Quels documents juridiques obligatoires prévoir pour une boutique en ligne ?

Créer une boutique en ligne ne consiste pas seulement à mettre des produits en vente et à installer une solution de paiement. Le site doit aussi respecter plusieurs obligations juridiques, aussi bien pour informer les clients que pour encadrer les ventes et protéger les données personnelles collectées. Quels sont alors les éléments à prévoir avant d’ouvrir un site e-commerce ? Voici les principaux points à vérifier.

Quels éléments juridiques prévoir sur une boutique en ligne ?

Les obligations applicables dépendent notamment de votre activité, des produits ou services vendus et du type de clientèle auquel vous vous adressez.
Pour une boutique destinée aux consommateurs, plusieurs éléments doivent généralement être prévus :

Élément	À quoi sert-il ?
Conditions générales de vente (CGV)	Encadrer les ventes et informer le client sur les conditions contractuelles
Mentions légales	Identifier l’entreprise qui exploite le site et son hébergeur
Informations liées à la commande	Informer le consommateur avant son engagement et sécuriser la conclusion du contrat en ligne
Informations sur le droit de rétractation	Expliquer les conditions et modalités permettant au consommateur de revenir sur son engagement lorsqu’il bénéficie de ce droit
Politique de confidentialité et mentions RGPD	Expliquer comment les données personnelles sont collectées et utilisées
Gestion des cookies et traceurs	Informer l’internaute et recueillir son consentement lorsqu’il est nécessaire

À cela peuvent s’ajouter des règles propres à votre activité ou aux produits commercialisés. C’est notamment le cas pour la vente de médicaments, de certains dispositifs médicaux, d’alcool, de produits de vapotage ou encore de certaines denrées alimentaires, qui peuvent être soumis à des conditions particulières de vente, d’information, d’étiquetage ou de publicité.

Les conditions générales de vente ou CGV

Les conditions générales de vente, ou CGV, organisent les règles applicables aux ventes réalisées sur le site.

Pour une activité B2C, c’est-à-dire lorsque les clients sont des consommateurs : 

le professionnel doit leur communiquer, avant la conclusion du contrat, un ensemble d’informations prévues par le Code de la consommation (article L.111-1 du Code de la consommation et article L.221-5 du Code de la consommation).

Les CGV permettent généralement de regrouper une grande partie de ces informations. Elles portent notamment, selon l’activité concernée, sur :

• les caractéristiques essentielles des biens ou services ;
• le prix et les éventuels frais supplémentaires ;
• les modalités de paiement ;
• les conditions et délais de livraison ou d’exécution ;
• les garanties légales ;
• le droit de rétractation lorsqu’il s’applique ;
• les modalités de règlement des litiges ;
• la possibilité de recourir à un médiateur de la consommation.

Les coordonnées du médiateur dont relève le professionnel doivent également être indiquées de manière visible et lisible, notamment sur le site et dans les CGV (article R.616-1 du Code de la consommation).

Le contenu des CGV doit être adapté à la nature des biens ou services vendus et aux conditions dans lesquelles le contrat est exécuté. Les règles relatives au droit de rétractation, aux garanties, à la livraison ou encore à l’exécution d’un service peuvent en effet varier selon l’activité exercée.

Et si vous vendez uniquement en B2B à des professionnels ?

Les règles ne sont pas identiques. Dans les relations entre professionnels, les CGV ne répondent pas au même régime que dans les relations avec des consommateurs. Lorsqu’elles sont établies, elles doivent notamment préciser les conditions de règlement, ainsi que les éléments permettant de déterminer le prix, comme le barème des prix unitaires et les éventuelles réductions de prix.

Elles doivent être communiquées à tout acheteur qui en fait la demande pour une activité professionnelle, sur un support durable (article L.441-1 du Code de commerce). Elles constituent alors le socle de la négociation commerciale.

👉 Il est donc important de déterminer dès leur rédaction si vos CGV s’adressent à des consommateurs, à des professionnels ou aux deux.

Les mentions légales

Tout site internet professionnel doit permettre aux internautes d’identifier la personne ou l’entreprise qui l’exploite.

C’est le rôle des mentions légales, dont le contenu est notamment encadré par l’article 1-1 de la loi pour la confiance dans l’économie numérique (LCEN). 

Leur contenu dépend notamment de la forme juridique de l’entreprise. Pour une société, elles comportent par exemple sa dénomination sociale, son siège social, son numéro de téléphone, son numéro d’immatriculation ainsi que son capital social.

Les informations concernant l’hébergeur du site, par exemple OVHcloud ou o2switch, doivent également être indiquées : nom ou dénomination sociale, adresse et numéro de téléphone.

Les mentions légales doivent être facilement accessibles. En pratique, une page dédiée est généralement créée et reliée depuis le pied de page du site.

