Créer une application web ou mobile : quelles obligations juridiques, avec ou sans boutique en ligne ?

Une application gratuite, sans panier d’achat et accessible directement sur Internet peut déjà engager la responsabilité de son créateur. La présence d’une boutique ajoute des obligations commerciales ; elle ne constitue pas le point de départ de toute réglementation. Le traitement de données personnelles, l’utilisation de photographies, la publication de commentaires ou la mise à disposition d’un logiciel peuvent suffire à faire intervenir plusieurs régimes juridiques.

Il faut également distinguer la boutique intégrée à l’application du magasin qui la distribue, comme l’App Store ou Google Play. L’autorisation de publier sur un store ne vaut pas validation juridique du service. Inversement, distribuer son application depuis son propre site, ou proposer une application web accessible dans un navigateur, ne permet pas d’échapper au droit applicable.

La bonne méthode consiste à partir de ce que l’application fait réellement : qui l’exploite, à qui elle s’adresse, quelles données elle utilise, ce qu’elle promet, comment elle se finance et quelle place elle laisse aux activités de tiers. Un outil de prise de notes, un logiciel professionnel par abonnement, une boutique de vêtements et une plateforme de mise en relation ne présentent pas les mêmes obligations, même si leurs interfaces se ressemblent.

Cet article examine le cas d’un créateur ou d’un éditeur établi en France, avec les principaux prolongements européens et internationaux. Il distingue les obligations communes de celles que déclenchent certaines fonctionnalités. Les exemples sont fictifs. Les régimes propres à la santé, aux services financiers ou à d’autres activités réglementées appellent une qualification supplémentaire.

Sommaire

1. I.A — L’exploitant, les droits et les contrats de développement

2. I.B — Les données personnelles et la sécurité

3. II.A — La vente, les abonnements et les consommateurs

4. II.B — Les plateformes, les activités réglementées et la vie du service

Consulter les 72 références

I. La mise en ligne suppose d’identifier l’exploitant, de sécuriser les droits et de maîtriser les données

A. Le créateur doit savoir ce qu’il exploite et disposer des droits nécessaires pour le faire

1. Le mot « application » ne désigne pas un statut juridique unique

Une application est d’abord un outil technique. Elle peut être un logiciel installé sur un téléphone, une application web, une application progressive, un service en ligne ou l’interface d’un objet connecté. Ces différences comptent pour la sécurité, la distribution et certains textes particuliers. Elles ne remplacent pas l’analyse de l’activité.

Une application de réservation peut ainsi fournir elle-même une prestation, vendre celle d’un partenaire ou mettre simplement en relation un professionnel et un client. Une application de conseils peut diffuser des informations générales ou délivrer une prestation individualisée relevant d’une profession réglementée. Une application dite « communautaire » peut être un espace de discussion, une place de marché, ou les deux.

Le nom choisi dans les conditions générales ne suffit pas à imposer la qualification souhaitée. Écrire que l’on est un « simple intermédiaire » n’efface pas le rôle effectivement joué dans la fixation du prix, la présentation de l’offre, l’encaissement ou l’exécution de la prestation. De même, appeler « contribution » une somme nécessaire à l’accès au service ne suffit pas à exclure l’existence d’un prix.

Avant de rédiger les documents, il est donc utile de dessiner les relations entre l’éditeur, le développeur, l’hébergeur, les utilisateurs, les vendeurs éventuels et le prestataire de paiement. Cette cartographie doit montrer les contrats, les flux d’argent et les flux de données. Les trois ne suivent pas nécessairement le même trajet.

2. Faut-il créer une société et obtenir une autorisation avant de lancer une application ?

Il n’existe pas d’autorisation administrative générale exigée pour toute application web ou mobile. Il n’existe pas davantage d’obligation générale de constituer une société : selon les circonstances, une activité peut être exercée par un entrepreneur individuel, une société ou une association. Le choix dépend notamment de la nature de l’activité, de son financement, du nombre de fondateurs et des risques supportés.

En revanche, une activité professionnelle doit être déclarée et organisée dans le cadre qui lui correspond. Une absence de recettes au lancement ne suffit pas à rendre l’activité privée. Une application financée par la publicité, exploitée pour vendre ultérieurement des abonnements ou intégrée à l’activité d’une entreprise conserve une dimension économique, même si son téléchargement est gratuit.

Le projet doit aussi être examiné au regard des réglementations sectorielles. Une application qui exécute des paiements, fournit certains services sur crypto-actifs ou poursuit une finalité médicale peut nécessiter un statut, une autorisation, une certification ou une procédure de conformité. L’absence d’agrément général pour les applications ne dispense donc pas de rechercher un agrément propre à l’activité.

Entre plusieurs fondateurs, il faut également décider qui détient le nom, le code, les comptes de publication et les contrats. Un projet développé avant l’immatriculation ne devient pas automatiquement la propriété de la société ensuite constituée. La reprise des engagements et la transmission des droits doivent être organisées. Cette question devient souvent décisive au départ d’un associé ou à l’entrée d’un investisseur.

3. Le développeur et l’éditeur n’assument pas nécessairement les mêmes responsabilités

Le développeur réalise tout ou partie du logiciel. L’éditeur décide de sa mise à disposition et de son exploitation. Le vendeur conclut la vente ou fournit le service. L’hébergeur assure certaines opérations de stockage. Une même personne peut cumuler ces fonctions, mais leur répartition mérite d’être explicite.

Le recours à une agence ne transfère pas globalement à celle-ci les obligations de l’exploitant envers ses utilisateurs. Il peut créer des obligations contractuelles de conseil, de développement, de sécurité ou de maintenance à la charge de l’agence. Il ne transforme pas pour autant l’agence en vendeur du service proposé au public.

La qualification doit être reprise séparément pour les données personnelles. Un prestataire qui traite des données pour le compte de l’éditeur peut être son sous-traitant. Celui qui détermine ses propres finalités peut être responsable de traitement pour ces opérations. À l’inverse, un développeur qui livre seulement du code, sans accès aux données ni intervention ultérieure dans leur traitement, n’est pas nécessairement sous-traitant au sens du RGPD. ^[1] [2]

Cette distinction doit conduire à des engagements concrets. Qui vérifie les bibliothèques intégrées ? Qui corrige une faille ? Qui répond à une demande d’effacement ? Qui peut retirer une version compromise ? Un contrat qui attribue abstraitement « toute la conformité » à un partenaire, sans décrire ces tâches ni lui donner les moyens de les accomplir, laisse subsister un risque opérationnel.

4. Les mentions légales concernent aussi les services sans boutique

Lorsqu’une application constitue un service de communication au public en ligne, les obligations d’identification de l’éditeur doivent être examinées au regard de la loi pour la confiance dans l’économie numérique. Depuis la réorganisation opérée en 2024, le texte de référence est notamment l’article 1-1 de la LCEN : recopier sans vérification un modèle fondé sur l’ancienne numérotation est une mauvaise méthode. ^[3]

Pour un éditeur professionnel, les informations comprennent, selon sa forme juridique et sa situation, son identité ou sa dénomination, ses coordonnées, les données d’immatriculation pertinentes, le capital lorsqu’il y a lieu, le directeur de la publication et les informations relatives au fournisseur d’hébergement. L’activité de commerce électronique entraîne des informations complémentaires, notamment celles prévues par l’article 19 de la même loi. ^[3]

Les mentions doivent être facilement accessibles depuis l’application. Les dissimuler dans un fichier introuvable ou les réserver aux utilisateurs qui ont déjà créé un compte compromet leur fonction. En pratique, une rubrique juridique consultable depuis l’écran d’accueil ou les paramètres, ainsi que depuis le site de présentation, facilite l’accès.

La loi prévoit une faculté d’identification aménagée pour certains éditeurs non professionnels, sous réserve notamment d’avoir communiqué leur identité à l’hébergeur. Une application gratuite n’est pas automatiquement une édition non professionnelle. Cette exception doit être appréciée au regard de l’activité réelle. ^[3]

Il faut également veiller à la cohérence des identités affichées. Une société désignée dans les CGV, une autre sur la facture et le nom personnel du développeur dans le store créent une incertitude évitable. L’utilisateur doit pouvoir comprendre qui lui fournit le service et à qui adresser sa réclamation.

5. L’idée de l’application, son code, son nom et ses contenus ne se protègent pas de la même manière

Le droit d’auteur peut protéger les éléments originaux d’un logiciel et d’autres créations incorporées à l’application. Il ne confère pas, à lui seul, un monopole sur une idée commerciale ou sur le principe d’une fonctionnalité. Dans l’arrêt SAS Institute du 2 mai 2012, C-406/10, la Cour de justice a notamment distingué l’expression d’un programme de ses fonctionnalités, du langage de programmation et du format de fichiers, qui ne constituent pas en tant que tels une forme d’expression protégée par le droit d’auteur sur les programmes. ^[4]

Cela ne signifie pas qu’un concurrent peut tout reprendre. Le code, certains éléments graphiques, les textes, les photographies ou une base de données peuvent relever de protections distinctes. Des comportements peuvent également être appréciés au regard du contrat, du secret des affaires, de la concurrence déloyale ou du parasitisme, selon leurs conditions propres.

Le nom de l’application appelle une recherche d’antériorités. La disponibilité d’un nom de domaine ou d’un identifiant dans un store ne prouve pas que le signe peut être exploité sans porter atteinte à une marque ou à un autre droit antérieur. La protection d’un nom comme marque dépend notamment des produits et services visés, de son caractère distinctif et des droits existants.

La preuve de la création mérite une organisation parallèle : versions du code, historique de développement, dépôts probatoires, contrats et éléments permettant d’identifier les contributions. Un dépôt probatoire, notamment une e-Soleau auprès de l’INPI, permet de documenter une date et un contenu ; il ne remplace ni l’originalité exigée pour le droit d’auteur ni l’acquisition des droits d’un tiers. ^[5] Cette distinction est développée dans notre article sur l’enveloppe Soleau et la preuve de la création.

Enfin, les contenus utilisés dans une application doivent être vérifiés individuellement. Une photographie accessible sur Internet n’est pas, pour cette seule raison, réutilisable. Une bibliothèque d’icônes peut autoriser certains usages et en exclure d’autres. La musique, les cartes, les typographies ou les bases documentaires peuvent nécessiter des licences adaptées à une diffusion dans une application.

