Le commerce électronique

Ce chapitre présente les principales conséquences juridiques et fiscales de la création d’un site internet et de l’utilisation de l’informatique dans les transactions de l’entreprise.

01Définitions et cadre juridique

Internet, web et commerce électronique

Le Journal officiel définissait Internet en 1999 comme un réseau mondial reliant des ressources de télécommunication et des ordinateurs serveurs et clients afin d’échanger des messages électroniques, des informations multimédias et des fichiers. Le réseau regroupe des réseaux publics et privés, universitaires, commerciaux ou gouvernementaux. Il permet notamment le courrier électronique, la messagerie instantanée, la téléphonie et le transfert de fichiers.

Le web, ou World Wide Web, est une application d’Internet permettant de publier et de consulter des textes, sons et images grâce à l’hypertexte. Les technologies URL, HTML et HTTP ont été mises au point en 1989-1990. Le commerce électronique, également appelé e-commerce ou cybercommerce, correspond aux transactions commerciales effectuées par l’intermédiaire de réseaux électroniques.

Sources européennes et françaises

Le RGPD constitue le cadre européen de collecte et de traitement des données personnelles. Le règlement (UE) 2016/679 du 27 avril 2016 est directement applicable depuis le 25 mai 2018. Il prolonge la loi française Informatique et Libertés du 6 janvier 1978.

La loi n° 78-17 du 6 janvier 1978 :

affirme que l’informatique doit être au service de chaque citoyen et respecter l’identité humaine, les droits de l’homme, la vie privée et les libertés ;
s’applique aux traitements automatisés et aux traitements non automatisés de données personnelles contenues ou destinées à figurer dans des fichiers, sauf les activités exclusivement personnelles (article 2) ;
impose une collecte loyale et licite, des finalités déterminées, explicites et légitimes, des données adéquates et non excessives, exactes et mises à jour, ainsi qu’une conservation limitée à la durée nécessaire (article 6) ;
exige le consentement ou l’un des fondements légaux prévus à l’article 7 : obligation légale, sauvegarde de la vie, mission de service public, contrat ou mesures précontractuelles, ou intérêt légitime ne portant pas une atteinte excessive aux droits et libertés.

La CNIL, créée par cette loi, veille à la protection de la vie privée et des libertés individuelles et publiques.

La loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) traite notamment de la liberté de communication en ligne, du commerce électronique, de la publicité électronique, des contrats électroniques, de la cryptologie et de la lutte contre la cybercriminalité. Elle définit le courrier électronique comme un message texte, vocal, sonore ou visuel envoyé par un réseau public et conservé jusqu’à sa récupération par le destinataire (article 1).

La loi n° 2018-493 du 20 juin 2018 a mis la loi Informatique et Libertés en conformité avec le RGPD. Le décret n° 2018-687 du 1er août 2018 en a précisé l’application. Le décret n° 2019-536 du 29 mai 2019 a achevé la mise en conformité avec le RGPD et la directive (UE) 2016/680 du 27 avril 2016 ; il est entré en vigueur le 1er juin 2019.

Le décret n° 2023-417 du 31 mai 2023, codifié notamment aux articles D. 215-1 et D. 215-2 du Code de la consommation, impose que la fonctionnalité de résiliation d’un contrat soit facilement accessible depuis l’interface en ligne utilisée pour conclure le contrat. Elle doit présenter de manière compréhensible les conditions de résiliation, le préavis, l’indemnité éventuelle et les conséquences de la rupture.

02Créer une entreprise de commerce électronique

Le créateur doit respecter les règles ordinaires de création : choisir une forme autorisée, comme l’entreprise individuelle, l’EURL, la SASU, la SAS ou la SARL, satisfaire aux conditions de fond et de forme, accomplir la publicité légale et effectuer les démarches fiscales.

Le commerce électronique regroupe les transactions à distance réalisées sur Internet ou d’autres réseaux. La commande est passée en ligne, mais le paiement ou la livraison peuvent rester traditionnels. Les principaux modèles sont le B2B, entre entreprises ou professionnels, et le B2C, entre une entreprise et un particulier.

