GPSR : les obligations des vendeurs en ligne en 2026

Sur les sept marketplaces étrangères les plus fréquentées par les consommateurs français, la DGCCRF a trouvé que 46 % des produits analysés étaient non conformes et dangereux — plus de 100 000 produits retirés du marché. Depuis le 13 décembre 2024, le règlement GPSR encadre cette matière, et la plupart des vendeurs français que je rencontre pensent qu’il s’agit d’une affaire d’étiquetage. C’est une erreur d’appréciation coûteuse : le texte redistribue les responsabilités le long de la chaîne, et il peut faire de vous un « fabricant » sans que vous ayez jamais rien fabriqué.

Ce que le GPSR régule réellement

Le règlement (UE) 2023/988 du 10 mai 2023 relatif à la sécurité générale des produits — GPSR en anglais, RSGP en français — est applicable depuis le 13 décembre 2024. Il remplace la directive 2001/95/CE, qui datait d’avant l’essor du commerce en ligne et des objets connectés.

Sa logique est celle d’un filet de sécurité. Il s’applique aux produits de consommation non alimentaires pour lesquels il n’existe pas de réglementation sectorielle européenne poursuivant le même objectif. Lorsqu’une réglementation sectorielle existe (jouets, machines, équipements électriques…), le GPSR ne couvre que les aspects et catégories de risques que celle-ci ne traite pas. L’exemple canonique donné par les autorités de surveillance : la surchauffe et l’explosion de la batterie d’une cigarette électronique — un risque qui n’était couvert par aucun texte sectoriel.

Le champ matériel est large. Le règlement s’applique aux produits neufs, d’occasion, réparés ou reconditionnés (art. 2). Il ne s’applique pas aux produits devant être réparés ou reconditionnés avant utilisation, à condition qu’ils soient clairement marqués comme tels — précision utile pour les plateformes de seconde main.

Vendre en ligne, c’est « mettre à disposition sur le marché »

C’est le point de départ que beaucoup manquent. Aux termes de l’article 4, les produits proposés à la vente en ligne ou par tout autre moyen de vente à distance sont réputés mis à disposition sur le marché dès lors que l’offre cible des consommateurs dans l’Union. Et une offre est considérée comme ciblant l’Union dès lors que l’opérateur oriente ses activités, par quelque moyen que ce soit, vers un ou plusieurs États membres (considérants 20 et 21).

Autrement dit : un site basé hors UE qui affiche des prix en euros, propose la livraison en France et rédige ses fiches en français entre dans le champ du règlement. Il n’y a pas d’échappatoire territoriale.

Le piège n° 1 : vous êtes peut-être « fabricant » sans le savoir

L’article 13 du GPSR est, de loin, la disposition la plus sous-estimée par les e-commerçants français. Il prévoit deux hypothèses dans lesquelles les obligations du fabricant — les plus lourdes du règlement — basculent sur une autre personne.

Première hypothèse : la marque propre. Toute personne physique ou morale qui met un produit sur le marché sous son propre nom ou sa propre marque est considérée comme fabricant et en assume toutes les obligations. C’est le cas classique de la marque de distributeur, du private label et du white label. Vous achetez un produit fini au fabricant A, vous le revendez sous la marque B qui est la vôtre : vous êtes fabricant au sens du GPSR.

Seconde hypothèse : la modification substantielle. Toute personne qui modifie substantiellement un produit devient fabricant, pour la partie modifiée ou pour l’intégralité du produit selon l’incidence de la modification sur la sécurité. Teindre un t-shirt acheté en B2B, assembler un kit, reconditionner un appareil électronique en changeant la batterie : autant d’opérations qui peuvent déclencher l’article 13.

Ce basculement change tout. Le fabricant doit réaliser une analyse interne des risques, constituer et conserver une documentation technique, garantir la traçabilité, tenir un registre interne des réclamations et déclarer aux autorités. Un distributeur, lui, a des obligations de vigilance nettement plus légères. Dans mon expérience de conseil, c’est le premier point à trancher lors d’un audit GPSR — avant même de regarder les fiches produits.

Notez d’ailleurs que l’article 5 étend l’obligation générale de sécurité à tous les opérateurs économiques : « Les opérateurs économiques ne mettent sur le marché ou ne mettent à disposition sur le marché que des produits sûrs. » Sous l’ancienne directive, cette obligation ne pesait que sur les producteurs.