6. Payer le développement ne suffit pas à obtenir tous les droits d’exploitation

Le financement d’un logiciel et la titularité des droits sont deux questions différentes. Lorsqu’un prestataire indépendant réalise une application, le contrat doit déterminer précisément les droits transmis ou concédés. La seule mention « création d’une application » sur un devis ne permet pas de présumer que toutes les exploitations futures sont couvertes.

L’article L. 131-3 du Code de la propriété intellectuelle encadre la transmission des droits d’auteur : les droits cédés doivent être distingués et leur domaine d’exploitation délimité. Il faut donc traiter la reproduction, l’adaptation, la distribution et les autres usages nécessaires, avec leurs paramètres de durée, de territoire et de destination. L’analyse doit tenir compte des éléments réellement créés, des composants antérieurs et de la qualité des parties. ^[6]

Le régime des salariés est différent. L’article L. 113-9 prévoit, sauf dispositions ou stipulations contraires, une dévolution à l’employeur des droits patrimoniaux sur les logiciels et leur documentation créés dans l’exercice des fonctions ou d’après ses instructions. Il ne faut pas étendre automatiquement cette règle à un prestataire indépendant, à un associé non salarié ou à tous les éléments graphiques et éditoriaux du projet. ^[7]

Le contrat doit aussi permettre de vérifier la chaîne des droits lorsqu’une agence emploie elle-même des indépendants. Une garantie de titularité est utile ; elle ne vaut pas contrôle de l’existence des cessions nécessaires. Pour un projet destiné à être vendu, cette chaîne sera examinée au même titre que la qualité du code ou les revenus.

7. Le contrat de développement doit prévoir la livraison, la maintenance et la possibilité de changer de prestataire

Un cahier des charges utile décrit des fonctions vérifiables. « Application conforme au RGPD » ne suffit pas à expliquer comment le consentement doit être enregistré, comment un compte doit être supprimé ou comment les données doivent être exportées. Ces exigences doivent être traduites en comportements attendus et en critères de recette.

La recette est l’étape au cours de laquelle les livrables sont examinés et les anomalies relevées. Le contrat gagne à distinguer les défauts bloquants, les corrections attendues et les demandes nouvelles qui modifient le périmètre. Cette distinction limite les désaccords sur le fait de savoir si une fonction était comprise dans le prix initial.

La remise du code source doit être expressément traitée. Elle ne se confond ni avec la cession des droits ni avec la remise d’un fichier installable. Il faut encore pouvoir reconstruire et déployer l’application : documentation, dépendances, paramètres, accès aux comptes techniques, procédures de sauvegarde et conditions de transfert doivent être identifiés.

Un exemple montre l’enjeu. Une entreprise possède contractuellement le logiciel, mais le compte du store, le nom de domaine et l’hébergement sont ouverts au seul nom du prestataire. Celui-ci cesse son activité. Le problème n’est plus seulement de démontrer la propriété du code : il faut récupérer la capacité de publier, d’administrer le service et de corriger les incidents.

La maintenance doit, elle aussi, être décrite. Il faut distinguer correction des anomalies, adaptation aux nouvelles versions des systèmes, mises à jour de sécurité et développement de nouvelles fonctions. Les délais d’intervention, les périodes de support et les modalités de fin de contrat doivent être compatibles avec les engagements pris envers les utilisateurs.

La possibilité de reprendre le service est une question juridique autant que technique. Elle doit être vérifiée avant la rupture avec le prestataire, lorsque les accès, les fichiers et les personnes capables de transmettre les connaissances sont encore disponibles.

8. Le no-code, l’open source et l’intelligence artificielle ne dispensent pas de vérifier les droits et les dépendances

Un outil no-code simplifie la construction de l’interface. Son contrat détermine cependant ce qui peut être exporté, transféré, modifié ou exploité après la fin de l’abonnement. Certains projets reposent sur une prestation de plateforme sans livraison d’un logiciel autonome. Cette dépendance doit être comprise avant de promettre à un investisseur ou à un client que l’application pourra être déplacée librement.

L’open source ne signifie pas absence de conditions. Les licences peuvent imposer la conservation de notices, la transmission d’une licence ou, dans certaines configurations, la mise à disposition du code correspondant. Les effets dépendent du texte de la licence et de la manière dont le composant est utilisé, modifié ou distribué. Une obligation de partage du code ne doit ni être présumée pour toute bibliothèque libre ni être écartée sans examen.

Un inventaire des composants facilite cette vérification. Il permet d’identifier les licences, les versions utilisées, les dépendances abandonnées et les mises à jour de sécurité. Cet inventaire a également une utilité contractuelle : il précise ce que le prestataire crée et ce qu’il incorpore sous les droits d’un tiers.

L’utilisation d’une IA pour écrire du code n’est pas une garantie d’originalité, de sécurité ou de disponibilité des droits. Les conditions du fournisseur doivent être examinées, ainsi que le contenu effectivement livré. Il faut aussi éviter de transmettre à un outil externe des données personnelles, du code confidentiel ou des secrets commerciaux sans cadre approprié.

La question pratique est simple : une personne compétente a-t-elle vérifié le résultat, ses dépendances et les conditions de son exploitation ? La rapidité de production ne supprime pas cette étape. Elle peut même rendre plus difficile l’identification de composants que l’équipe n’a pas consciemment sélectionnés.

9. Les magasins d’applications ajoutent des engagements contractuels au droit applicable

Publier sur un store suppose de respecter ses conditions de distribution, de sécurité, de présentation des données, de paiement et de contenu. Ces règles évoluent et peuvent varier selon les territoires, les catégories de services et les modalités de distribution. Il faut vérifier les conditions effectivement applicables au projet, plutôt que reproduire une règle générale sur les commissions ou les paiements intégrés.

Les politiques de suppression des comptes illustrent cette superposition. Apple exige, pour les applications concernées qui permettent de créer un compte, la possibilité d’en initier la suppression depuis l’application. Google Play impose également, dans le champ de sa politique, un parcours de suppression et une ressource web permettant de présenter la demande sans devoir réinstaller l’application. Des modalités particulières existent notamment pour certains secteurs réglementés. ^[8] [9]

Ces obligations contractuelles ne sont pas une définition universelle de ce qu’impose le RGPD. Elles peuvent aller au-delà de certaines exigences légales ou en préciser la mise en œuvre dans l’écosystème du store. Leur non-respect peut compromettre la diffusion de l’application, même en l’absence de décision d’une autorité publique.

L’éditeur doit conserver les versions pertinentes des règles acceptées, les déclarations faites sur les données et les échanges relatifs à une suspension. Il doit également vérifier que les informations fournies au store correspondent au comportement réel des composants intégrés. Un formulaire annonçant « aucune collecte » n’est pas exact si une bibliothèque transmet des identifiants ou des données d’usage à un tiers.

B. La protection des données doit être intégrée au fonctionnement réel de l’application

1. Une application sans formulaire peut néanmoins traiter des données personnelles

Le RGPD ne concerne pas uniquement les noms et les adresses électroniques. Des identifiants techniques, une adresse IP, un historique de connexion, une localisation ou un ensemble de données permettant d’individualiser une personne peuvent constituer des données personnelles. Remplacer le nom par un numéro ou hacher un identifiant ne suffit pas nécessairement à anonymiser les informations. ^[10]

Il faut examiner l’application, mais aussi les services qui l’entourent : hébergement, mesure d’audience, remontée des erreurs, authentification, notifications, publicité et assistance. Une interface qui ne demande aucune inscription peut néanmoins transmettre des informations à plusieurs prestataires dès son ouverture.

L’éditeur doit déterminer, pour chaque opération, s’il agit comme responsable du traitement, responsable conjoint ou sous-traitant. Dans un logiciel professionnel, il peut être responsable des données de facturation de ses clients et sous-traitant pour les fichiers que ces mêmes clients lui confient. Un rôle unique attribué à toute l’entreprise serait alors insuffisant. ^[2]

Pour un outil entièrement local, qui ne transmet aucune information à l’éditeur, l’analyse peut être différente. Il faut cependant vérifier cette absence de flux et ne pas la déduire de la seule présentation commerciale du service. La présence d’une fonction de synchronisation ou d’un module de diagnostic peut modifier le résultat.

2. Chaque utilisation des données doit avoir une finalité et une base légale identifiables

La création d’un compte, la fourniture d’un abonnement, la lutte contre la fraude, la facturation et la publicité poursuivent des finalités différentes. Elles ne peuvent pas être couvertes indistinctement par une phrase selon laquelle l’utilisateur « accepte le RGPD ».

L’article 6 du RGPD prévoit plusieurs bases légales. Selon l’opération, l’éditeur peut notamment se fonder sur l’exécution du contrat, une obligation légale, le consentement ou un intérêt légitime correctement évalué. La base doit être choisie en fonction de l’objectif et des conditions du traitement ; elle ne constitue pas une formule à sélectionner pour faciliter le développement. ^[11]

Inscrire une collecte dans les CGU ne la rend pas nécessaire à l’exécution du contrat. La nécessité doit être objective. Une application de gestion de rendez-vous peut avoir besoin de traiter l’identité de l’utilisateur et les créneaux réservés. Il est beaucoup moins évident que la collecte permanente de ses déplacements ou le partage de son carnet d’adresses soit indispensable à cette prestation. ^[12]

L’intérêt légitime suppose, de son côté, d’identifier un intérêt licite, de vérifier la nécessité du traitement et de mettre cet intérêt en balance avec les droits et les attentes des personnes. Une activité de prévention de la fraude peut justifier certaines vérifications ; elle n’autorise pas automatiquement une surveillance générale sans limites. ^[13]

Lorsque le consentement est requis, il doit être libre, spécifique, éclairé et univoque. Il doit pouvoir être retiré. Une case unique réunissant le contrat, la publicité, le partage avec des partenaires et les données sensibles rend difficile la démonstration d’un choix réellement distinct pour chaque usage. ^[14]

L’examen des finalités doit être renouvelé si le modèle économique change. Ajouter une publicité ciblée à un service auparavant financé par abonnement ne constitue pas seulement une évolution tarifaire : cela peut introduire de nouvelles données, de nouveaux destinataires et une nouvelle base légale.

