Lancer une boutique en ligne, créer un site de services, vendre des formations numériques : toutes ces activités exposent leurs créateurs à un cadre juridique précis et contraignant. Le terme legal recouvre ici un ensemble d'obligations qui s'imposent à toute entreprise opérant sur internet, qu'elle soit une startup de trois personnes ou un groupe de plusieurs centaines de salariés. Beaucoup d'entrepreneurs sous-estiment l'étendue de ces exigences. Or, les autorités de contrôle comme la CNIL ou la DGCCRF intensifient leurs vérifications depuis plusieurs années. Ignorer ces règles, c'est s'exposer à des sanctions financières lourdes, voire à des poursuites pénales. Cet aperçu dresse un panorama des principales obligations à respecter, des données personnelles aux mentions légales, en passant par les règles propres au commerce électronique.
Les obligations fondamentales des entreprises en ligne
Toute entreprise qui opère sur internet doit respecter un socle minimal d'obligations légales, indépendamment de son secteur d'activité. La première d'entre elles concerne les mentions légales : chaque site web accessible au public doit afficher l'identité de l'éditeur, ses coordonnées complètes, le nom de l'hébergeur et, le cas échéant, son numéro d'immatriculation au registre du commerce. Cette obligation découle de la loi pour la confiance dans l'économie numérique (LCEN) de 2004, toujours en vigueur.
Au-delà des mentions légales, plusieurs exigences s'appliquent dès lors qu'un site collecte des données, propose des services ou vend des produits. Voici les principales catégories d'obligations à connaître :
- Afficher des mentions légales complètes et à jour sur le site
- Mettre en place une politique de confidentialité conforme au RGPD
- Obtenir le consentement explicite des utilisateurs pour le dépôt de cookies
- Respecter les règles relatives à la prospection commerciale par email (opt-in obligatoire)
- Sécuriser les données personnelles collectées contre les accès non autorisés
- Désigner un délégué à la protection des données (DPO) dans certains cas spécifiques
La gestion des cookies mérite une attention particulière. Ces fichiers de données stockés sur l'appareil d'un utilisateur permettent de suivre ses activités en ligne, mais leur dépôt sans consentement préalable est interdit depuis les recommandations de la CNIL de 2020. Un bandeau d'information ne suffit plus : l'utilisateur doit pouvoir accepter ou refuser chaque catégorie de traceurs avant tout dépôt. La CNIL a sanctionné plusieurs entreprises de renom sur ce seul fondement.
La sécurité informatique constitue une autre obligation souvent négligée par les petites structures. Mettre en place des protocoles HTTPS, chiffrer les bases de données sensibles et limiter les accès aux informations personnelles ne sont pas des options : ce sont des exigences découlant directement du RGPD et du droit commun de la responsabilité civile. Une faille de sécurité non corrigée après signalement engage directement la responsabilité de l'entreprise.
Conformité au RGPD : ce que la loi exige concrètement
Le RGPD, Règlement Général sur la Protection des Données, est entré en vigueur le 25 mai 2018. Il s'applique à toute organisation qui traite des données personnelles de résidents de l'Union européenne, quel que soit le pays où l'entreprise est établie. Un site américain qui cible des clients français est donc concerné au même titre qu'une PME parisienne.
Les obligations du RGPD se structurent autour de plusieurs principes. Les données collectées doivent répondre à une finalité précise et légitime, être conservées uniquement le temps nécessaire, et ne pas dépasser ce qui est strictement utile à l'objectif poursuivi. Ce principe de minimisation des données oblige les entreprises à revoir leurs formulaires, leurs bases de données et leurs pratiques de profilage.
Les droits des personnes concernées constituent un autre pilier du règlement. Chaque utilisateur dispose d'un droit d'accès, de rectification, d'effacement et de portabilité de ses données. L'entreprise doit être en mesure de répondre à ces demandes dans un délai d'un mois. Ne pas traiter ces requêtes expose à des plaintes auprès de la CNIL, qui peut déclencher un contrôle formel.
En cas de violation de données personnelles — une fuite, un piratage, une perte accidentelle — l'entreprise dispose de 72 heures pour notifier l'incident à l'autorité de contrôle compétente. Ce délai court à compter du moment où l'entreprise a connaissance de la violation. Si les personnes concernées risquent un préjudice grave (usurpation d'identité, discrimination), elles doivent aussi être informées directement. Beaucoup d'entreprises découvrent cette obligation au pire moment, faute d'avoir préparé une procédure interne.
La désignation d'un Délégué à la Protection des Données (DPO) est obligatoire pour les organismes publics, les entreprises dont l'activité principale implique un suivi régulier et à grande échelle de personnes, ou celles traitant des données sensibles. Pour les autres, nommer un DPO reste fortement conseillé : c'est l'interlocuteur privilégié de la CNIL en cas de contrôle.