Le nom de domaine

Le nom de domaine identifie et localise le site internet. Il se distingue de la marque, qui constitue un titre de propriété industrielle, et de la dénomination sociale ou du nom commercial, qui identifie l’entreprise.

Le premier demandeur bénéficie en principe de la réservation, sous réserve de ne pas porter atteinte à des droits antérieurs. Le nom comprend un radical et une extension, par exemple inpi.fr. L’extension peut avoir une portée géographique (.fr, .de, .uk, .eu) ou indiquer une vocation (.com, .net, .org, .biz, .info, .pro).

Avant la réservation, il faut :

vérifier la disponibilité du nom et l’absence de conflit avec une marque ou une dénomination sociale ;
vérifier auprès de l’INPI qu’il n’est pas déjà déposé comme marque ;
l’enregistrer auprès d’un bureau accrédité.

Pour un domaine en .fr, l’enregistrement passe par un bureau accrédité par l’Afnic ; les domaines .eu relèvent d’EURid et les domaines .com, .net et .org de l’ICANN. Une entreprise fournit notamment un extrait K ou Kbis et son numéro Siret ; une association fournit sa déclaration préfectorale ou sa publication au Journal officiel. Le certificat de dépôt ou d’enregistrement de la marque peut également être fourni.

La réservation peut être complétée par un dépôt de marque auprès de l’INPI. En cas d’atteinte, l’entreprise peut exercer une action en concurrence déloyale. Il est recommandé de déclarer le nom de domaine lors de la création de l’entreprise ; il peut apparaître au RCS et sur l’extrait Kbis. Le site est aussi identifié par une adresse IP.

03Règles du commerce électronique

3.1. Définition et loi applicable

La LCEN, modifiée notamment par la loi n° 2018-898 du 23 octobre 2018 et intégrée au Code de la consommation, au Code civil et au Code pénal, définit le commerce électronique comme l’activité par laquelle une personne fournit ou propose à distance et par voie électronique des biens ou services. Sont également concernés les services d’information en ligne, les communications commerciales, les moteurs de recherche, l’accès à des données, à un réseau ou à un hébergement, même sans rémunération directe de l’utilisateur (article 14 de la LCEN).

Les jeux d’argent et de hasard ainsi que les activités de représentation et d’assistance en justice figurent parmi les activités exclues mentionnées par le chapitre.

Dans l’Union européenne, l’activité relève en principe de la loi de l’État membre où le prestataire est établi, sous réserve de la volonté commune des parties. Cette règle ne peut priver un consommateur résidant habituellement en France de la protection des dispositions impératives françaises applicables aux obligations contractuelles (article 18 de la LCEN). Une personne est établie en France lorsqu’elle y exerce effectivement une activité de façon stable et durable, quel que soit le lieu du siège social d’une personne morale.

3.2. Informations à fournir

Le professionnel doit offrir un accès facile, direct, permanent et utilisant un standard ouvert aux informations suivantes (article 19 de la LCEN) :

nom et prénoms de la personne physique ou raison sociale de la personne morale ;
adresse, adresse électronique et coordonnées téléphoniques ;
numéro d’inscription au RCS ou au répertoire des métiers, capital social et siège, lorsque l’inscription est requise ;
numéro individuel de TVA, lorsqu’il existe ;
autorité ayant délivré l’autorisation, si l’activité est soumise à autorisation ;
règles professionnelles, titre professionnel, État ayant délivré ce titre et organisme professionnel, pour une profession réglementée.

Lorsqu’un prix est indiqué, il doit être clair et non ambigu ; le professionnel précise notamment si taxes et frais de livraison sont compris. Ces règles s’ajoutent à celles relatives aux pratiques commerciales trompeuses et à l’information sur les prix.

Toute publicité accessible par un service de communication en ligne doit être identifiable comme publicité et permettre d’identifier la personne pour le compte de laquelle elle est réalisée (article 20 de la LCEN).

3.3. Contrat électronique

Offre et information précontractuelle

Le contrat à distance est conclu entre un professionnel et un consommateur, sans présence physique simultanée, au moyen exclusif d’une ou plusieurs techniques de communication à distance jusqu’à la conclusion du contrat (article L. 221-1 du Code de la consommation).