3. La politique de confidentialité doit décrire le service qui existe réellement

Les articles 13 et 14 du RGPD organisent l’information des personnes. Selon la situation, celle-ci porte notamment sur l’identité du responsable, les finalités, les bases légales, les destinataires, les durées de conservation, les droits, les transferts internationaux et les coordonnées utiles pour les exercer. Une information supplémentaire peut être nécessaire lorsque les données proviennent d’un tiers. ^[15]

Une politique générique qui annonce des finalités inexistantes et omet les traitements effectivement réalisés n’est pas satisfaisante. Elle peut même rendre le service moins transparent. Le texte doit correspondre aux formulaires, aux paramètres, aux prestataires et aux outils réellement utilisés.

L’information peut être organisée en plusieurs niveaux : une explication courte au moment où l’utilisateur active une fonction, puis un accès à une politique complète. Par exemple, avant d’activer la géolocalisation, l’application peut indiquer la fonction concernée, la précision nécessaire et les conséquences du refus. La rédaction doit rester compréhensible sur un petit écran.

La politique de confidentialité n’a pas, par nature, à être « acceptée » comme un contrat. Il faut distinguer l’obligation d’informer, l’acceptation des conditions du service et le recueil d’un consentement pour un traitement déterminé. Ces actes peuvent se situer dans un même parcours, mais leurs effets juridiques sont différents.

4. Les cookies et les SDK peuvent imposer un consentement avant toute collecte

Les règles relatives aux traceurs ne sont pas réservées aux cookies des sites web. L’article 82 de la loi Informatique et Libertés encadre les opérations de lecture ou d’écriture sur le terminal. Il peut concerner des identifiants mobiles et des opérations effectuées par les composants intégrés à une application, y compris lorsque les informations concernées ne sont pas des données personnelles. ^[16]

Les opérations strictement nécessaires à un service expressément demandé et celles qui ont pour finalité exclusive de permettre ou de faciliter la communication par voie électronique bénéficient d’exemptions. En revanche, l’intérêt économique de l’éditeur ne suffit pas à rendre un traceur nécessaire. Certains outils de mesure d’audience peuvent être exemptés, mais uniquement dans une configuration respectant les conditions applicables. ^[16]

Un SDK est un ensemble d’outils logiciels prêt à être intégré. Il peut servir à afficher une carte, à diagnostiquer une erreur ou à diffuser une publicité. La CNIL souligne que l’éditeur et le développeur doivent connaître les traitements qu’il déclenche, les destinataires et les possibilités de bloquer les opérations soumises au consentement. Le fait que le composant soit répandu ou proposé par un grand acteur ne dispense pas de cette vérification. ^[17]

Lorsque le consentement est nécessaire, le blocage doit être effectif avant son recueil. Une fenêtre qui apparaît après l’envoi de l’identifiant publicitaire ne corrige pas rétroactivement la transmission. Le refus et le retrait doivent aussi produire leurs effets dans les composants concernés, y compris après une mise à jour.

L’arrêt Planet49 du 1er octobre 2019, C-673/17, rappelle notamment qu’une case précochée ne constitue pas un consentement valable au placement des cookies concernés. La solution traduit une exigence d’action positive, qui ne se confond pas avec la simple poursuite de la navigation. ^[18]

Le contrôle utile consiste donc à examiner les flux lors du premier lancement, après un refus, après une acceptation et après son retrait. Une capture de l’écran de consentement prouve l’existence d’un écran ; elle ne prouve pas, à elle seule, que les transmissions respectent le choix effectué.

5. L’autorisation donnée au téléphone ne remplace pas toujours le consentement juridique

Le système d’exploitation peut demander l’autorisation d’accéder à la caméra, au microphone, aux photographies ou à la localisation. Cette permission technique permet ou interdit un accès. Elle ne suffit pas nécessairement à informer l’utilisateur de toutes les finalités ultérieures ni à recueillir un consentement valable pour celles-ci. ^[19]

Il faut sélectionner la permission la moins intrusive compatible avec le besoin. Si une photographie précise suffit, l’accès à toute la photothèque peut être excessif. Si la localisation n’est utile que pendant une recherche, un suivi permanent en arrière-plan appelle une justification différente. Une adresse saisie manuellement peut parfois remplir la même fonction.

La CNIL recommande une articulation compréhensible entre les permissions du système et les demandes de consentement de l’application. L’utilisateur doit comprendre ce qu’il autorise, à quel moment et pour quelle fonction. La multiplication d’écrans contradictoires peut rendre le parcours juridiquement fragile autant que désagréable. ^[19]

Le refus doit aussi être traité fonctionnellement. Une application de réservation de restaurants peut proposer une recherche par ville à la personne qui refuse la géolocalisation. Elle ne doit pas présenter comme indispensable une collecte qui ne sert qu’à simplifier une recherche ou à alimenter une publicité.

6. Les données doivent être limitées et leur conservation organisée

Le principe de minimisation conduit à collecter ce qui est nécessaire à l’objectif poursuivi. Il invite également à choisir les paramètres les moins intrusifs par défaut. Demander une date de naissance complète, une adresse postale ou l’accès aux contacts doit correspondre à un besoin identifié. ^[14]

La conservation doit être examinée par catégorie et par finalité. Les données nécessaires au fonctionnement d’un compte, les factures, les preuves d’acceptation, les journaux de sécurité et les messages d’assistance n’ont pas forcément la même durée. Une formule unique selon laquelle « toutes les données sont conservées dix ans » serait rarement adaptée à l’ensemble du service.

Il faut distinguer la base active, les archives à accès limité et les sauvegardes. Conserver un document pour satisfaire une obligation légale ou défendre un droit ne justifie pas de continuer à l’utiliser à des fins publicitaires. À l’inverse, supprimer un compte ne signifie pas nécessairement supprimer une facture dont la conservation demeure obligatoire.

Cette politique doit être techniquement réalisable. Une application qui annonce l’effacement des comptes inactifs mais ne dispose d’aucune procédure pour les identifier ou les traiter crée une divergence entre son information et ses pratiques. Les durées doivent donc être associées à des opérations de purge, d’archivage ou d’anonymisation vérifiables.

7. La sécurité est une obligation qui doit se prolonger après le lancement

L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Il n’exige pas un niveau de sécurité abstraitement identique pour chaque application. La nature des données, les conséquences d’un accès illicite, l’état des connaissances et les conditions du traitement doivent être pris en compte. ^[20]

Les mesures peuvent notamment concerner le chiffrement des échanges, l’authentification, la gestion des habilitations, la protection des secrets techniques, les sauvegardes et la correction des vulnérabilités. Le contrôle des accès doit se faire du côté du service qui détient les données : masquer un bouton dans l’interface ne suffit pas à empêcher une requête non autorisée.

La CNIL recommande de formaliser avec les développeurs les objectifs de sécurité et de maîtriser les composants externes. Elle insiste également sur le maintien de la sécurité dans le temps, ce qui suppose de surveiller les dépendances et de pouvoir déployer les correctifs nécessaires. ^[20]

Un incident prévisible illustre cette responsabilité : un ancien prestataire conserve un accès administrateur après la fin de sa mission. L’application peut fonctionner parfaitement pour les clients tout en présentant une faille organisationnelle. La sécurité dépend donc aussi de procédures de départ, de revues des accès et d’une répartition claire des pouvoirs.

Les tests doivent utiliser des données fictives ou protégées de manière appropriée. Copier une base complète de clients sur l’ordinateur personnel d’un développeur pour reproduire une erreur doit être justifié, encadré et sécurisé ; la commodité ne constitue pas une autorisation générale.

8. Le registre, l’analyse d’impact et le DPO répondent à des critères différents

Il n’existe plus de déclaration préalable générale à la CNIL pour chaque fichier. La logique du RGPD repose largement sur la capacité à démontrer la conformité. Cela n’exclut pas des formalités particulières pour certains traitements, ni une consultation préalable lorsque les conditions en sont réunies.

Le registre des activités de traitement décrit les opérations réalisées. La dérogation prévue pour certaines structures de moins de 250 salariés est limitée : les traitements non occasionnels, ceux présentant certains risques et ceux portant sur des catégories particulières de données restent notamment concernés. Une petite entreprise qui exploite continuellement des comptes utilisateurs ne doit donc pas se croire dispensée par son seul effectif. ^[21]

L’analyse d’impact relative à la protection des données, ou AIPD, est requise lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés. La surveillance systématique, certaines utilisations de données sensibles, le profilage et la situation de personnes vulnérables doivent être examinés. L’analyse doit intervenir avant le traitement et peut conduire à modifier le projet. ^[22]

La désignation d’un DPO répond à un autre examen. Elle est notamment obligatoire pour certains organismes dont les activités de base impliquent un suivi régulier et systématique à grande échelle ou un traitement à grande échelle de données sensibles. Elle n’est ni automatique pour toute application ni exclue pour une petite équipe. ^[23]

Ces documents ne doivent pas être conçus comme trois formalités interchangeables. Un registre décrit ; une analyse d’impact évalue et réduit un risque ; un DPO exerce des missions d’information, de conseil et de contrôle. Désigner une personne comme DPO ne transfère pas à celle-ci la responsabilité de toutes les décisions de l’entreprise. Notre article consacré aux conditions de désignation et aux missions du DPO détaille cette répartition des responsabilités.

9. Héberger en Europe ne règle pas à lui seul les transferts internationaux

La localisation du serveur principal est une donnée utile, mais incomplète. Il faut vérifier les sauvegardes, les services de support, les accès à distance et les sous-traitants successifs. Un prestataire ou une société distincte située hors de l’Espace économique européen peut intervenir même si l’offre commerciale annonce un hébergement européen. ^[24]

Les transferts concernés doivent reposer sur un mécanisme valable : décision d’adéquation applicable, garanties appropriées telles que des clauses contractuelles types, ou autre dispositif admis dans ses conditions propres. Certaines situations nécessitent une analyse du droit du pays destinataire et des mesures supplémentaires.

La réponse ne consiste pas à inscrire « aucun transfert » dans une politique standard. Elle suppose d’obtenir une information cohérente des prestataires, de vérifier la réalité des accès et de documenter le mécanisme retenu. Le choix d’un service d’assistance ou de mesure d’audience peut modifier cette analyse autant que celui de l’hébergeur.

