les consommateurs avec un préavis suffisant. Pour certains contrats à exécution successive (abonnements notamment), ce délai est de 3 mois. Modifier les conditions tarifaires sans respecter ce délai expose l'e-commerçant à une action en justice de la part des clients lésés.
Un piège fréquent : copier-coller les CGV d'un concurrent. Les clauses doivent correspondre à la réalité opérationnelle du site. Des CGV mentionnant un délai de livraison de 48h alors que le site livre en 10 jours constituent une pratique commerciale trompeuse. Un avocat spécialisé en droit du numérique peut sécuriser la rédaction de ce document pour un coût généralement modéré au regard des risques évités.
Les risques juridiques d'un site non conforme
Les sanctions ne sont pas uniquement financières. Un e-commerce non conforme s'expose à plusieurs types de risques simultanés. La DGCCRF peut prononcer des injonctions de mise en conformité, des amendes administratives, voire des fermetures administratives temporaires. La CNIL dispose de son propre pouvoir de sanction sur les questions de données personnelles.
Les associations de consommateurs agréées, comme UFC-Que Choisir, peuvent engager des actions en justice au nom de consommateurs lésés. Ces actions de groupe, introduites en droit français par la loi Hamon de 2014, permettent d'obtenir des réparations collectives. Un site dont les CGV contiennent des clauses abusives peut se retrouver visé par une telle procédure.
Le risque de réputation n'est pas négligeable non plus. Une plainte déposée sur les plateformes d'avis, une mise en cause sur les réseaux sociaux ou un article de presse spécialisée peuvent durablement affecter la confiance des clients. La conformité juridique n'est pas un coût : c'est une protection de l'image de marque.
Les litiges avec les prestataires de paiement constituent un autre risque concret. Stripe, PayPal ou les banques acquéreuses peuvent suspendre un compte marchand si les pratiques commerciales du site leur semblent non conformes. Cette suspension, souvent sans préavis, peut paralyser l'activité du jour au lendemain.
Mettre son e-commerce en conformité : par où commencer
La mise en conformité d'un site e-commerce se structure autour de quelques priorités. Commencer par un audit des mentions légales et des CGV existantes permet d'identifier rapidement les lacunes les plus exposées. La FEVAD (Fédération du e-commerce et de la vente à distance) publie des guides pratiques à destination des marchands, qui constituent un point de départ utile.
Sur la question des données personnelles, le site cnil.fr propose un parcours de conformité RGPD spécifiquement conçu pour les TPE et PME. Ce parcours décompose les étapes en actions concrètes, sans nécessiter de compétences juridiques avancées. Tenir un registre des traitements de données est une obligation légale pour la plupart des structures, quelle que soit leur taille.
Pour les aspects fiscaux, notamment la collecte et la déclaration de la TVA, les règles varient selon que l'e-commerce vend en France, dans l'Union européenne ou hors UE. Le guichet OSS (One Stop Shop) mis en place par l'Union européenne depuis 2021 simplifie la déclaration de TVA pour les ventes intracommunautaires. Un expert-comptable peut sécuriser ce volet.
La conformité n'est pas un état figé. Les textes évoluent, les recommandations de la CNIL se précisent, la jurisprudence se construit. Prévoir une révision annuelle de l'ensemble des documents juridiques du site est une pratique saine, qui évite de se retrouver en décalage avec des règles que l'on croyait avoir respectées une fois pour toutes. Les ressources disponibles sur legifrance.gouv.fr permettent de vérifier à tout moment la version en vigueur des textes applicables.