Elles ne sont donc pas propres au e-commerce. Sur une boutique en ligne, elles s’ajoutent aux obligations d’information spécifiques au commerce électronique, prévues notamment par l’article 19 de la LCEN.

Les obligations juridiques concernent aussi le parcours de commande

Disposer de CGV conformes ne suffit pas. Le fonctionnement même de la boutique doit respecter plusieurs règles destinées à protéger le consommateur lorsqu’il conclut un contrat à distance.

Avant la validation de sa commande, celui-ci doit notamment recevoir les informations essentielles concernant le bien ou le service, son prix et les principales conditions du contrat (article L.221-5 du Code de la consommation).

Le parcours doit également lui permettre de vérifier le détail de sa commande et son prix total et, si nécessaire, de corriger d’éventuelles erreurs avant de confirmer définitivement son achat (article 1127-2 du Code civil).

Lorsque la commande entraîne une obligation de paiement, le consommateur doit en être informé de manière explicite. Le Code de la consommation prévoit que la fonction utilisée pour valider la commande comporte la mention « commande avec obligation de paiement » ou une formule analogue dépourvue d’ambiguïté (article L.221-14 du Code de la consommation).

La conformité juridique d’un site e-commerce ne se limite donc pas aux pages placées dans son footer : elle concerne également la manière dont le contrat est effectivement conclu.

Quelles informations transmettre après une commande en ligne ?

Une fois la commande passée, le professionnel doit en accuser réception par voie électronique sans délai injustifié (article 1127-2 du Code civil).

Dans le cadre d’une vente à distance à un consommateur, il doit également lui transmettre la confirmation du contrat sur un support durable, sauf lorsque les informations requises lui ont déjà été fournies sur un tel support avant la conclusion du contrat (article L.221-13 du Code de la consommation).

Cette confirmation doit intervenir dans un délai raisonnable et au plus tard au moment de la livraison du bien ou avant le début de l’exécution du service. Elle doit reprendre les informations prévues à l’article L.221-5 du Code de la consommation et être accompagnée, lorsqu’il est applicable, du formulaire type de rétractation.

L’e-mail envoyé après la commande joue donc généralement un rôle important : il permet au client de conserver les informations relatives au contrat sur un support durable.

Une facture doit-elle également être remise au client ?

Oui, dans le cadre d’une vente à distance à un particulier, l’émission d’une facture est obligatoire. Elle l’est également pour les transactions entre professionnels.

Depuis le 1er septembre 2026, il faut aussi tenir compte de la réforme de la facturation électronique. Toutes les entreprises qui entrent dans son champ d’application doivent désormais être en mesure de recevoir des factures électroniques. Les grandes entreprises et les entreprises de taille intermédiaire sont également soumises, depuis cette date, à l’obligation d’émettre leurs factures sous forme électronique et de transmettre les données concernées à l’administration (article 289 bis du Code général des impôts et article 91 de la loi de finances pour 2024).

Pour les PME et les micro-entreprises, l’obligation d’émission des factures électroniques et de transmission des données de e-reporting s’appliquera à compter du 1er septembre 2027.

Une entreprise de e-commerce réalisant des ventes à des particuliers peut notamment être concernée par l’e-reporting de ces opérations, prévu par l’article 290 du Code général des impôts, même lorsqu’elles ne relèvent pas de la facturation électronique entre entreprises.

Le droit de rétractation 

En matière de vente à distance, le consommateur dispose en principe d’un délai de quatorze jours pour exercer son droit de rétractation, sans avoir à justifier sa décision (article L.221-18 du Code de la consommation).

Ce principe connaît toutefois plusieurs exceptions. Le droit de rétractation est notamment exclu pour certains biens personnalisés, les produits susceptibles de se détériorer rapidement ou encore, sous certaines conditions, les contenus numériques dont l’exécution a commencé (article L.221-28 du Code de la consommation).

Lorsque le droit de rétractation existe, le consommateur doit être informé, avant la conclusion du contrat, de ses conditions, de son délai et de ses modalités d’exercice. Un formulaire type de rétractation doit également lui être fourni (article L.221-5 du Code de la consommation).

Une évolution importante s’applique depuis le 19 juin 2026. Pour les contrats conclus à distance au moyen d’une interface en ligne, le professionnel doit désormais mettre gratuitement à la disposition du consommateur une fonctionnalité lui permettant d’exercer son droit de rétractation directement en ligne (article L.221-21 du Code de la consommation).

Cette fonctionnalité doit rester visible, directement et facilement accessible pendant toute la durée du délai de rétractation. Elle doit porter la mention « renoncer au contrat ici » ou une formule analogue dépourvue d’ambiguïté (article D.221-5 du Code de la consommation).

Une fois sa demande confirmée, le consommateur doit recevoir sans délai un accusé de réception sur un support durable.