Le contrat de sous-traitance doit également préciser l’objet des opérations, les instructions, les exigences de confidentialité et de sécurité, l’assistance nécessaire et les conditions de recours à d’autres prestataires. Il doit correspondre à la prestation réellement fournie. ^[2]

10. Les droits des utilisateurs doivent pouvoir être exercés après la fermeture du compte

Accès, rectification, effacement, opposition, limitation ou portabilité s’appliquent selon les conditions propres à chacun de ces droits. Leur exercice ne doit pas dépendre exclusivement d’un accès à un compte qui a été supprimé ou suspendu.

Le délai de réponse est en principe d’un mois. Une prolongation de deux mois peut être justifiée par la complexité ou le nombre des demandes, à condition d’en informer la personne dans le premier mois et d’expliquer les motifs. La prolongation n’est donc pas un délai de trois mois utilisable systématiquement. ^[15]

Il faut distinguer quatre actes qui sont souvent confondus : désinstaller l’application, supprimer le compte, obtenir l’effacement de données et résilier un abonnement. Le premier supprime généralement un logiciel du terminal. Les autres produisent des effets différents sur la relation avec l’éditeur, les données et la facturation.

Cette distinction doit être expliquée sans devenir un obstacle. Si un abonnement est géré par un store, le parcours doit orienter clairement l’utilisateur vers les démarches adaptées. La suppression du compte ne doit pas laisser croire à tort que tout prélèvement a cessé. Réciproquement, la résiliation d’un abonnement ne justifie pas la conservation illimitée de toutes les données d’usage.

En pratique, le dossier de conformité doit contenir une procédure de réception des demandes, un moyen proportionné de vérifier l’identité lorsqu’il est nécessaire et une méthode pour interroger les différents prestataires. Une adresse de contact affichée mais jamais surveillée ne permet pas de respecter ces obligations.

11. Les applications destinées aux mineurs demandent plusieurs analyses distinctes

En France, l’article 45 de la loi Informatique et Libertés fixe à quinze ans l’âge auquel un mineur peut consentir seul à un traitement dans le cadre de l’offre directe de services de la société de l’information, lorsque le traitement repose sur le consentement. En dessous de cet âge, le texte prévoit le consentement conjoint du mineur et du ou des titulaires de l’autorité parentale. Cette règle ne constitue pas une majorité générale pour tous les contrats numériques. ^[25]

La capacité de conclure le contrat, le paiement, le consentement aux traitements et l’accès à certains contenus doivent donc être examinés séparément. Un adolescent capable d’accepter un traitement dans les conditions prévues par la loi ne dispose pas, de ce seul fait, d’une capacité générale à souscrire n’importe quel engagement financier.

Il faut également vérifier les règles propres aux plateformes et aux contenus. Au 29 octobre 2026, il serait notamment inexact de présenter comme applicable l’interdiction générale d’accès aux réseaux sociaux des moins de quinze ans prévue par l’article 1er du texte adopté à l’été 2026 : cet article a été censuré par le Conseil constitutionnel dans sa décision n° 2026-911 DC du 14 août 2026, avant la promulgation de la loi n° 2026-813 du 24 août 2026. Cette censure ne supprime pas les autres exigences de protection des mineurs. ^[26]

La vérification de l’âge doit elle-même respecter la protection des données. Recueillir systématiquement une copie de pièce d’identité n’est pas une solution neutre. Il faut rechercher une méthode adaptée au niveau de risque et éviter de collecter des informations supplémentaires sans nécessité.

Les paramètres par défaut, la visibilité des profils, les messages entre utilisateurs, les achats intégrés et les mécanismes de recommandation doivent être conçus pour le public réellement visé. Une mention « réservé aux adultes » ne suffit pas si la présentation, les fonctions et l’usage prévisible montrent que le service s’adresse aussi à des enfants.

12. Une fuite de données exige une réaction organisée et des délais maîtrisés

Une violation peut affecter la confidentialité, mais aussi l’intégrité ou la disponibilité des données. La perte d’une base non restaurable peut donc appeler une analyse, même sans preuve d’un vol de fichiers.

Le responsable doit documenter les violations. Il doit les notifier à l’autorité compétente dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance, sauf si elles ne sont pas susceptibles d’engendrer un risque pour les droits et libertés. Un risque élevé peut également imposer d’informer les personnes concernées, sous réserve des exceptions prévues par le RGPD. Le sous-traitant doit alerter le responsable sans retard injustifié. ^[27]

Il est donc nécessaire de savoir à l’avance qui peut décider, préserver les preuves, contacter l’hébergeur et préparer une notification. Attendre que l’enquête technique soit entièrement terminée peut conduire à dépasser le délai. Une première notification peut être complétée lorsque les informations deviennent disponibles.

Enfin, les évolutions annoncées ne doivent pas être confondues avec le droit en vigueur. Le Conseil de l’Union a adopté le 21 octobre 2026 une position de négociation sur un projet de simplification comprenant notamment les règles de données et de signalement. Cette étape ne modifie pas, à elle seule, le délai du RGPD ni les exigences actuelles sur les traceurs. ^[28]

II. Les fonctions commerciales et communautaires ajoutent des obligations qui suivent toute la vie du service

A. Une vente, un abonnement ou une contrepartie non monétaire imposent d’examiner le droit de la consommation

1. La gratuité ne suffit pas à exclure le régime des services numériques

Une application peut être un contenu numérique, un service numérique, ou associer plusieurs prestations. La distinction dépend de ce qui est fourni : un fichier ou un logiciel téléchargeable, un accès continu à des fonctions en ligne, un hébergement de contenus ou un autre service.

L’article L. 224-25-2 du Code de la consommation vise les contrats dans lesquels le consommateur paie un prix ou procure un autre avantage en contrepartie ou en complément. Le cadre européen de la directive 2019/770 couvre également certaines fournitures contre des données personnelles, tout en excluant le cas où celles-ci sont exclusivement traitées pour fournir le service ou satisfaire les obligations légales, sans autre finalité. La qualification suppose donc d’examiner la contrepartie réelle. ^[29] [30]

Une application gratuite qui exploite les données pour des finalités publicitaires ne se trouve pas nécessairement dans la même situation qu’un outil sans monétisation qui utilise seulement les informations indispensables à son fonctionnement. La présentation commerciale « gratuit à vie » ne permet pas, à elle seule, de décider du régime applicable.

Cette extension du droit de la consommation n’autorise pas pour autant tous les traitements de données. Le RGPD reste applicable, notamment sur les bases légales et la liberté du consentement. La reconnaissance d’un contrat de service numérique ne transforme pas les données personnelles en un bien librement exploitable par l’éditeur. ^[30]

Il faut enfin tenir compte des exclusions et articulations prévues par les textes : un contenu intégré à un bien, une prestation de santé, un service financier ou certains logiciels libres ne relèvent pas tous du même régime. Une application qui permet d’acheter une prestation ne transforme pas automatiquement cette prestation en service numérique.

2. CGU, CGV, mentions légales et confidentialité ont des fonctions différentes

Les mentions légales identifient les acteurs. Les CGU organisent l’utilisation du service : compte, comportements autorisés, contenus, suspension et modalités de fonctionnement. Les CGV ou conditions d’abonnement encadrent l’offre économique. La politique de confidentialité explique les traitements de données.

Il n’existe pas une obligation générale et indifférenciée de publier un document intitulé « CGU » pour toute application. En revanche, de nombreuses informations et stipulations peuvent être obligatoires en raison de l’activité. Le DSA impose ainsi des informations dans les conditions générales des services qui entrent dans son champ, tandis que le droit de la consommation organise l’information et le contenu de certains contrats.

Lorsque l’éditeur veut opposer des conditions contractuelles à l’utilisateur, il doit pouvoir établir qu’elles ont été portées à sa connaissance et acceptées. L’article 1119 du Code civil le rappelle. Un lien discret ajouté après la commande ne répond pas nécessairement à cette exigence. ^[31]

Il est donc utile de conserver la version applicable, sa date et la preuve du parcours d’acceptation. Cette preuve ne suppose pas de collecter sans limite des données sur l’utilisateur. Elle suppose une méthode proportionnée permettant de relier une acceptation à un texte déterminé.

Des documents distincts ne sont pas toujours nécessaires, mais leurs fonctions doivent rester lisibles. Un ensemble contractuel cohérent peut regrouper les conditions d’utilisation et de vente, à condition de ne pas noyer les informations obligatoires ni de présenter le consentement publicitaire comme une condition contractuelle générale.

3. Le prix, les limites du service et les conditions de renouvellement doivent apparaître avant l’engagement

L’information précontractuelle porte notamment sur les caractéristiques essentielles, le prix, l’identité du professionnel, la durée, les modalités de résiliation, la fourniture du service, les garanties et la rétractation lorsqu’elle existe. Pour le numérique, la compatibilité, l’interopérabilité et les restrictions d’installation peuvent également être déterminantes. ^[32]

Une application annoncée comme gratuite doit présenter clairement les fonctions payantes. Si une formule d’essai se transforme en abonnement, la date du premier prélèvement, le montant, la périodicité et les conditions pour l’éviter doivent être compréhensibles avant l’engagement. Un prix mensuel affiché en grand ne doit pas masquer une facturation annuelle ou une durée minimale.

Les restrictions techniques doivent être formulées avec la même précision. Si une fonction n’est disponible que sur certains appareils, dans certaines zones ou avec un abonnement externe, l’utilisateur doit pouvoir le savoir avant de payer. Les captures d’écran, la fiche du store et la page de présentation participent à la compréhension de ce qui est promis.

Il faut aussi indiquer ce que le service ne fournit pas lorsqu’une limite est substantielle. Un logiciel qui propose un export limité, un quota de stockage ou un nombre maximal d’utilisateurs doit éviter une présentation qui laisse attendre un usage illimité. La clarté du contrat dépend autant de cette description que des clauses juridiques finales.

En cas de changement de tarif, le simple remplacement du prix dans l’application ne suffit pas nécessairement à modifier les contrats existants. Les clauses de variation, l’information due et les droits de sortie doivent être examinés au regard du contrat et des dispositions impératives applicables.

4. Le bouton de commande doit rendre l’obligation de paiement évidente

Pour une commande électronique payante conclue avec un consommateur, le parcours doit faire apparaître clairement l’engagement financier. Le bouton ou la fonction équivalente doit porter une formule qui exprime sans ambiguïté cette obligation.

