E-commerçant : la RC pro à l'heure de la vente en ligne

Ouvrir une boutique en ligne, c'est trois clics sur une plateforme et un catalogue mis en vente le soir même. C'est aussi endosser un cumul d'obligations légales qui, en cas de litige, se paient en indemnisations et parfois en sanctions administratives. Le e-commerçant n'a pas seulement les risques d'un commerçant traditionnel. Il en a d'autres, propres à la vente à distance, à la circulation des données personnelles et à la logistique fractionnée. Sa couverture assurantielle doit refléter cet empilement.

Ce guide décrit les quatre zones d'exposition les plus fréquentes chez un e-commerçant, avec pour chacune le fondement juridique, ce qui relève de la RC pro classique, et les extensions à négocier pour éviter les zones d'ombre.

L'information précontractuelle, source silencieuse de contentieux

Vendre à un consommateur en ligne oblige à respecter un socle d'information précontractuelle particulièrement dense, codifié aux articles L221-5 et suivants du Code de la consommation. Caractéristiques essentielles du bien, prix TTC et modalités de calcul, date ou délai de livraison, existence du droit de rétractation et son formulaire type, garanties légales de conformité et des vices cachés, coordonnées du vendeur et modalités de recours : la liste est longue et sa violation expose à des sanctions.

Le premier niveau de risque est civil. Un consommateur mal informé sur les frais de port, sur la date de livraison ou sur les conditions de rétractation peut demander l'annulation de la vente, la restitution des sommes et, en cas de préjudice avéré, des dommages et intérêts. Le second niveau est administratif : la DGCCRF peut prononcer une amende pouvant atteindre 15 000 € pour une personne physique et 75 000 € pour une personne morale, article L242-10 du Code de la consommation.

La garantie responsabilité civile professionnelle couvre les conséquences pécuniaires des manquements involontaires à l'obligation d'information et de conseil. Elle ne couvre pas les amendes administratives, qui restent à la charge de l'exploitant, mais elle finance la défense et l'indemnisation des clients en cas d'action civile. C'est aussi le socle qui répond aux réclamations liées à des descriptifs erronés, à des photos non conformes ou à des délais de livraison mal annoncés.

La responsabilité produits, aggravée par l'importation

L'e-commerçant vend rarement uniquement des produits fabriqués en France. Le sourcing passe par des marketplaces asiatiques, des grossistes européens, du dropshipping. Cette diversité change la donne juridique.

En droit interne, la responsabilité du fait des produits défectueux est régie par les articles 1245 à 1245-17 du Code civil, transposition de la directive européenne du 25 juillet 1985. Le régime pèse sur le producteur, mais l'article 1245-5 assimile à un producteur celui qui importe un produit dans l'Union européenne depuis un État tiers en vue de la vente. Un e-commerçant qui fait venir directement ses produits d'un pays hors UE endosse donc juridiquement la responsabilité du producteur.

Concrètement, un jouet dont une pièce se détache et blesse un enfant, une batterie externe qui prend feu, un cosmétique qui provoque une allergie sévère : ces dossiers peuvent conduire à des indemnités élevées, en particulier lorsqu'un dommage corporel est en cause. La garantie RC produits livrés ou responsabilité après livraison est ici centrale, et son plafond doit être vérifié avec attention. Beaucoup de contrats d'entrée de gamme la limitent à quelques centaines de milliers d'euros, ce qui est insuffisant pour un catalogue à volume.

Pour les produits achetés à un fournisseur intra-UE, la responsabilité pèse d'abord sur ce fournisseur, mais l'article 1245-6 du Code civil permet au consommateur d'agir contre le vendeur lorsque le producteur ne peut être identifié dans un délai raisonnable. Le commerçant reste donc exposé en cascade.

Le risque cyber et le RGPD, désormais incontournables

Une boutique en ligne stocke des données personnelles : noms, adresses postales, courriels, historiques d'achat, souvent des données de paiement chez un prestataire. C'est un terrain de jeu pour les rançongiciels, le vol d'identifiants et les intrusions à des fins d'exfiltration.

Le règlement européen 2016/679, dit RGPD, encadre le traitement de ces données. La loi Informatique et Libertés modifiée reprend et complète ce cadre en droit interne. En cas de violation, l'article 33 du RGPD impose de notifier la CNIL dans les 72 heures lorsque la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées. Selon la gravité, l'article 34 impose également d'informer les personnes elles-mêmes. Les sanctions prévues à l'article 83 du RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

À côté de ce risque réglementaire, il existe un risque civil : les clients peuvent demander réparation d'un préjudice moral ou d'un préjudice lié à l'usurpation d'identité, et une action de groupe reste possible depuis la loi du 20 juin 2018.

