Avis clients en ligne : les obligations RGPD et consommation pour une TPE ou une PME
Publie le 08/10/2026 · Temps de lecture : 10 min
Un encart « avis clients » sur une fiche produit ou sur une fiche Google Business Profile n'est jamais neutre : c'est une collecte de donnees personnelles (nom, parfois photo, parfois email), une publication de contenu visible par tous, et souvent une prestation confiee a un prestataire externe (Google, Trustpilot, Avis Verifies). Chacune de ces trois etapes est encadree par un texte different : le RGPD pour la collecte et la conservation, le Code de la consommation pour la publication, et le droit de la sous-traitance pour la relation avec la plateforme. Beaucoup de TPE et de PME ne gerent que la partie visible (afficher les avis) sans avoir verifie les trois autres.
Cet article detaille ce que le RGPD et le Code de la consommation imposent reellement, du premier email de sollicitation jusqu'a la conservation des donnees associees a un avis publie.
Sommaire
- 1. Le cadre legal : RGPD et Code de la consommation
- 2. Collecter un avis : quelle base legale RGPD
- 3. Solliciter un avis par email : les regles a respecter
- 4. Publier les avis : ce qu'impose le decret de 2017
- 5. Avis faux ou achetes : les sanctions de la DGCCRF
- 6. Plateforme d'avis : un sous-traitant RGPD comme un autre
- 7. Droits des personnes sur un avis publie
- 8. Combien de temps conserver les avis et les donnees associees
- Questions frequentes
1. Le cadre legal : RGPD et Code de la consommation
Deux textes s'appliquent en parallele, sans se recouper entierement. Le RGPD protege les donnees personnelles presentes dans l'avis (le nom affiche, l'adresse email utilisee pour solliciter l'avis, l'identifiant du client dans votre systeme de vente) et impose une base legale, une information et une duree de conservation limitee. Le Code de la consommation, de son cote, encadre la fiabilite de l'avis en tant que contenu commercial : l'article L. 111-7-2 impose aux professionnels dont l'activite consiste, a titre principal ou accessoire, a collecter et diffuser des avis de consommateurs, d'informer clairement sur les modalites de controle appliquees aux avis publies, et de preciser les criteres de classement.
Ce cadre a ete precise par le decret n° 2017-1436 du 29 septembre 2017, qui impose notamment d'indiquer si les avis ont ete verifies, d'afficher la date de l'avis et de l'achat, et de ne pas supprimer un avis au seul motif qu'il est defavorable. La norme AFNOR NF Z74-501, revisee en 2021, n'a pas de valeur obligatoire mais sert de reference pour un grand nombre de plateformes d'avis certifiees qui s'y conforment volontairement.
2. Collecter un avis : quelle base legale RGPD
Recueillir un avis, c'est traiter au minimum le contenu du texte, le prenom ou pseudonyme affiche, et une reference permettant de vous assurer qu'il provient d'un veritable client (le decret de 2017 l'exige). L'article 6 du RGPD autorise ce traitement sur la base de l'interet legitime de l'entreprise a mesurer et a afficher la satisfaction de ses clients, a condition d'informer la personne et de ne pas porter une atteinte disproportionnee a ses droits. Rien n'impose de demander un consentement specifique pour laisser un avis : l'information prealable (ce que vous allez faire de son texte, ou il sera publie, qui le modere) suffit generalement, des lors qu'elle figure dans votre politique de confidentialite ou sur le formulaire de depot d'avis.
Le principe de minimisation (article 5 du RGPD) s'applique pleinement : un formulaire d'avis qui demande la date de naissance, l'adresse postale complete ou le numero de telephone du client, sans que ces informations servent a verifier l'achat, collecte davantage de donnees que necessaire.