👉 Si votre boutique était déjà en ligne avant juin 2026, ce point mérite donc d’être vérifié : des CGV à jour ne suffisent pas si la fonctionnalité de rétractation n’a pas également été intégrée au site.

La politique de confidentialité

Une boutique en ligne collecte généralement de nombreuses données personnelles : identité du client, adresse de livraison, adresse électronique, numéro de téléphone, informations relatives aux commandes, etc.

Le RGPD impose au responsable du traitement d’informer les personnes concernées sur la manière dont leurs données sont utilisées. Cette information doit être concise, transparente, compréhensible et facilement accessible (articles 12 et 13 du RGPD).

Elle doit notamment préciser :

• l’identité et les coordonnées du responsable du traitement ;
• les finalités poursuivies et la base juridique de chaque traitement ;
• les destinataires ou catégories de destinataires des données ;
• leur durée de conservation ou les critères permettant de la déterminer ;
• les droits dont dispose la personne et les modalités permettant de les exercer ;
• le droit de retirer son consentement lorsqu’un traitement repose sur celui-ci ;
• le droit d’introduire une réclamation auprès de la CNIL.

D’autres informations peuvent être nécessaires selon la situation, notamment en cas de transfert de données hors de l’Union européenne, de prise de décision automatisée ou lorsque les données n’ont pas été recueillies directement auprès de la personne concernée (article 14 du RGPD).

En pratique, ces renseignements sont souvent regroupés dans une politique de confidentialité accessible depuis le site.

👉 Attention toutefois à une confusion fréquente : le RGPD n’impose pas de créer un document portant précisément ce nom. Ce qui est obligatoire, c’est de fournir aux personnes une information conforme aux exigences du règlement.

Les formulaires doivent eux aussi respecter le RGPD

Créer une politique de confidentialité ne dispense pas d’informer l’internaute au moment où ses données sont effectivement collectées.

Un formulaire de contact, une création de compte ou une inscription à une newsletter doivent donc être examinés séparément.
Les mentions placées à proximité du formulaire peuvent notamment préciser l’objectif de la collecte, la base juridique du traitement, le caractère obligatoire ou facultatif des données demandées et les modalités permettant d’obtenir davantage d’informations.

Toutes les utilisations de données personnelles ne reposent pas nécessairement sur le consentement. En revanche, lorsqu’un consentement est juridiquement nécessaire, celui-ci doit être libre, spécifique, éclairé et univoque. Une case pré-cochée ne permet donc pas de recueillir un consentement valable.

C’est notamment un point à surveiller en matière de prospection commerciale. 

Pour l’envoi de messages publicitaires électroniques à des particuliers, le consentement préalable constitue le principe. Il existe néanmoins certaines exceptions, notamment lorsque la personne est déjà cliente et que la prospection concerne des produits ou services similaires fournis par la même entreprise, sous réserve notamment de lui permettre de s’opposer facilement à ces communications.

Faut-il prévoir une politique de cookies ?

Les cookies et autres traceurs doivent également être pris en compte lors de la mise en conformité d’un site e-commerce.

Le principe est posé par l’article 82 de la loi Informatique et Libertés : le dépôt ou la lecture de traceurs sur le terminal de l’utilisateur nécessite en principe son consentement préalable, sauf lorsqu’ils sont strictement nécessaires au fonctionnement du service demandé ou qu’ils permettent ou facilitent la communication électronique.

Sur une boutique en ligne, certains traceurs peuvent ainsi être utilisés sans consentement, par exemple ceux qui permettent de conserver le contenu du panier d’achat ou d’assurer l’authentification de l’utilisateur. Certains outils de mesure d’audience peuvent également bénéficier d’une exemption, mais uniquement s’ils respectent les conditions fixées par la CNIL. 

Les autres traceurs, notamment ceux utilisés pour la publicité ou certaines fonctionnalités de réseaux sociaux, nécessitent en principe le consentement préalable de l’internaute. Celui-ci doit être libre, spécifique, éclairé et univoque, et pouvoir être retiré aussi facilement qu’il a été donné.

Le simple fait d’installer un bandeau de gestion des cookies ne suffit donc pas. Il faut également vérifier quels traceurs sont réellement déposés, à quel moment et avec quelle finalité.

Les documents juridiques d’une boutique doivent rester à jour

Une mise en conformité réalisée lors de la création du site n’est pas acquise une fois pour toutes.

Votre activité peut évoluer : changement de prestataire de paiement ou de transporteur, ajout d’un abonnement ou d’un programme de fidélité, nouvel outil d’analyse d’audience, lancement d’une newsletter… Ces changements peuvent nécessiter de modifier vos CGV, votre politique de confidentialité ou certaines informations communiquées aux clients. 

La réglementation évolue elle aussi : les changements intervenus en 2026, notamment en matière de rétractation en ligne et de facturation électronique, montrent qu’un document conforme lors de sa rédaction peut rapidement nécessiter une mise à jour.