La RC pro classique ne couvre qu'imparfaitement ces risques. Elle intervient sur la responsabilité civile envers les tiers, mais laisse à découvert la gestion technique de la crise, la notification à la CNIL, la restauration des systèmes et la communication de crise. Une garantie cyber dédiée devient nécessaire dès que la boutique dépasse un volume significatif : elle couvre les coûts d'expertise informatique, la restauration des données, la notification, la gestion de la relation avec les autorités et, selon les contrats, la rançon versée à l'attaquant.

La livraison, la rétractation et la logistique

Dernier bloc de risques, la logistique de la vente à distance. Le colis n'arrive pas, arrive endommagé, arrive en retard, ou le client exerce son droit de rétractation dans les quatorze jours prévus par l'article L221-18 du Code de la consommation. Chaque cas obéit à une règle précise.

Sur le transport, l'article L216-4 du Code de la consommation pose une règle claire : le transfert du risque au consommateur s'opère à la remise physique du bien, et non lors de la remise au transporteur. Autrement dit, un colis perdu ou détérioré pendant le transport reste à la charge du vendeur, à charge pour lui de se retourner ensuite contre le transporteur. Cette règle vaut même lorsque le client a choisi le transporteur, sauf s'il s'agissait d'un transporteur non proposé par le vendeur.

Sur la rétractation, le remboursement doit intervenir dans les quatorze jours suivant la réception de la demande, article L221-24 du Code de la consommation, sous peine d'une majoration légale de la somme due.

Une RC pro adaptée couvre les conséquences des retards, erreurs de préparation et manquements aux obligations de rétractation dès lors qu'ils procèdent d'une faute non intentionnelle. Les pertes du fait des transporteurs relèvent d'une assurance transport, souvent souscrite auprès du logisticien lui-même, à vérifier au moment du contrat de prestation.

La protection juridique professionnelle complète utilement l'ensemble, en finançant la défense face aux réclamations groupées et les recours contre les prestataires défaillants.

L'essentiel à retenir

• La violation des obligations d'information précontractuelle, articles L221-5 et suivants du Code de la consommation, expose à des dommages et intérêts civils et à des amendes administratives pouvant atteindre 75 000 € pour une personne morale.
• Pour un produit importé depuis un pays hors UE, l'e-commerçant est juridiquement assimilé au producteur, article 1245-5 du Code civil. La garantie RC produits livrés doit être calibrée à ce risque.
• La violation de données déclenche une notification à la CNIL sous 72 heures, article 33 du RGPD. Une garantie cyber dédiée complète la RC pro pour la gestion de crise.
• Le risque du transport reste au vendeur jusqu'à la remise au consommateur, article L216-4 du Code de la consommation. La logistique doit être doublement assurée, chez le vendeur et chez le transporteur.

Questions fréquentes

Je vends uniquement via une marketplace, la responsabilité est-elle transférée à la plateforme ? Non, pas par principe. Le règlement européen 2022/2065 dit DSA a renforcé les obligations des marketplaces, mais le vendeur professionnel reste juridiquement responsable des produits qu'il met en vente. La plateforme peut, en pratique, gérer une partie du service après-vente et engager sa propre responsabilité en cas de manquement à ses obligations de contrôle, sans exonérer le vendeur de la sienne. La souscription d'une RC pro adaptée reste indispensable.

Je vends en dropshipping des articles fabriqués à l'étranger, sans jamais toucher le produit. Suis-je responsable des défauts ? Oui. La règle du Code civil ne s'attache pas à la manipulation physique du bien, mais au rôle commercial du vendeur. En dropshipping, vous êtes le vendeur au sens du Code de la consommation, et si vous importez depuis un pays hors UE, vous êtes assimilé au producteur au sens de l'article 1245-5 du Code civil. La vérification qualité, la fiche produit et le choix du fournisseur ne sont pas des options.

Mon site subit une intrusion et des données clients sont exposées. Ma RC pro joue-t-elle ? Partiellement. La RC pro classique répond aux réclamations civiles des tiers victimes et à la défense qui en découle, mais elle ne couvre pas les coûts d'expertise technique, de restauration, de notification et de gestion de crise. Ces postes relèvent d'une garantie cyber dédiée. Les amendes de la CNIL restent, elles, à la charge de l'entreprise et ne sont pas assurables en droit français.