3. Solliciter un avis par email : les regles a respecter
L'email automatique envoye quelques jours apres un achat (« Comment avez-vous trouve votre commande ? ») est une sollicitation commerciale au sens large, meme s'il ne vend rien directement. La CNIL applique ici le meme raisonnement que pour la prospection par email aux clients existants (voir notre article sur l'e-mailing et le RGPD) : il n'est pas necessaire de recueillir un opt-in prealable specifique tant que l'email concerne un produit ou service deja achete par ce client precis, et qu'un moyen simple de s'opposer a de futures sollicitations est propose. En revanche, demander un avis a un prospect qui n'a jamais commande, ou reutiliser une adresse email collectee pour un autre usage (newsletter, support technique), necessite un consentement specifique.
Un point de vigilance frequent : certains outils d'avis relancent automatiquement un client qui n'a pas repondu au premier email. Le nombre de relances doit rester raisonnable (une seule relance est la pratique generalement admise) et chaque message doit comporter un lien de desinscription fonctionnel, conformement a l'article L. 34-5 du Code des postes et des communications electroniques.
4. Publier les avis : ce qu'impose le decret de 2017
Pour toute entreprise dont la collecte et la diffusion d'avis constituent une activite, meme accessoire, le decret du 29 septembre 2017 impose d'afficher, a proximite des avis, une information claire et visible precisant : si les avis font l'objet d'un controle avant publication, selon quels criteres, et dans quel delai maximal un avis est mis en ligne apres son depot. Si les avis sont presentes comme « verifies », l'entreprise doit etre en mesure de justifier la methode de verification (preuve d'achat, email confirme, numero de commande).
Le decret interdit explicitement de publier un avis sans verifier qu'il provient d'un consommateur ayant reellement vecu l'experience d'achat ou d'utilisation concernee, et interdit de retirer un avis au seul motif qu'il est negatif. Un avis peut neanmoins etre retire ou non publie s'il est manifestement hors sujet, injurieux, discriminatoire, ou s'il revele des donnees personnelles d'un tiers.
5. Avis faux ou achetes : les sanctions de la DGCCRF
La redaction de faux avis, l'achat d'avis positifs ou la suppression selective des avis defavorables relevent de la pratique commerciale trompeuse definie a l'article L. 121-1 du Code de la consommation. La sanction prevue a l'article L. 132-2 est de deux ans d'emprisonnement et 300 000 euros d'amende pour une personne physique ; pour une personne morale, ce montant peut etre porte, de maniere proportionnee aux avantages tires du manquement, a 10 % du chiffre d'affaires moyen annuel. La DGCCRF realise regulierement des controles cibles sur ce sujet, notamment via des enquetes « mystere » auprès de plateformes d'avis et de leurs clients professionnels, TPE et PME comprises.
Au-dela du risque de sanction, le signal envoye aux clients est contre-productif : une note affichee a 5/5 sans aucun avis negatif, sur un volume d'avis important, est generalement percue comme suspecte par les consommateurs avertis et par les plateformes elles-memes, qui disposent de leurs propres outils de detection de faux avis.
6. Plateforme d'avis : un sous-traitant RGPD comme un autre
Lorsque vous confiez la collecte et l'affichage des avis a un prestataire externe (Trustpilot, Avis Verifies, Yotpo, ou le module d'avis integre a votre plateforme e-commerce), ce prestataire traite des donnees personnelles pour votre compte : il est votre sous-traitant au sens de l'article 28 du RGPD, exactement comme un hebergeur ou un prestataire d'emailing. Un contrat ou des conditions generales integrant les clauses obligatoires (objet et duree du traitement, nature des donnees, obligations de securite, sort des donnees en fin de contrat) doit exister, meme si la relation commerciale se limite a un abonnement en ligne a un outil SaaS.
Avant de choisir un outil d'avis, verifiez ou sont stockees les donnees : certains outils americains transferent les donnees des avis (et donc des donnees personnelles de vos clients) hors de l'Union europeenne, ce qui declenche les obligations de garanties appropriees detaillees dans notre article sur les transferts de donnees hors UE.