Dans l’arrêt Fuhrmann-2 du 7 avril 2022, C-249/21, la Cour de justice a jugé que l’appréciation de la formule analogue à « commande avec obligation de paiement » repose sur les mots figurant sur le bouton ou la fonction similaire. Une information placée ailleurs ne permet pas simplement de compenser une formule ambiguë. ^[33]

Des intitulés comme « continuer », « découvrir » ou « finaliser » doivent donc être examinés avec prudence lorsqu’ils déclenchent effectivement un engagement payant. Le raisonnement vaut pour une interface mobile autant que pour un site classique.

La preuve doit porter sur le parcours effectivement présenté à la date de la commande. Un changement ultérieur d’interface ne démontre pas ce que l’utilisateur a vu auparavant. Les campagnes de tests comparatifs d’écrans doivent donc être intégrées à la gestion des versions contractuelles, surtout lorsqu’elles modifient la présentation du prix ou de l’engagement.

5. Le téléchargement ne fait pas toujours disparaître le droit de rétractation

Le principe applicable aux contrats à distance conclus avec des consommateurs est un délai de rétractation de quatorze jours, sous réserve des exclusions et exceptions. Le point de départ dépend de l’objet du contrat : il ne faut pas appliquer indistinctement la date de livraison d’un bien à un abonnement de service. ^[34]

Pour un contenu numérique sans support matériel, l’article L. 221-28 prévoit une exception lorsque l’exécution a commencé. Si le contrat oblige le consommateur à payer, les conditions comprennent son consentement exprès préalable au commencement avant la fin du délai, la reconnaissance de la perte du droit et la confirmation de cet accord dans les conditions légales. Une clause générale « aucun remboursement après téléchargement » ne remplace pas ce mécanisme. ^[35]

Le régime des services doit être distingué. Pour une prestation payante, le commencement de l’exécution ne suffit pas, à lui seul, à faire disparaître la rétractation. L’exception liée à l’exécution complète répond à ses propres conditions. Un abonnement donnant accès pendant un an à une application ne doit donc pas être traité automatiquement comme un contenu entièrement consommé au premier clic. ^[35]

La qualification du service et la construction du parcours doivent être cohérentes. Une case de renonciation ne peut produire un effet que si le droit applicable permet cette perte et si les conditions exigées sont réunies. La faire cocher à tous les utilisateurs, pour toutes les prestations, crée une apparence de sécurité trompeuse.

Il faut également distinguer la rétractation d’une demande fondée sur un défaut de conformité ou une inexécution. Même si le droit de rétractation a été valablement perdu, le consommateur peut conserver d’autres recours lorsque le service ne correspond pas à ce qui a été convenu.

6. Depuis le 19 juin 2026, la rétractation doit pouvoir être exercée depuis l’interface en ligne

L’article L. 221-21, modifié par l’ordonnance n° 2026-2 du 5 janvier 2026, impose pour les contrats conclus à distance au moyen d’une interface en ligne une fonctionnalité permettant l’exercice gratuit de la rétractation avant l’expiration du délai légal. Le dispositif s’applique depuis le 19 juin 2026, avec les dispositions transitoires prévues pour les contrats déjà en cours. ^[36]

L’article D. 221-5 précise la présentation et les étapes. La fonctionnalité doit être visible et facilement accessible pendant le délai ; elle permet d’identifier la personne et le contrat, de présenter la déclaration puis de la confirmer. Le professionnel adresse un accusé de réception sur un support durable, comprenant notamment le contenu, la date et l’heure de la déclaration. ^[37]

Cette obligation concerne aussi les applications. Elle ne se réduit donc pas à ajouter une phrase aux CGV. Elle suppose un parcours fonctionnel et une capacité à conserver la preuve de la demande et de son traitement.

Elle ne crée pas un droit de rétractation pour les contrats légalement exclus. En revanche, lorsque le droit existe, l’éditeur ne doit pas renvoyer exclusivement vers un courrier postal ou un service client alors que le texte impose aussi cette modalité en ligne.

Un point pratique mérite d’être anticipé : l’utilisateur peut vouloir se rétracter après avoir perdu l’accès à son compte. Il faut concevoir l’identification et le traitement de la demande de manière à préserver l’effectivité du droit, sans introduire un parcours d’authentification inutilement bloquant.

7. La résiliation d’un abonnement est différente de la rétractation

La rétractation permet de revenir sur un engagement dans les conditions et délais prévus par la loi. La résiliation met fin à un contrat selon son régime légal ou contractuel. La durée d’engagement, le préavis et les causes de résiliation doivent donc être distingués du délai de rétractation.

L’article L. 215-1-1 organise une fonctionnalité gratuite de résiliation électronique lorsque le contrat a été conclu électroniquement ou lorsque le professionnel permet, au moment de la résiliation, de conclure des contrats par cette voie. La réception de la notification et les informations sur la fin du contrat doivent être confirmées conformément au texte. ^[38]

Ce mécanisme, souvent présenté comme la résiliation « en trois clics », ne signifie pas que tout abonnement prend immédiatement fin sans tenir compte de sa durée. Il facilite la démarche ; il ne supprime pas par lui-même toutes les conditions de fond. Celles-ci doivent cependant être licites, transparentes et effectivement portées à la connaissance du consommateur.

Les parcours doivent donc être séparés ou clairement expliqués. Un bouton « supprimer mon compte » ne peut laisser l’utilisateur deviner s’il résilie aussi l’abonnement. Un bouton « se désabonner » doit indiquer les conséquences sur l’accès aux contenus et les sommes éventuellement déjà versées.

Pour les contrats de prestations de services à durée déterminée assortis d’une reconduction tacite, l’article L. 215-1 prévoit une information dédiée, adressée au plus tôt trois mois et au plus tard un mois avant le terme de la période permettant de refuser la reconduction. La date limite de non-reconduction doit apparaître dans un encadré apparent. En l’absence d’information conforme, le consommateur peut, dans le champ de ce dispositif, mettre gratuitement fin au contrat à tout moment à compter de sa reconduction. Le rappel doit donc être calculé à partir de la bonne échéance, qui n’est pas nécessairement la date de renouvellement elle-même. ^[39]

8. Le fonctionnement et les mises à jour peuvent relever d’une garantie légale

Dans le champ de la garantie de conformité des contenus et services numériques, le professionnel doit fournir une prestation conforme au contrat et aux critères légaux. Pour une fourniture ponctuelle, il répond des défauts existant au moment de la fourniture et apparaissant dans les deux ans. Pour une fourniture continue, il répond des défauts qui apparaissent pendant la période contractuelle de fourniture. Cette distinction ne doit pas être confondue avec les règles de prescription de l’action. ^[40]

Les mises à jour nécessaires au maintien de la conformité font l’objet d’un régime spécifique. Pour une fourniture continue, elles doivent être assurées pendant la période de fourniture prévue au contrat. Pour une fourniture ponctuelle, la durée s’apprécie notamment au regard de ce que le consommateur peut légitimement attendre. Elle ne se résume donc pas toujours à une durée uniforme de deux ans. ^[41]

L’abandon d’un système d’exploitation, la suppression d’une fonction ou l’arrêt d’un serveur ne sont pas de simples décisions internes si ces éléments conditionnent la prestation promise. L’éditeur doit analyser les contrats en cours, les informations données et les droits de ses utilisateurs.

Pour les mises à jour qui ne sont pas nécessaires à la conformité, l’article L. 224-25-26 impose notamment un fondement contractuel assorti d’une raison valable, une information adaptée et l’absence de coût supplémentaire. Une incidence négative peut ouvrir un droit à la résolution, sous les conditions et exceptions du texte. Une clause autorisant toute modification à tout moment ne dispense pas de cette analyse. ^[42]

Lorsque l’application vend des biens physiques, les garanties applicables à ces biens doivent être examinées séparément. Le fait que la commande passe par un logiciel ne transforme pas la garantie d’un vêtement ou d’un appareil en garantie de service numérique.

9. La publicité et la prospection doivent rester distinctes du fonctionnement du compte

Un message de confirmation, une alerte de sécurité ou une information sur l’exécution du contrat ne poursuit pas le même objectif qu’une campagne commerciale. Il faut éviter de mêler ces catégories afin de contourner les règles de prospection.

Pour les particuliers, la prospection électronique suppose en principe un consentement préalable, sous réserve notamment de l’exception encadrée concernant des clients et des produits ou services similaires proposés par la même entreprise. La simple création d’un compte ne suffit pas à faire bénéficier automatiquement de cette exception. L’opposition doit rester simple et gratuite. Pour la prospection professionnelle, le régime dépend notamment du rapport entre le message et la profession du destinataire. ^[43]

Une autorisation de notification sur le téléphone ne doit pas être considérée comme une permission générale de diffuser toute publicité. Le canal, le contenu et la finalité doivent être examinés. Une alerte nécessaire à la réservation ne justifie pas nécessairement des relances promotionnelles quotidiennes.

Les faux avis, les présentations trompeuses de la gratuité, les options ajoutées sans choix valable et les interfaces qui dissimulent les coûts doivent également être écartés. La qualité juridique du parcours se mesure à ce que l’utilisateur comprend et choisit effectivement, pas seulement au nombre de liens juridiques présents dans l’application.

10. Les clauses de responsabilité et la médiation doivent être adaptées aux consommateurs

L’éditeur ne peut pas neutraliser les règles impératives par une clause générale indiquant que l’utilisation s’effectue « aux seuls risques de l’utilisateur ». L’article L. 212-1 du Code de la consommation prohibe les clauses créant un déséquilibre significatif au détriment du consommateur ; d’autres dispositions précisent les clauses interdites ou présumées abusives. ^[44]

Cela n’empêche pas de décrire loyalement les limites du service. Une application d’information peut préciser la nature des contenus et les situations qui nécessitent une vérification individuelle. Il faut cependant distinguer cette délimitation de la prestation d’une exclusion générale de responsabilité pour toute inexécution.

