De longue date, l’Union européenne et l’Etat français ont souhaité sécuriser les échanges électroniques, marchands ou non. Si l’objectif poursuivi est de protéger les utilisateurs, parties « faibles » dans les éventuelles transactions, les textes se sont accumulés, avec une approche et une logique parfois bien différentes.

Cette situation rend actuellement particulièrement complexe la mise en place des sites de commerce en ligne. Plus encore, pour les sites Internet existants, les nouvelles règles imposent une refonte ou, à tout le moins, une réorganisation de la présentation des informations. Petit rappel de quelques règles en vigueur…

1- Les mentions légales du site Internet

Depuis la loi du 21 juin 2004 sur la confiance dans l’économie numérique (LCEN), tout éditeur de site Internet, marchand ou non, doit pouvoir être clairement identifié en ligne, par le biais de mentions légales impératives. Cette première série d’obligations vise à connaître précisément le gestionnaire du « contenant« , et s’applique indépendamment de toute autre règle régissant le contenu du site.

Parmi les informations à faire figurer, signalons entre autres les éléments permettant l’identification de l’éditeur, du directeur de la publication et de l’hébergeur. Ces mentions doivent figurer dans un « standard ouvert », c’est-à-dire accessibles sans restriction à l’ensemble des utilisateurs du site.

De nombreux sites, aujourd’hui, ne sont pas conformes aux prescriptions de la LCEN.

Si ces obligations ne sont pas nouvelles, elles doivent toutefois être examinées sous un nouveau jour, après la première condamnation d’un éditeur de site Internet pour insuffisance de mentions légales (TGI Paris, 17e chambre correctionnelle, 11 juillet 2014, voir notre focus dans la lettre des propriétés intellectuelles de janvier 2015). Celui-ci s’est vu condamner à payer une amende pénale de 6000 euros, plus un euro symbolique à la partie civile, en application de l’article 6 de la LCEN. Cette condamnation reste à ce jour isolée, et modeste même. Mais elle pourrait être suivie d’autres décisions allant dans le même sens, et peut-être de condamnations plus importantes, proportionnées aux moyens financiers et techniques des contrevenants. Pour mémoire, les personnes morales sont passibles d’une amende pouvant atteindre 375 000 euros en cas d’insuffisance des mentions légales requises.

2 – Les mentions visant à protéger les consommateurs

La loi Hamon du 17 mars 2014 a, en la matière, beaucoup changé la donne. Concernant la vente en ligne, cette loi avait pour premier objectif de transposer la directive 2011/83/CE du 25 octobre 2011. L’ étude d’impact du projet de loi indique qu’en la matière, les obligations des professionnels seront alourdies, mais que le régime juridique de la vente à distance s’en trouvera simplifié (v. page 22). Force est pourtant de constater, en pratique, qu’il n’est pas aisé, aujourd’hui, d’avoir la certitude de disposer d’un site Internet conforme aux nouvelles exigences posées.

La loi Hamon a introduit dans le Code de la consommation plusieurs listes d’informations qui doivent être fournies ou mises à la disposition du consommateur :

• tout d’abord, les articles L. 111-1 et suivants et leurs pendants réglementaires listent les informations à fournir dans le cadre de toute vente de produit ou prestation de services, conclue à distance ou non;
• ensuite, les articles L. 121-16 et suivants imposent la transmission de mentions spécifiques au consommateur dans le cadre de la vente à distance.

Ces mentions concernent à la fois l’identification du vendeur, les produits proposés à la vente, le prix, les garanties légales et commerciales accordées, le droit de rétractation, les délais de livraison, les moyens de paiement acceptés… L’énumération est longue, et difficile à appréhender dans son intégralité.

Les informations à communiquer peuvent ou doivent l’être, selon les cas, « avant la conclusion du contrat« , « avant la commande » ou « après la conclusion du contrat« . Elles doivent parfois être communiquées avant la commande directement sur le site Internet, parfois être réitérées ensuite par une transmission sur support durable.

Elles doivent être fournies « de manière lisible et compréhensible« , ou « mises à disposition« . Mais le Code de la consommation ne précise guère les modalités d’accès à ces informations. Seul l’arrêté du 18 décembre 2014 relatif aux informations contenues dans les conditions générales de vente en matière de garantie légale, entré en vigueur le 1er mars 2015, apporte quelques précisions formelles (voir notre présentation dans le focus de la lettre des réseaux de distribution de mars 2015).

Pour les autres mentions, l’analyse de la jurisprudence de l’Union européenne semble impliquer que les informations « fournies » doivent être reproduites dans les pages du site Internet, et non dans une page ou un document qui ne serait accessible que via un lien hypertexte, par exemple (v. notamment CJUE, 5 juillet 2012, C-49/11). Par opposition, les informations « mises à disposition » pourraient l’être en téléchargement. Mais il n’est pas certain que cette interprétation soit celle qui serait retenue par les juridictions nationales compétentes en matière de droit de la consommation.

S’agissant des sites mobiles, dont l’ergonomie est pensée spécifiquement pour la consultation depuis un téléphone portable et des applications pour smartphone, les mentions qui doivent être fournies obligatoirement dans tous les cas sont listées. Les autres mentions doivent quant à elles être mises à disposition (article L. 121-19-1 du Code de la consommation). L’énumération suscite ici toutefois des difficultés d’interprétation.