Le professionnel qui propose en ligne des biens ou services doit rendre les conditions contractuelles conservables et reproductibles et reste engagé par son offre tant qu’elle est accessible par son fait. L’article 1127-1 du Code civil impose notamment de préciser :

les étapes nécessaires à la conclusion ;
les moyens de repérer et corriger les erreurs de saisie avant la conclusion ;
les langues proposées, dont le français ;
les modalités d’archivage et d’accès au contrat, le cas échéant ;
les moyens de consulter les règles professionnelles ou commerciales auxquelles le professionnel entend se soumettre.

Avant la conclusion, le professionnel communique de manière lisible et compréhensible les informations prévues par les articles L. 111-1 et L. 111-2 du Code de la consommation. Elles portent notamment sur les caractéristiques essentielles, le prix, la date ou le délai de livraison ou d’exécution, l’identité et les coordonnées du professionnel, les garanties légales, les fonctionnalités et l’interopérabilité du contenu numérique, les restrictions d’installation, les conditions contractuelles et la possibilité de recourir à un médiateur. En cas de rétractation, le consommateur reçoit aussi les conditions, le délai, les modalités et le formulaire type. La preuve du respect de ces obligations incombe au professionnel (article L. 221-5).

Conclusion et preuve

Le consommateur doit pouvoir vérifier le détail de sa commande, son prix total et corriger les erreurs avant l’acceptation définitive. Le professionnel accuse réception de la commande sans délai injustifié ; commande, acceptation et accusé de réception sont reçus lorsque le destinataire peut y accéder (article 1127-2 du Code civil). La remise d’un écrit électronique est effective lorsque le destinataire, après en avoir pris connaissance, en accuse réception (article 1127-4).

Avant la commande, le professionnel rappelle les caractéristiques essentielles, le prix, la durée du contrat et, le cas échéant, la durée minimale des obligations. Le consommateur doit reconnaître explicitement l’obligation de paiement ; le bouton ou la fonction de validation doit comporter la mention « commande avec obligation de paiement » ou une formule équivalente. Les moyens de paiement acceptés et les restrictions de livraison doivent être visibles au plus tard au début de la commande.

Après la conclusion, le professionnel remet au consommateur la confirmation du contrat sur un support durable dans un délai raisonnable et au plus tard lors de la livraison ou avant le début du service.

Les règles relatives au contenu de l’offre et aux modalités de conclusion ne s’appliquent pas aux contrats conclus exclusivement par échange de courriels entre professionnels.

L’écrit électronique a la même force probante que l’écrit papier si l’auteur est identifiable et si l’écrit est établi et conservé dans des conditions garantissant son intégrité (article 1366 du Code civil).

Lorsque le contrat électronique porte sur au moins 120 € (article D. 213-1 du Code de la consommation), le professionnel conserve l’écrit pendant dix ans. Si la livraison ou la prestation est immédiate, le délai court depuis la conclusion ; sinon, il court jusqu’à la livraison ou l’exécution puis pendant dix ans à compter de celle-ci. Le professionnel doit permettre au cocontractant d’accéder à l’écrit à tout moment sur demande.

Exécution et responsabilité

Les marchandises et prestations non dématérialisables sont exécutées hors réseau. Les biens immatériels, comme les œuvres, logiciels et jeux vidéo, peuvent être délivrés en ligne sous forme de fichiers.

L’exploitant du site est responsable de plein droit envers l’acheteur de la bonne exécution du contrat, y compris lorsque l’exécution est confiée à un autre prestataire. Il peut s’exonérer en prouvant que l’inexécution résulte de l’acheteur, d’un tiers étranger à la prestation dont le fait était imprévisible et insurmontable, ou de la force majeure.

Sa responsabilité extracontractuelle peut être engagée notamment en cas :

d’atteinte à une marque ou à d’autres droits de propriété intellectuelle ;
d’utilisation sans autorisation de bases de données, logiciels, œuvres musicales ou cinématographiques ;
d’entente ou d’abus de position dominante ;
de traitement illicite de données personnelles, sans consentement, sans finalité légitime ou sans possibilité de rectifier ou supprimer les données inexactes.