Les mentions obligatoires de vos fiches produits (art. 19)

C’est la partie visible du GPSR, celle qui a déclenché en 2024 les vagues de désindexation de vendeurs sur Amazon et Etsy. Ces mentions s’ajoutent — sans s’y substituer — aux informations précontractuelles obligatoires de la vente en ligne. L’article 19 impose que toute offre de vente à distance indique, au moins et de manière claire et visible, quatre blocs d’information :

Mention	Contenu attendu
Coordonnées du fabricant	Nom, raison sociale ou marque déposée, adresse postale et adresse électronique
Personne responsable dans l’UE	Nom et coordonnées, obligatoire lorsque le fabricant est établi hors de l’Union
Identification du produit	Type, numéro de lot ou de série, autres identifiants, et une image du produit
Avertissements et informations de sécurité	Dans la ou les langues de l’État membre où le produit est proposé

Deux erreurs récurrentes méritent d’être signalées.

L’erreur du QR code. Renvoyer ces informations derrière un QR code ou un lien « en savoir plus » ne satisfait pas l’exigence de l’article 19. L’information doit être accessible sur l’offre elle-même, avant l’achat. L’article 21 autorise en revanche à compléter ces mentions par une mise à disposition en format numérique.

L’erreur du marquage CE. Apposer un marquage CE sur un produit relevant uniquement du GPSR reste interdit. Le marquage CE atteste de la conformité à une législation d’harmonisation sectorielle ; l’appliquer hors de ce cadre est trompeur. J’ai vu plusieurs vendeurs ajouter un logo CE « pour rassurer » après la lecture d’un guide GPSR mal écrit : c’est un risque de sanction, pas une précaution.

La personne responsable dans l’UE (art. 16)

L’article 16 fait de la désignation d’une personne responsable établie dans l’Union une condition de mise sur le marché, applicable à tous les produits entrant dans le champ du règlement. Il complète l’article 4 du règlement (UE) 2019/1020 sur la surveillance du marché, qui ne visait que certaines catégories de produits.

Le règlement ne définit pas cette personne : il s’agit d’un opérateur économique — fabricant établi dans l’UE, importateur, mandataire ou prestataire de services d’exécution des commandes — qui accepte contractuellement d’accomplir une liste de tâches : vérifier que la documentation technique et les documents de conformité existent et les tenir à disposition des autorités, vérifier que le produit satisfait aux exigences de traçabilité et d’information de sécurité, informer les autorités en cas de risque, coopérer avec elles et veiller à ce que les mesures correctives soient prises.

Ses coordonnées doivent figurer sur le produit, son emballage, le colis ou un document d’accompagnement — et, en vente à distance, sur l’offre elle-même. C’est ce point qui a rendu impraticable, pour beaucoup de fabricants asiatiques, la vente directe aux consommateurs européens sans intermédiaire établi dans l’Union.

Ce que le GPSR impose en interne

Les obligations documentaires du GPSR ne se voient pas sur le site : elles se voient lors d’un contrôle DGCCRF. Trois articles structurent ce volet.

Article 9 — les fabricants. Garantir la sécurité dès la conception, réaliser une analyse interne des risques et rédiger une documentation technique conservée dix ans, mettre en place des procédures pour la production en série, apposer les informations de traçabilité et ses coordonnées, fournir instructions et informations de sécurité (sauf produits pour lesquels elles sont manifestement inutiles : un cahier, une fourchette, une paire de bottes). Le fabricant doit aussi mettre des canaux de communication à disposition du public, examiner les réclamations et tenir un registre interne des plaintes, des accidents, des rappels et des mesures correctives.

Article 14 — les processus internes. Tous les opérateurs économiques doivent disposer de processus internes de sécurité des produits leur permettant de se conformer au règlement. C’est l’équivalent, en droit de la consommation, de l’obligation d’accountability que le RGPD impose à l’article 5(2). Une politique écrite, des rôles identifiés, une procédure de rappel testée.

Article 15 — la traçabilité et la coopération. Sur demande d’une autorité, l’opérateur doit fournir une description complète du risque, des réclamations liées, des accidents connus et des mesures prises. Il doit surtout être capable d’identifier :

Information de traçabilité	Durée de mise à disposition
Liste des opérateurs qui lui ont fourni le produit, une pièce, un composant ou un logiciel intégré	10 ans
Liste des opérateurs à qui il a fourni le produit	6 ans
Documentation technique (fabricant, importateur)	10 ans

Retenez ces durées : nous verrons plus bas qu’elles entrent en tension directe avec les politiques de purge RGPD de la plupart des e-commerçants.

Le critère de sécurité qui vise les produits connectés (art. 6)

L’article 6 énumère les éléments d’évaluation de la sécurité d’un produit. Aux critères classiques — caractéristiques, présentation, étiquetage, catégories de consommateurs, apparence — il ajoute deux entrées entièrement nouvelles :

• les caractéristiques de cybersécurité du produit ;
• les fonctionnalités évolutives, d’apprentissage et prédictives du produit.