Le professionnel doit aussi organiser l’accès à un médiateur de la consommation compétent pour les litiges concernés et fournir les informations requises. Il ne suffit pas de choisir au hasard le nom d’un organisme dans un modèle de CGV. Le dispositif doit correspondre à l’activité et être effectivement accessible. ^[45]

Les anciens modèles doivent être relus : la plateforme européenne de règlement en ligne des litiges a été supprimée le 20 juillet 2025. Maintenir un lien vers ce dispositif fermé ne satisfait pas les obligations actuelles et peut induire le consommateur en erreur. La suppression de cette plateforme ne supprime pas la médiation de la consommation. ^[45]

11. L’accessibilité peut être obligatoire même pour une entreprise privée

Depuis le 28 juin 2025, certaines catégories de produits et de services sont soumises aux exigences issues de la directive européenne sur l’accessibilité. Les services de commerce électronique font partie du champ concerné. Une application permettant la conclusion d’un contrat de consommation doit donc faire l’objet d’un examen, notamment pour les étapes d’identification, d’information et de paiement. ^[46]

Il faut distinguer ce régime de celui qui s’applique à certains organismes publics et à d’autres acteurs en vertu de règles propres. Il serait inexact d’affirmer que toute application privée relève automatiquement de toutes les obligations du RGAA. Il serait tout aussi inexact de considérer que seules les administrations sont concernées par l’accessibilité.

Une exemption existe, dans le régime des services concerné, pour les microentreprises employant moins de dix personnes et dont le chiffre d’affaires annuel ou le total du bilan annuel n’excède pas deux millions d’euros. Ce critère européen ne se confond pas avec le régime fiscal français du micro-entrepreneur. Les autres exemptions, notamment pour charge disproportionnée ou modification fondamentale, doivent être examinées et justifiées dans leurs conditions propres. ^[46] [47]

L’accessibilité ne consiste pas uniquement à ajouter un bouton qui change la taille des caractères. La navigation, les contrastes, les libellés, la lecture par des outils d’assistance, les messages d’erreur et l’ensemble du parcours doivent être évalués. Les conditions d’exemption et les éventuelles dispositions transitoires doivent être documentées ; l’ancienneté du site ne constitue pas, à elle seule, une dispense générale.

12. Les ventes internationales demandent une analyse de TVA et de facturation

Le téléchargement d’une application ou l’accès à un service largement automatisé peut relever des règles fiscales applicables aux services électroniques. Un conseil humain fourni à distance n’est pas nécessairement un service électronique au sens de la TVA : le canal Internet ne suffit pas à déterminer la qualification. ^[48]

Pour certaines ventes de services électroniques à des particuliers établis dans d’autres États membres, la TVA est en principe due dans l’État du consommateur. Un seuil européen de 10 000 euros hors taxes peut, sous conditions, maintenir l’imposition dans l’État d’établissement. Ce seuil s’apprécie en tenant compte des opérations concernées de l’année en cours et de l’année précédente ; il ne se confond pas avec la franchise de TVA. Le guichet unique OSS peut faciliter les déclarations. ^[49]

Le rôle du store doit être vérifié. Selon le montage, celui-ci peut intervenir dans la facturation et la collecte de la taxe. Il ne faut pas en déduire que toutes les recettes, toutes les commissions et toutes les ventes directes sont traitées de la même manière. Le contrat de distribution et les relevés de paiement doivent être rapprochés de la comptabilité.

Cette vérification doit intervenir avant de fixer les prix. Une offre présentée au même montant dans plusieurs pays peut produire des marges différentes selon la TVA, les frais de distribution et les engagements commerciaux. Les règles de facture, de conservation et, le cas échéant, de facturation électronique doivent être intégrées au fonctionnement comptable correspondant à l’activité.

B. Les contenus de tiers, les secteurs réglementés et les évolutions du service imposent des vérifications supplémentaires

1. Le DSA ne s’applique pas à toute application de la même manière

Le règlement européen sur les services numériques, ou DSA, organise notamment les obligations des fournisseurs de services intermédiaires. Il ne suffit pas qu’un service soit accessible sur Internet pour qu’il devienne une plateforme en ligne au sens du règlement.

Une application qui présente exclusivement les propres produits de son éditeur n’est pas, pour cette seule activité, une place de marché hébergeant les offres de vendeurs tiers. En revanche, le stockage d’informations à la demande d’utilisateurs peut relever du service d’hébergement. Leur diffusion au public peut conduire à la qualification de plateforme en ligne, sous réserve notamment de l’exception concernant certaines fonctions mineures et purement accessoires. ^[50] [51]

Une rubrique de commentaires accessoire et un réseau social centré sur les publications des membres doivent donc être examinés différemment. Une messagerie privée et une publication accessible au public ne soulèvent pas exactement les mêmes questions. L’analyse doit porter sur la fonction concernée, son importance et son fonctionnement réel.

Cette qualification produit des conséquences sur le dispositif de signalement, les conditions générales, la motivation des décisions et, selon la catégorie de fournisseur, les voies de contestation. Elle doit intervenir avant de développer une fonction communautaire, afin de prévoir les outils et les moyens humains nécessaires.

2. Héberger des contenus suppose de traiter les signalements et de pouvoir expliquer les décisions

Les articles 16 et 17 du DSA prévoient notamment, pour les fournisseurs de services d’hébergement concernés, un mécanisme de notification des contenus illicites et une motivation de certaines restrictions apportées aux contenus ou aux comptes. Les obligations varient ensuite selon la qualification et la taille du service. ^[50] [52]

Le régime de responsabilité de l’hébergeur est conditionnel. Il dépend notamment de sa connaissance de l’illicéité et de sa réaction diligente lorsqu’il en prend connaissance dans les conditions du texte. Le DSA n’impose pas une obligation générale de surveillance de toutes les informations. Ces deux principes doivent être articulés : l’absence de surveillance générale ne justifie pas l’inaction face à un signalement suffisamment précis. ^[53]

Une procédure utile doit permettre d’identifier le contenu concerné, de comprendre le motif du signalement, de conserver les éléments nécessaires et de décider dans un délai approprié à la situation. Elle doit aussi permettre de distinguer une violation de la loi d’une violation des règles contractuelles de la communauté.

Le signalement peut être erroné ou abusif. Supprimer automatiquement tout contenu signalé expose à d’autres difficultés, notamment lorsque le service a pris des engagements envers ses utilisateurs. La modération doit donc être organisée comme une fonction du service, avec des critères et des personnes capables de traiter les cas litigieux.

3. Les petites plateformes bénéficient d’allègements, pas d’une exemption générale

Les articles 19 et 29 du DSA prévoient des exclusions de certaines obligations pour les microentreprises et petites entreprises répondant aux critères européens. Des règles particulières s’appliquent notamment en cas de changement de catégorie ou de désignation comme très grande plateforme. Il faut vérifier la taille de l’entreprise selon les critères pertinents, en tenant compte, lorsqu’il y a lieu, de ses liens avec d’autres entreprises. ^[50]

Ces allègements ne font pas disparaître les obligations qui restent applicables à un service d’hébergement. Ils ne dispensent pas non plus du RGPD, des règles de consommation ou de la responsabilité pour les propres actes de l’exploitant.

Pour les plateformes soumises aux obligations supplémentaires, il faut notamment examiner le traitement interne des réclamations, les informations relatives à la publicité et aux recommandations, les interfaces trompeuses et la protection des mineurs. Le périmètre exact doit être vérifié avant de transposer toutes les obligations d’un grand réseau social à un service de petite taille. ^[50]

Un bon dossier conserve la justification du régime retenu et les éléments qui pourraient conduire à le revoir. Une croissance de l’entreprise, un rachat ou l’ajout d’une fonction principale de publication peut faire évoluer l’analyse.

4. Une place de marché doit organiser les relations avec les vendeurs et les acheteurs

Lorsque l’application accueille des vendeurs tiers, le consommateur doit comprendre qui vend, qui encaisse, qui livre et qui répond des garanties. Le fait que le paiement et le service client passent par une interface unique peut créer une apparence qu’il faut confronter au montage contractuel.

Les obligations particulières du DSA relatives à la traçabilité des professionnels et à la conception des interfaces doivent être examinées, en tenant compte de leurs exemptions. Elles ne doivent pas être confondues avec les obligations que l’exploitant supporte en sa qualité éventuelle de vendeur. ^[50]

Le règlement P2B, n° 2019/1150, peut aussi encadrer les rapports entre un service d’intermédiation en ligne et les professionnels qui l’utilisent pour proposer des biens ou services aux consommateurs. Il traite notamment de la transparence des conditions, du classement et des restrictions ou interruptions du service. Le fait de prévoir contractuellement une suspension ne dispense pas de respecter les exigences applicables à sa mise en œuvre. ^[54]

Au 29 octobre 2026, le projet européen de simplification qui prévoit une évolution de ce cadre ne doit pas être traité comme une abrogation déjà acquise. Le statut du texte applicable doit être distingué de celui de la proposition en discussion. ^[28]

Pour les produits de consommation concernés, le règlement sur la sécurité générale des produits, applicable depuis le 13 décembre 2024, ajoute des exigences propres, notamment pour les places de marché : sécurité, traçabilité, coopération et gestion des offres dangereuses. Une petite plateforme ne doit pas déduire d’un allègement du DSA une dispense automatique au titre de cet autre règlement. ^[55]

Les obligations fiscales de déclaration des plateformes doivent enfin être examinées. Le dispositif DPI-DAC7 peut viser les plateformes facilitant certaines ventes de biens, prestations personnelles ou locations. Il ne concerne pas indistinctement toute application qui facture un abonnement pour ses propres services. La collecte des données nécessaires doit être anticipée avec le processus d’inscription des vendeurs. ^[56]

5. Encaisser l’argent destiné aux vendeurs peut relever des services de paiement

La différence entre recevoir le paiement de sa propre prestation et recevoir des fonds destinés à autrui est déterminante. Si l’exploitant collecte sur un compte à son nom des sommes qu’il doit reverser à des vendeurs ou prestataires, il peut intervenir dans l’exécution de services de paiement réglementés. ^[57]

Il ne suffit pas de prévoir dans les CGU que les fonds sont « détenus temporairement » ou que la plateforme agit comme « intermédiaire de confiance ». La qualification dépend du circuit financier et des fonctions effectivement accomplies. Certaines exceptions existent, mais elles sont conditionnelles ; elles ne couvrent pas par principe toutes les marketplaces.

Le recours à un prestataire de services de paiement autorisé est souvent une composante du montage. Il faut cependant comprendre qui détient les fonds, qui contracte avec les vendeurs et quelles fonctions restent exercées par la plateforme. L’intégration technique d’un bouton de paiement ne suffit pas à démontrer que tout le schéma est conforme. ^[57]

Avant de coder le partage d’une somme entre plusieurs bénéficiaires, il est donc préférable de qualifier le circuit juridique. Une modification tardive peut obliger à refaire l’inscription des vendeurs, les contrats et une partie du fonctionnement comptable.