04Signature, facture électronique et RGPD

4.1. Signature électronique

La signature identifie l’auteur d’un acte et manifeste son consentement. Lorsqu’elle est électronique, elle repose sur un procédé fiable d’identification lié à l’acte. La fiabilité est présumée lorsque l’identité du signataire est assurée et que l’intégrité de l’acte est garantie (article 1367 du Code civil).

Le décret n° 2017-1416 du 28 septembre 2017 distingue :

la signature électronique, constituée de données associées à d’autres données et utilisées pour signer ;
la signature électronique avancée, qui respecte les exigences de l’article 26 ;
la signature électronique qualifiée, créée avec un dispositif qualifié et fondée sur un certificat qualifié.

Une signature avancée doit être liée de manière univoque au signataire, permettre son identification, être créée sous son contrôle exclusif avec un niveau de confiance élevé et rendre détectable toute modification ultérieure des données (article 26 du décret).

Selon l’article 25 du décret, une signature ne peut être écartée comme preuve uniquement parce qu’elle est électronique ou n’est pas qualifiée. La signature qualifiée a un effet juridique équivalent à la signature manuscrite et un certificat qualifié délivré dans un État membre est reconnu dans les autres États membres.

4.2. Facture électronique

La facture électronique est une facture dématérialisée transmise par le fournisseur au client au moyen d’un échange de données informatisées sur une plateforme sécurisée. L’entreprise peut utiliser la signature électronique et l’EDI pour la télétransmission. Les mentions obligatoires sont identiques à celles d’une facture papier.

4.3. RGPD

Le RGPD, créé par le règlement (UE) 2016/679 du 27 avril 2016, s’applique à toute collecte ou tout traitement de données personnelles. Une identification peut être directe, par un nom ou un prénom, ou indirecte, par un identifiant, une adresse, un numéro de téléphone ou une adresse IP.

Toute entreprise est concernée, quelle que soit sa taille ou son secteur, si elle traite, stocke ou analyse ces données comme responsable du traitement, ou si elle les traite pour le compte d’un autre organisme comme sous-traitant. Le règlement s’applique lorsque le responsable ou le sous-traitant est établi dans l’Union européenne, ou lorsque le traitement vise à fournir des biens ou services à des résidents européens ou à les cibler.

Les personnes concernées doivent recevoir une information claire, intelligible et accessible sur l’usage de leurs données. Elles doivent en principe consentir au traitement ou pouvoir s’y opposer ; le responsable doit pouvoir prouver le consentement.

L’article 30 impose au responsable du traitement de tenir un registre des activités. Ce registre mentionne notamment l’identité et les coordonnées du responsable, les finalités, les catégories de personnes et de données, les destinataires, les transferts vers des pays tiers, les durées d’effacement et, le cas échéant, le délégué à la protection des données.

Le délégué à la protection des données veille à la conformité de l’entreprise. La CNIL est l’autorité française de contrôle et peut prendre des mesures contraignantes. L’entreprise doit être en mesure de démontrer sa conformité.

Le Code pénal sanctionne les atteintes aux droits des personnes liées aux fichiers et traitements informatiques. Le traitement réalisé sans les formalités requises est puni de cinq ans d’emprisonnement et de 300 000 € d’amende (article 226-16). Les mêmes peines s’appliquent au traitement réalisé sans mettre en œuvre les mesures prévues par les articles 24, 25, 30 et 32 du RGPD, ou par les dispositions correspondantes de la loi Informatique et Libertés (article 226-17).

À retenir

Un site de commerce électronique suppose une entreprise régulièrement créée, un nom de domaine disponible et une information claire des utilisateurs.
La LCEN encadre l’activité, les mentions obligatoires, la publicité et le contrat en ligne.
Le contrat électronique exige une offre conservable, une information précontractuelle, une correction des erreurs et une validation explicite du paiement.
L’écrit électronique, la signature électronique et la facture électronique peuvent produire les mêmes effets juridiques que leurs équivalents papier sous conditions.
Le RGPD s’applique à toute donnée permettant une identification directe ou indirecte et impose notamment la traçabilité des traitements, l’information des personnes et la preuve de la conformité.