Concernant les autres sites de vente en ligne, le Code de la consommation dispose que les informations sont fournies au consommateur, de manière lisible et compréhensible, ou « [mises] à sa disposition par tout moyen adapté à la technique de communication à distance utilisée » (article L. 121-19). La rédaction de cet article semble laisser le choix du mode de communication à l’appréciation du vendeur. Il n’est toutefois pas certain, loin de là, que telle ait été la volonté du législateur. En effet, un site de vente en ligne « non mobile« , devrait fournir a minima les informations que le Code impose de fournir sur les sites mobiles de vente en ligne, et sans doute quelques autres, pour autant que les informations ainsi communiquées restent lisibles et compréhensibles.

Par ailleurs, la pratique de la « case pré-cochée » semble être en ligne de mire du législateur. Or il s’agit d’une méthode, encore aujourd’hui très répandue, qu’il conviendra de faire évoluer.

Enfin, la loi du 17 mars 2014 prévoit des sanctions en cas d’incomplétude des mentions rendues obligatoires au titre de la protection des consommateurs. Tout manquement est désormais passible d’une amende administrative de 15 000 euros pour les personnes morales. L’amende encourue s’élève à 75 000 euros en cas d’insuffisance des mentions relatives au droit de rétractation (articles L. 121-22 et L. 121-22-1 du Code de la consommation).

Il devient donc urgent de vérifier la conformité des sites Internet commerciaux avec ces nouvelles règles, d’autant que la jurisprudence semble interpréter largement la notion de consommateur (pour un exemple, voir Cass Com, 1er octobre 2014, n° 13-20.024).

3 – La protection des données personnelles en ligne

Au-delà des mentions que chaque professionnel doit faire figurer sur son site de vente en ligne, se pose la question de la conservation et du traitement des données personnelles qui peuvent être collectées lorsqu’une personne passe une commande en ligne, ou d’une manière plus générale, lorsqu’elle navigue sur un site Internet. Voici quelques-uns des éléments auxquels tout éditeur de site doit prêter attention.

S’agissant tout d’abord de la conservation des données de connexion des utilisateurs de site Internet, le Conseil d’Etat a jugé le décret n° 2011-219 du 25 février 2011 conforme au droit de l’Union européenne (CE, 20 novembre 2013, n°347349). Mais les modalités de cette conservation ont par la suite été remises en cause par la Cour de justice de l’Union européenne (CJUE, 8 avril 2014, affaires jointes C-594/12 et C-293/12). Le droit français n’a pas encore été adapté à cette nouvelle donne. Toutefois, quelques pistes peuvent d’ores et déjà être signalées : les durées de conservation possible seront modulées selon le type et l’utilité des données collectées ; des garanties techniques et organisationnelles de protection des données seront exigées des opérateurs de communications électroniques ; la conservation des données sur le territoire de l’Union européenne pourrait à l’avenir être imposée. Ces nouvelles contraintes peuvent dès à présent être intégrées, au moins dans leur esprit, en attendant la publication du nouveau règlement sur les données personnelles annoncé pour 2015, et les modifications induites du droit français.

Par ailleurs, si des cookies sont implantés dans un but autre que de permettre ou de faciliter la communication par voie électronique, ou de fournir un service de communication en ligne :

• l’utilisateur doit recevoir, par le biais d’un bandeau, une information claire et complète de la finalité de ces derniers et des « moyens dont il dispose pour s’y opposer » ;
• il doit exprimer son consentement à une telle action, lequel peut résulter de la poursuite de la navigation après fourniture des informations évoquées ci-dessus.

La CNIL a récemment précisé les cookies qui étaient soumis à ces obligations et ceux qui en étaient exemptés. Elle a également détaillé les conditions du recueil du consentement des internautes en la matière (délibération CNIL n°2013-378 du 5 décembre 2013).

Outre ces règles générales, des règles particulières s’appliquent à certains types de données, par exemple les données d’identification bancaire (CNIL, délibération n°2013-358 du 14 novembre 2013 – v. notre commentaire dans la lettre des propriétés intellectuelles d’avril 2014).

Enfin, la question de la transmission des données collectées à des sous-traitants ou à des partenaires commerciaux du vendeur se pose. Lorsque cette transmission est effectuée en vue d’une prospection par SMS ou courrier électronique, là encore, le consentement exprès du client est requis.

Si, pour l’essentiel, ces règles ne sont pas nouvelles, les conditions de leur mise en œuvre doivent en revanche être vérifiées à l’aune du nouveau pouvoir de contrôle en ligne conféré à la CNIL (article 44-III de la loi Informatique et libertés du 6 janvier 1978, modifié par la loi Hamon du 17 mars 2014), qui peut s’exercer à distance et de manière non contradictoire. Ces contrôles en ligne ayant l’avantage d’être rapides, efficaces et peu onéreux, leur nombre et par voie de conséquence le nombre de sanctions susceptibles d’être prises par la CNIL devraient augmenter à l’avenir.

Plus que jamais, donc, il convient de s’assurer de la régularité des mentions, indications et modalités de fonctionnement des sites Internet de vente en ligne. Et ce, plus encore s’agissant des têtes de réseau, mettant à disposition des membres du réseau des outils Internet pour développer leur activité. Leur responsabilité serait en effet susceptible d’être engagée à chaque contentieux qui verrait le jour du fait de la non-conformité du site utilisé.

Anne-Laure Villedieu, avocat associée en droit de la propriété industrielle, droit de l’informatique, des communications électroniques et protection des données personnelles.

Amaury Le Bourdon, avocat en droit de la concurrence et droit de la distribution