6. Une fonction d’intelligence artificielle doit être examinée selon son usage et le rôle de l’éditeur

L’intégration d’un modèle tiers ne produit pas une qualification uniforme. Le créateur peut utiliser un système, l’intégrer dans un autre, le proposer sous son nom ou le modifier. Ses obligations dépendent notamment de son rôle dans la chaîne et de la finalité de l’application.

Une aide à la rédaction, un assistant conversationnel et un outil utilisé pour sélectionner des candidats à l’emploi ne présentent pas le même profil réglementaire. Les pratiques interdites doivent être exclues et les exigences de transparence examinées. Pour certains systèmes interactifs, l’utilisateur doit être informé qu’il échange avec une IA, sous réserve des exceptions prévues. ^[58]

Le calendrier doit être actualisé. Les obligations de transparence de l’article 50 sont, en principe, applicables depuis le 2 août 2026. Le règlement 2026/1744, dit Digital Omnibus sur l’IA, a modifié plusieurs échéances : les dispositions concernées relatives aux systèmes à haut risque de l’annexe III s’appliqueront à partir du 2 décembre 2027, celles visant les systèmes relevant de l’annexe I à partir du 2 août 2028. Une transition particulière existe pour le marquage de certains contenus synthétiques par des systèmes déjà commercialisés avant août 2026. ^[59]

Ces reports ne suppriment pas les règles déjà applicables : données personnelles, information contractuelle, non-discrimination, pratiques interdites et autres obligations pertinentes. Un outil de notation ne devient pas juridiquement neutre au motif qu’une partie de l’AI Act n’a pas encore atteint sa date d’application.

Il faut également vérifier ce qui est envoyé au fournisseur du modèle, les durées de conservation, les éventuelles réutilisations et les garanties contractuelles. Le traitement d’une demande de client par une IA peut introduire un nouveau prestataire et de nouveaux transferts de données dans un service existant.

7. Le Cyber Resilience Act ajoute un calendrier propre à certains logiciels

Le règlement n° 2024/2847, dit Cyber Resilience Act, vise des produits comportant des éléments numériques. Un logiciel mis sur le marché dans le cadre d’une activité commerciale peut entrer dans ce champ. Certaines solutions de traitement de données à distance nécessaires au fonctionnement du produit y sont également intégrées. Le seul fait de qualifier une offre de SaaS ou de service cloud ne permet pas de trancher sans examiner l’architecture et le périmètre du texte. ^[60]

L’application générale du règlement est prévue au 11 décembre 2027, mais certaines obligations de signalement sont applicables depuis le 11 septembre 2026. Elles concernent notamment, pour les fabricants visés, les vulnérabilités activement exploitées et les incidents graves affectant la sécurité du produit. Une alerte précoce dans les vingt-quatre heures et une notification dans les soixante-douze heures font partie du dispositif, selon les conditions prévues. ^[61] [62]

Une violation de données au sens du RGPD et un événement à signaler au titre du CRA ne sont donc pas des notions interchangeables. Le même incident peut appeler plusieurs analyses. Il faut identifier les autorités, destinataires et délais pertinents au lieu de supposer qu’un unique courrier règle toutes les obligations.

L’anticipation du CRA conduit aussi à organiser la gestion des vulnérabilités, les composants, les mises à jour et la documentation. Les obligations générales de conformité ne doivent pas être présentées comme toutes applicables en octobre 2026 ; le calendrier ne dispense cependant pas de préparer les produits qui seront exploités après son application complète.

Pour certains acteurs numériques, une analyse supplémentaire du cadre NIS2 peut être nécessaire, notamment selon la catégorie de service, la taille et les règles de mise en œuvre applicables. La simple existence d’une application ne rend pas toute entreprise automatiquement assujettie à ce dispositif. ^[63]

8. Le Data Act peut concerner les objets connectés et la sortie de certains services cloud

Le règlement n° 2023/2854 sur les données, ou Data Act, est applicable depuis le 12 septembre 2025, avec des calendriers particuliers pour certaines dispositions. Une application liée à un objet connecté peut devoir prendre en compte les droits d’accès et d’utilisation des données générées par ce produit. ^[64]

Les dispositions relatives au changement de fournisseur de services de traitement de données peuvent également concerner certaines offres cloud et SaaS. La possibilité d’exporter les données, les interfaces et les conditions de sortie doivent être examinées dans le périmètre du règlement. À partir du 12 janvier 2027, les frais de changement de fournisseur visés par le texte doivent être supprimés. Cette règle ne se confond pas avec une interdiction générale de tout prix d’abonnement ou de toute indemnité de rupture anticipée. ^[65]

Pour un créateur, la conséquence est double : il peut bénéficier de ces règles dans ses rapports avec ses propres fournisseurs et devoir les appliquer à certains clients de son application. Il faut donc analyser les deux côtés de la relation, sans traiter la réversibilité comme une simple faveur commerciale.

9. Santé, finance et autres secteurs réglementés exigent une qualification avant le développement

Une application qui poursuit une finalité de diagnostic, de prévention, de surveillance ou de traitement peut relever du régime des dispositifs médicaux. La qualification dépend notamment de la destination donnée au logiciel et de ses fonctions. Une simple application de bien-être n’est pas automatiquement un dispositif médical ; une application qui calcule une décision thérapeutique ne peut pas éviter l’analyse par une seule mention de prudence. ^[66]

Les données de santé appellent une analyse supplémentaire au titre du RGPD. L’article 9 impose de vérifier une exception à l’interdiction de principe de traiter certaines catégories de données, en plus de la base légale pertinente. Le fait de disposer d’un consentement général aux CGU ne règle pas ce point. ^[14]

L’hébergement de données de santé peut également nécessiter le recours à un hébergeur certifié HDS lorsque les conditions légales sont réunies. La question dépend notamment de l’origine des données, de leur collecte dans le cadre d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, ainsi que de l’hébergement pour le compte des personnes ou organismes visés. Toute donnée liée au bien-être n’entraîne donc pas mécaniquement la même obligation. ^[67]

Dans la finance, il faut distinguer l’information générale, le conseil, les opérations sur instruments financiers, les paiements et les services sur crypto-actifs. Les statuts et autorités compétentes diffèrent. Pour les services sur crypto-actifs concernés, la fin de la période transitoire française MiCA au 1er juillet 2026 doit notamment être prise en compte ; l’ancien statut de PSAN ne suffit plus à lui seul pour poursuivre les services soumis au nouveau régime. ^[68]

Les jeux d’argent, les activités immobilières, le transport, la vente de produits réglementés et certaines prestations de conseil appellent également des vérifications propres. Il faut examiner la prestation fournie, les actes accomplis et les rémunérations perçues. Une application qui facilite l’exercice d’une activité réglementée ne doit pas être confondue avec une application qui exerce elle-même cette activité.

Cette qualification a un effet immédiat sur le calendrier et le budget. Un projet qui nécessite une autorisation, une certification ou une évaluation particulière ne doit pas être présenté au développeur comme un simple formulaire de mise en relation à livrer en quelques semaines.

10. Les clients professionnels et les utilisateurs étrangers ne sont pas hors du droit

Une application exclusivement professionnelle n’est pas soumise de la même façon aux règles protégeant les consommateurs. Elle reste cependant concernée par le droit des contrats, les données personnelles, les droits de propriété intellectuelle et les réglementations qui dépendent de ses fonctions.

Lorsque des CGV ont été établies, le Code de commerce impose notamment leur communication à l’acheteur professionnel qui en fait la demande, dans les conditions du texte. Les conditions de règlement et les obligations commerciales pertinentes doivent être adaptées à cette relation. ^[69]

Un contrat professionnel doit aussi préciser les niveaux de service, la disponibilité, l’assistance, la réversibilité, les sauvegardes et la répartition des obligations. Une limitation de responsabilité peut être discutée, mais l’article 1170 du Code civil empêche notamment une clause de priver de sa substance l’obligation essentielle. Les autres règles applicables aux déséquilibres contractuels doivent également être examinées. ^[70]

À l’international, choisir le droit français dans les CGU ne suffit pas à écarter toute protection étrangère. L’article 6 du règlement Rome I préserve, sous ses conditions, les dispositions impératives protégeant le consommateur de son pays de résidence habituelle lorsque l’activité est exercée ou dirigée vers ce pays. Le simple accès mondial à un site ne doit pas être confondu avec une activité dirigée vers tous les États. ^[71]

La langue, les campagnes publicitaires, les territoires de distribution, la clientèle ciblée et la manière de présenter l’offre doivent être examinés ensemble. Une version italienne commercialisée auprès de particuliers résidant en Italie appelle ainsi davantage qu’une traduction littérale des CGV françaises. La compétence judiciaire est une question supplémentaire, distincte du choix de la loi applicable.

11. L’arrêt du service et les litiges doivent être anticipés pendant que l’application fonctionne

Une application peut être retirée d’un store, perdre un prestataire, changer de propriétaire ou cesser son activité. Ces événements ne font pas disparaître automatiquement les contrats, les droits des utilisateurs ou les obligations de conservation et d’effacement.

Il faut prévoir le traitement des abonnements en cours, l’information des clients, les remboursements éventuellement dus et la restitution ou la récupération des contenus. Dans certains cas de résolution d’un contrat de service numérique, le Code de la consommation organise la récupération de contenus fournis ou créés par le consommateur, avec des exceptions. Ce droit ne se confond pas avec la portabilité des données personnelles du RGPD. ^[72]

La fermeture doit également être coordonnée avec les prestataires : arrêter les prélèvements, supprimer les accès inutiles, traiter les données conservées et maintenir un moyen de contact approprié. Fermer le serveur avant d’avoir organisé ces opérations peut rendre leur exécution beaucoup plus difficile.

En cas de litige, la preuve porte souvent sur une version déterminée de l’application : quelles fonctions étaient annoncées, quel prix était affiché, quelles conditions avaient été acceptées, quel message avait été adressé et à quelle date une demande avait été reçue. Les écrans et documents doivent donc être versionnés et conservés de manière proportionnée.