Autre exemple : de nombreux anciens modèles de CGV renvoient encore vers la plateforme européenne de règlement en ligne des litiges (RLL), alors que celle-ci a été supprimée le 20 juillet 2025 (règlement (UE) 2024/3228).

👉 Avant de remettre en ligne des CGV, des mentions légales ou une politique de confidentialité rédigées il y a quelques années, une relecture s’impose donc : un document peut rester parfaitement bien rédigé tout en étant devenu juridiquement obsolète.

Quelles sanctions pour une boutique qui ne respecte pas ces obligations ?

Ces obligations ne sont pas purement formelles. Leur non-respect peut entraîner des sanctions, dont le montant dépend de la règle enfreinte et de la gravité du manquement.

• L’absence des mentions légales exigées par la LCEN peut ainsi être sanctionnée d’un an d’emprisonnement et de 75 000 € d’amende pour une personne physique. Pour une personne morale, l’amende peut atteindre 375 000 € (article 1-2 de la LCEN).
• En matière de données personnelles, les sanctions peuvent être beaucoup plus élevées. Pour les manquements les plus graves au RGPD, l’amende administrative peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’entreprise, le montant le plus élevé étant retenu (article 83 du RGPD).

Il s’agit toutefois de plafonds : une entreprise ne se voit évidemment pas infliger automatiquement une amende de plusieurs millions d’euros pour la moindre erreur. La nature du manquement, sa gravité, sa durée et les mesures prises pour y remédier sont notamment prises en compte.

Peut-on reprendre les documents juridiques d’un autre site ?

Copier les CGV ou la politique de confidentialité d’un concurrent est particulièrement risqué.

Même lorsqu’un document semble complet, rien ne garantit qu’il corresponde :

• à votre activité ;
• aux produits ou services que vous commercialisez ;
• à votre organisation ;
• aux outils utilisés sur votre site ;
• aux traitements de données que vous réalisez ;
• ni même à la réglementation actuellement applicable.

Le problème ne se limite donc pas au risque de reproduire un contenu appartenant à une autre entreprise.

Vous pourriez surtout publier un document juridiquement inadapté à votre propre activité. Les documents juridiques de votre boutique doivent refléter vos pratiques réelles et être adaptés à votre situation.

FAQ : les obligations juridiques d’une boutique en ligne

Faut-il faire accepter les CGV avec une case à cocher ?

Aucun texte n’impose spécifiquement une case à cocher intitulée « J’accepte les CGV ». En revanche, le client doit pouvoir prendre connaissance des conditions contractuelles et exprimer valablement son acceptation avant la conclusion du contrat. La case à cocher non pré-cochée reste donc une solution couramment utilisée pour matérialiser cette acceptation et en conserver la preuve.

Combien de temps faut-il conserver les contrats conclus en ligne ?

Lorsqu’un contrat conclu par voie électronique avec un consommateur porte sur une somme d’au moins 120 €, le professionnel doit en assurer la conservation pendant 10 ans et permettre au client d’y accéder (articles L.213-1, D.213-1 et D.213-2 du Code de la consommation). Le point de départ du délai varie selon que la livraison ou l’exécution est immédiate ou différée.

Faut-il choisir un médiateur de la consommation avant d’avoir un litige ?

Oui, si votre activité entre dans le champ de la médiation de la consommation. Le professionnel doit avoir désigné un médiateur compétent et communiquer ses coordonnées aux consommateurs, notamment sur son site et dans ses CGV. Il ne faut donc pas attendre qu’un litige survienne pour s’en préoccuper.

Une boutique créée avec Shopify, WooCommerce ou une autre plateforme est-elle automatiquement conforme ?

Non, une solution e-commerce peut fournir des fonctionnalités utiles, mais elle ne remplace pas la mise en conformité juridique de votre activité. Les CGV, les informations précontractuelles, le parcours de commande, le droit de rétractation, les traitements de données ou encore les cookies doivent toujours correspondre à votre propre fonctionnement.

Peut-on conserver toutes les données clients aussi longtemps que l’on veut ?

Non, les données personnelles ne doivent pas être conservées indéfiniment « au cas où ». Leur durée de conservation doit être déterminée en fonction de la finalité du traitement et, lorsqu’une durée légale de conservation existe, de cette obligation. Certaines données d’une même commande peuvent donc être soumises à des durées différentes.

Sources officielles

• Code de la consommation – article L.221-5 : informations précontractuelles
• Médiation de la consommation : obligations des professionnels
• CNIL – Informer les personnes sur l’utilisation de leurs données
• DGFiP – Facturation électronique : obligations et calendrier
• Règlement (UE) 2024/3228 relatif à la suppression de la plateforme européenne de règlement en ligne des litiges