Vendre en ligne : les règles propres au commerce électronique
L'e-commerce, c'est-à-dire toute activité commerciale se déroulant en ligne incluant la vente de biens et services, obéit à des règles spécifiques qui s'ajoutent aux obligations générales. La directive européenne sur les droits des consommateurs, transposée en droit français, impose un niveau d'information élevé avant la conclusion de tout contrat à distance.
Le vendeur doit communiquer, avant tout achat, le prix total incluant taxes et frais de livraison, les modalités de paiement, les délais de livraison estimés, et les conditions d'exercice du droit de rétractation. Ce droit de rétractation s'étend à 14 jours à compter de la réception du bien, sans que le consommateur ait à justifier sa décision. Toute clause contractuelle visant à le supprimer est réputée non écrite.
Les conditions générales de vente (CGV) doivent être accessibles avant la commande et acceptées explicitement par l'acheteur, généralement via une case à cocher. Des CGV copiées-collées depuis un modèle générique sans adaptation au modèle commercial de l'entreprise constituent une faute fréquente, sanctionnée par la DGCCRF lors de ses contrôles en ligne.
La facturation électronique est une autre obligation : chaque transaction doit donner lieu à une facture conforme aux exigences du Code général des impôts, mentionnant notamment le numéro de TVA intracommunautaire pour les transactions entre professionnels. Les marketplaces ont par ailleurs des obligations renforcées depuis le règlement européen Platform-to-Business (P2B), qui impose une transparence sur les critères de classement des offres.
Que risque réellement une entreprise non conforme ?
Les sanctions en cas de non-respect des obligations légales varient selon la nature de l'infraction et l'autorité compétente. Sur le terrain du RGPD, la CNIL peut prononcer des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Ce plafond concerne les manquements les plus graves, comme le traitement illicite de données ou le non-respect des droits des personnes.
Pour les infractions moins graves — absence de registre de traitement, information insuffisante des utilisateurs — les sanctions restent significatives. La CNIL peut aussi prononcer des mises en demeure publiques, ce qui génère un impact réputationnel parfois plus dévastateur que l'amende elle-même. Google, Amazon et Facebook ont tous reçu des sanctions de la CNIL ces dernières années, prouvant qu'aucune taille d'entreprise n'est à l'abri.
Du côté de la DGCCRF, les manquements aux droits des consommateurs peuvent entraîner des amendes administratives, des injonctions de mise en conformité ou des poursuites pénales pour pratiques commerciales trompeuses. Une entreprise qui affiche des prix sans mention des frais de livraison, ou qui refuse d'appliquer le droit de rétractation, s'expose à ces procédures.
La responsabilité civile s'ajoute aux sanctions administratives. Un client dont les données ont été compromises à cause d'une négligence de l'entreprise peut réclamer des dommages et intérêts devant le tribunal judiciaire. Les recours collectifs, encore rares en France, se développent progressivement sous l'influence du droit européen.
Les évolutions législatives récentes qui changent la donne
Le cadre juridique applicable aux entreprises en ligne n'est pas figé. Deux textes européens majeurs ont profondément modifié les obligations depuis 2022 : le Digital Services Act (DSA) et le Digital Markets Act (DMA). Le DSA impose aux plateformes en ligne des obligations de modération des contenus illicites, de transparence sur les algorithmes de recommandation et de protection des mineurs. Les très grandes plateformes, définies par un seuil de 45 millions d'utilisateurs actifs mensuels dans l'UE, font face aux exigences les plus strictes.
Le DMA cible spécifiquement les "contrôleurs d'accès" — les grandes plateformes qui structurent l'accès au marché numérique. Il impose des obligations d'interopérabilité, interdit certaines pratiques anticoncurrentielles et ouvre de nouveaux droits aux entreprises qui dépendent de ces plateformes pour distribuer leurs produits ou services.
Pour les entreprises plus modestes, la loi visant à sécuriser et réguler l'espace numérique (SREN), adoptée en France en 2024, transpose plusieurs dispositions européennes et renforce les obligations en matière de modération et de protection des utilisateurs. Elle prévoit aussi des mesures spécifiques contre le cyberharcèlement et les arnaques en ligne.
La facturation électronique obligatoire entre entreprises (B2B) représente une autre évolution concrète : le calendrier de déploiement progressif, fixé par la loi de finances, concerne toutes les entreprises françaises assujetties à la TVA. Les grandes entreprises sont concernées en premier, mais les TPE devront aussi s'y conformer à terme. Seul un professionnel du droit ou un expert-comptable peut accompagner valablement une entreprise dans la mise en conformité avec l'ensemble de ces textes, dont les interactions sont parfois complexes à appréhender sans formation juridique.