7. Droits des personnes sur un avis publie
Un client qui a laisse un avis conserve ses droits RGPD sur les donnees personnelles associees : il peut demander la rectification de son prenom affiche, s'opposer a la republication de son avis sur un autre support que celui initialement prevu, ou demander l'effacement de son compte et des donnees qui ne sont pas strictement necessaires au maintien de l'integrite de l'avis. Le texte de l'avis lui-meme n'est pas automatiquement efface sur simple demande : s'il est anonymise (suppression du prenom, de la date precise, de tout identifiant), l'entreprise peut generalement le conserver au nom de l'integrite de son historique d'avis, a condition de pouvoir justifier cet equilibre si la personne le conteste.
En pratique, la demande la plus frequente est la suppression d'un avis par son auteur lui-meme, qui souhaite retirer un commentaire publie « a chaud ». La plupart des plateformes d'avis permettent cette suppression directement par l'auteur ; a defaut, l'entreprise doit relayer la demande auprès de son sous-traitant dans un delai raisonnable.
8. Combien de temps conserver les avis et les donnees associees
Le RGPD n'impose pas de duree fixe pour la conservation des avis eux-memes : un avis anonymise peut rester affiche durablement, au meme titre qu'un contenu editorial. La duree de conservation limitee s'applique en revanche aux donnees personnelles identifiantes qui lui sont rattachees (email de sollicitation, adresse IP de depot, lien avec la commande) : ces donnees doivent etre conservees seulement le temps necessaire a la verification de l'authenticite de l'avis et au traitement d'un eventuel litige, puis supprimees ou dissociees de l'avis publie. Notre article sur les durees de conservation des donnees clients detaille le raisonnement general applicable a chaque categorie de donnees.
Documenter cette regle (quelle donnee est conservee, combien de temps, pourquoi) dans votre registre des traitements reste la meilleure protection en cas de controle : c'est la demande la plus frequente de la CNIL sur ce type de traitement, bien avant la question de la note moyenne affichee.
Documentez vos traitements RGPD en un seul endroit
ConformiteFacile centralise votre registre des traitements, vos contrats sous-traitants et les preuves de consentement de vos clients, pour repondre sereinement a un controle.
Mettre mon site en conformiteQuestions frequentes
Peut-on supprimer un avis client simplement parce qu'il est negatif ?
Non. Un avis negatif mais sincere, pertinent et respectueux ne peut pas etre supprime au seul motif qu'il nuit a l'image de l'entreprise : le decret du 29 septembre 2017 impose de publier les avis negatifs comme les avis positifs. Seuls un avis manifestement hors sujet, diffamatoire, injurieux ou ne provenant pas d'un veritable client peuvent etre retires ou signales a la plateforme.
Faut-il le consentement du client pour lui envoyer un email de sollicitation d'avis ?
En general non, si le client a recemment effectue un achat chez vous : la CNIL applique a ce type d'email la meme exception que pour la prospection commerciale aux clients existants, a condition que l'email soit en rapport direct avec cet achat et qu'un lien de desinscription simple soit propose. En revanche, solliciter un avis auprès d'un prospect ou d'une personne qui n'a jamais ete client necessite son consentement prealable.
Une entreprise peut-elle repondre publiquement a un avis negatif ?
Oui, et c'est meme recommande par les plateformes comme Google Business Profile ou Trustpilot. La reponse doit rester factuelle et proportionnee : elle ne doit pas devoiler de donnees personnelles du client (numero de commande complet, adresse, details d'un litige) qui ne figuraient pas deja dans l'avis lui-meme, sous peine de constituer une divulgation de donnees non necessaire au regard du RGPD.
Acheter de faux avis ou des avis positifs est-il risque juridiquement ?
Oui, fortement. La publication d'avis fictifs ou la suppression selective des avis defavorables constitue une pratique commerciale trompeuse au sens du Code de la consommation, passible de deux ans d'emprisonnement et de 300 000 euros d'amende pour une personne physique, ce montant pouvant etre porte a 10 % du chiffre d'affaires moyen annuel pour une entreprise. La DGCCRF controle regulierement ce type de pratique, y compris chez des petites structures.
A lire aussi
Controle CNIL : comment se deroule une inspection et quelles sanctions pour une TPE ou PME
Lire
Droit a la portabilite des donnees : ce que le RGPD permet reellement de recuperer
Lire