La responsabilité peut être recherchée sur plusieurs fondements : inexécution contractuelle, défaut de conformité, atteinte à des droits de tiers, traitement illicite ou manquement à une réglementation particulière. Les conséquences ne se réduisent pas à une amende administrative. Elles peuvent inclure l’arrêt d’un traitement, une mise en conformité, un remboursement, des dommages-intérêts ou une interruption de distribution, selon le régime et les faits.

Une assurance adaptée peut contribuer à couvrir certains risques. Son périmètre doit être lu : erreur de développement, atteinte aux données, interruption, sous-traitance, territoires et exclusions ne sont pas nécessairement couverts de la même façon. Elle ne remplace pas les obligations de l’éditeur.

12. Quatre exemples montrent pourquoi un modèle de documents unique ne suffit pas

Une application gratuite de promenades dans les Monts d’Or. Si elle fournit des itinéraires sans compte et conserve les préférences uniquement sur le téléphone, le périmètre des traitements peut être limité. L’ajout d’un historique de déplacements envoyé à une régie publicitaire change l’analyse. L’ajout de photographies et de commentaires publiés par les promeneurs introduit encore une question d’hébergement et de modération. Le même nom d’application peut donc recouvrir trois configurations juridiques.

Une application de réservation pour un commerce lyonnais. La seule réservation, l’encaissement d’un acompte et l’abonnement à un programme de fidélité ne produisent pas les mêmes effets. Il faut distinguer l’objet de chaque contrat, les conditions d’annulation et les éventuelles exceptions à la rétractation. Les messages de confirmation ne doivent pas être utilisés indistinctement comme des messages promotionnels.

Un logiciel professionnel de gestion documentaire. Le créateur peut agir comme sous-traitant pour les documents de ses clients et comme responsable pour sa facturation. Il doit savoir comment exporter les dossiers, traiter une demande de fin de contrat et empêcher un utilisateur d’accéder aux fichiers d’une autre entreprise. La solidité du contrat dépend ici de l’organisation réelle du service autant que de la rédaction des CGV.

Une plateforme mettant des particuliers en relation avec des prestataires. Il faut identifier qui réalise et vend la prestation, comment le prix est déterminé, qui détient les fonds et comment les contestations sont traitées. Les questions de DSA, de relations avec les professionnels, de paiement et de déclaration fiscale peuvent se cumuler. Le fait de prélever seulement une commission ne suffit pas à résoudre ces qualifications.

Ces exemples conduisent à une méthode commune : rattacher chaque fonction à une obligation, chaque obligation à un acteur et chaque engagement à une preuve de son exécution. C’est ce rapprochement qui permet de vérifier une application, plutôt que la présence isolée de quelques pages juridiques.

Avant la mise en ligne, vérifier les documents et les parcours ensemble

Le créateur doit disposer d’un dossier proportionné à son projet. Il comprend, selon les fonctions retenues :

• l’identification de l’exploitant et la qualification des activités, des utilisateurs et des territoires visés ;

• les droits sur le code, le nom et les contenus, ainsi que les contrats de développement, d’hébergement et de maintenance ;

• les informations légales et contractuelles, les documents relatifs aux données et les accords avec les prestataires ;

• les parcours de commande, de consentement, de rétractation, de résiliation et d’exercice des droits qui sont nécessaires ;

• les procédures de sécurité, de signalement, de traitement des réclamations et de sortie du service.

La vérification finale doit porter sur une version utilisable. Il faut essayer de refuser les traceurs, de retirer un consentement, de se rétracter, de résilier, d’exporter des données ou de signaler un contenu, selon les fonctions présentes. Lorsqu’un droit existe dans le texte mais ne peut pas être exercé dans le service, la conformité reste incomplète.

Le dossier juridique doit évoluer avec l’application. L’ajout d’un abonnement, d’une IA, d’une communauté, d’un nouveau pays de vente ou d’un composant publicitaire peut modifier les obligations. Ces décisions doivent être examinées avant leur déploiement, au même titre que leur coût technique et leur intérêt commercial.

L’intervention juridique est particulièrement utile lorsque le projet combine plusieurs rôles, plusieurs pays, des données sensibles ou des fonds appartenant à des tiers. Elle permet de traduire les règles applicables en contrats, en fonctions et en procédures que l’équipe peut effectivement mettre en œuvre.

Sources et références

1. CNIL, recommandations relatives aux applications mobiles et à la protection de la vie privée

2. CNIL, RGPD : comment bien identifier son rôle

3. Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, notamment articles 1-1 et 19

4. CJUE, 2 mai 2012, SAS Institute, C-406/10 : fonctionnalités et expression d’un programme

5. INPI, déposer une e-Soleau ou un entiercement

6. Code de la propriété intellectuelle, article L. 131-3 : transmission des droits d’auteur

7. Code de la propriété intellectuelle, article L. 113-9 : logiciels créés par des salariés

8. Apple, App Review : suppression des comptes, règle 5.1.1

9. Google Play, règles relatives à la suppression des comptes et des données

10. CNIL, identifier les données personnelles

11. CNIL, l’essentiel sur les bases légales

12. CNIL, la base légale du contrat

13. CNIL, la base légale de l’intérêt légitime

14. RGPD, chapitre II, articles 5 à 11 : principes, licéité, consentement et catégories particulières de données

15. RGPD, chapitre III, articles 12 à 23 : information et droits des personnes

16. CNIL, cookies et autres traceurs : questions-réponses et règles applicables

17. CNIL, applications mobiles : comment intégrer des SDK et respecter la vie privée des utilisateurs

18. CJUE, 1er octobre 2019, Planet49, C-673/17 : consentement aux cookies

19. CNIL, permissions des applications mobiles : recommandations pour respecter la vie privée

20. CNIL, sécurité des applications mobiles : conception et développement

21. CNIL, le registre des activités de traitement

22. CNIL, ce qu’il faut savoir sur l’analyse d’impact relative à la protection des données

23. CNIL, dans quels cas un délégué à la protection des données est obligatoire

24. CNIL, responsables de traitement : identifier et traiter les transferts de données hors UE

25. CNIL, loi Informatique et Libertés, notamment article 45 : consentement des mineurs

26. Conseil constitutionnel, décision n° 2026-911 DC du 14 août 2026 : protection des mineurs et réseaux sociaux

27. RGPD, chapitre IV, notamment articles 28, 32, 33 et 34 : sous-traitance, sécurité et violations de données

28. Conseil de l’Union européenne, position du 21 octobre 2026 sur le projet de simplification des règles de données, de confidentialité et de notification des incidents

29. Code de la consommation, chapitre relatif à certains contrats de fourniture de services, notamment article L. 224-25-2

30. Directive (UE) 2019/770 du 20 mai 2019 relative aux contrats de fourniture de contenus et de services numériques

31. Code civil, article 1119 : connaissance et acceptation des conditions générales

32. Code de la consommation, article L. 221-5 : information précontractuelle

33. CJUE, 7 avril 2022, Fuhrmann-2, C-249/21 : bouton de commande et obligation de paiement

34. Code de la consommation, article L. 221-18 : délai de rétractation des contrats à distance

35. Code de la consommation, article L. 221-28 : exceptions au droit de rétractation

36. Code de la consommation, article L. 221-21 : exercice de la rétractation et fonctionnalité en ligne

37. Code de la consommation, article D. 221-5 : fonctionnement de la rétractation en ligne

38. Code de la consommation, article L. 215-1-1 : résiliation par voie électronique

39. Code de la consommation, chapitre V, notamment article L. 215-1 : reconduction tacite des contrats

40. Code de la consommation, article L. 224-25-12 : garantie légale de conformité numérique

41. Code de la consommation, article L. 224-25-25 : mises à jour nécessaires à la conformité

42. Code de la consommation, article L. 224-25-26 : autres mises à jour du contenu ou service numérique

43. CNIL, prospection commerciale par courrier électronique, SMS, MMS et automate d’appel

44. Code de la consommation, dispositions générales relatives aux clauses abusives, notamment article L. 212-1

45. DGCCRF, la médiation de la consommation et la suppression de la plateforme européenne de règlement en ligne des litiges

46. DGCCRF, conformité des produits et services à la directive accessibilité

47. Directive (UE) 2019/882 du 17 avril 2019 relative à l’accessibilité, notamment articles 3 et 4

48. BOFiP, BOI-TVA-CHAMP-20-50-40-20 : définition des services fournis par voie électronique

49. DGFiP, guichet unique de TVA : opérations concernées et seuil de 10 000 euros

50. Règlement (UE) 2022/2065 du 19 octobre 2022, Digital Services Act

51. Commission européenne, réponse à la question parlementaire E-000228/2025 : fonctions mineures et accessoires au sens du DSA

52. LCEN, article 8-1 : contrôle des obligations des fournisseurs de services intermédiaires

53. Commission européenne, le Digital Services Act : mode d’emploi

54. Règlement (UE) 2019/1150 du 20 juin 2019, dit P2B : équité et transparence pour les entreprises utilisatrices

55. DGCCRF, sécurité générale des produits : obligations applicables depuis le 13 décembre 2024

56. DGFiP, revenus de plateformes collaboratives et dispositif DPI-DAC7

57. ACPR, encaissement de fonds pour le compte de tiers et services de paiement

58. Commission européenne, AI Act : champ, obligations et calendrier actualisé

59. Règlement (UE) 2026/1744 du 8 juillet 2026, mesures omnibus numérique sur l’IA

60. Règlement (UE) 2024/2847 du 23 octobre 2024, Cyber Resilience Act

61. Commission européenne, Cyber Resilience Act : obligations de signalement

62. Commission européenne, mise en œuvre et calendrier du Cyber Resilience Act

63. ANSSI, directive NIS2 : mon organisation est-elle concernée ?

64. Commission européenne, règlement sur les données — Data Act

65. Commission européenne, le règlement sur les données expliqué : accès aux données et changement de fournisseur

66. G_NIUS / Agence du numérique en santé, réglementation des dispositifs médicaux numériques

67. Agence du numérique en santé, champ de l’hébergement de données de santé à caractère personnel

68. AMF, fin de la période transitoire MiCA applicable aux PSAN au 1er juillet 2026

69. DGCCRF, conditions générales de vente : mentions et communication aux clients professionnels

70. Code civil, article 1170 : clause privant de sa substance l’obligation essentielle

71. Règlement (CE) n° 593/2008 du 17 juin 2008, Rome I, notamment article 6

72. Code de la consommation, garantie de conformité numérique, notamment article L. 224-25-22 sur les contenus après résolution