C’est une nouveauté considérable. Elle signifie qu’une enceinte connectée dont le firmware peut être compromis à distance, ou un jouet doté d’un assistant conversationnel dont le comportement évolue après la vente, peuvent être qualifiés de produits dangereux au sens du droit de la consommation — indépendamment de toute atteinte physique constatée.

Ce critère fait le pont avec deux autres textes du paysage réglementaire : le Cyber Resilience Act, qui impose des exigences de cybersécurité par conception aux produits comportant des éléments numériques, et l’AI Act pour les systèmes intégrant de l’apprentissage. Un même défaut peut désormais déclencher trois régimes de conformité distincts. Traiter le GPSR isolément, comme un sujet d’étiquetage confié au service logistique, est une organisation qui ne tient plus.

Places de marché : le régime spécifique de l’article 22

Le GPSR consacre un chapitre entier aux fournisseurs de places de marché en ligne. Attention à la qualification : le fournisseur de place de marché n’est pas un opérateur économique au sens du règlement, mais il est soumis à des obligations propres, listées à l’article 22, paragraphes 1 à 12. Elles s’ajoutent — et ne se substituent pas — à celles du règlement sur les services numériques (DSA) sur les contenus illicites.

Les points opérationnels à retenir :

1. Point de contact unique pour communiquer avec les consommateurs et avec les autorités de surveillance (art. 22 §1 et §2), et enregistrement sur le portail Safety Gate de la Commission avec les coordonnées de ce point de contact.
2. Deux jours ouvrables pour retirer une offre, en rendre l’accès impossible ou afficher un avertissement explicite, à compter de la réception d’une injonction de l’autorité de surveillance (art. 22 §4).
3. Action de sa propre initiative lorsque le fournisseur reçoit des informations pertinentes via le portail Safety Gate ; il en informe alors l’autorité qui a émis la notification (art. 22 §6).
4. Coopération avec les autorités et les opérateurs économiques pour l’efficacité des procédures de rappel (art. 22 §12).

Si vous exploitez une place de marché, même B2B ou de niche, ces obligations se cumulent avec celles que j’ai détaillées dans le guide des CGV de marketplace. Le régime GPSR est notamment celui qui justifie de faire remonter au vendeur tiers, par clause contractuelle, l’obligation de fournir les mentions de l’article 19 — et de suspendre l’offre à défaut.

La procédure de rappel : ce qui a changé

Déclarer l’accident (art. 20)

Lorsqu’un opérateur économique a connaissance d’un accident lié à la sécurité d’un de ses produits, il le notifie via le Safety Business Gateway à l’autorité de l’État membre du lieu de l’accident. Sont visés « les cas liés à l’utilisation d’un produit qui ont entraîné la mort d’une personne ou des effets néfastes graves sur sa santé et sa sécurité, permanents ou temporaires, y compris des blessures, d’autres dommages corporels, des maladies et des effets chroniques sur la santé ».

Le Safety Business Gateway devient la voie obligatoire de signalement des produits dangereux aux autorités. En France, la DGCCRF traite ces signalements en parallèle de ceux issus de SignalConso, des alertes du réseau européen Rapex et de ses propres contrôles, et publie les rappels sur RappelConso — sur lequel les professionnels disposent d’une interface dédiée.

Informer les consommateurs (art. 35 et 36)

En cas de rappel ou d’avertissement de sécurité, l’opérateur doit adresser une notification immédiate et directe à tous les consommateurs concernés identifiables. Lorsque tous les consommateurs ne peuvent pas être identifiés, il diffuse largement un avis de rappel.

Le contenu de cet avis est encadré. Il doit être aisément compréhensible, disponible dans la ou les langues des États membres concernés, porter le titre « Rappel de produit pour des raisons de sécurité » et comporter une description claire du produit, du danger associé (avec des termes à éviter, qui minimiseraient l’urgence), des mesures à prendre, des recours offerts, ainsi qu’un numéro gratuit ou un service interactif en ligne. Le modèle a été établi par le règlement d’exécution (UE) 2024/1435 du 24 mai 2024 (rectifié le 24 juillet 2024). La Commission met à disposition une version pré-remplissable, accessible aux personnes en situation de handicap : son usage n’est pas obligatoire, mais elle contient l’intégralité des mentions requises et constitue un point de départ raisonnable.

Indemniser (art. 37)

L’article 37 impose à l’opérateur responsable du rappel d’offrir un recours efficace, gratuit et rapide, et de proposer au moins deux des trois options suivantes : réparation, remplacement, remboursement. Une seule option suffit si les autres sont impossibles ou d’un coût disproportionné. Et le consommateur conserve dans tous les cas un droit au remboursement si la réparation ou le remplacement n’est pas effectué dans un délai raisonnable.

Attention à l’articulation : ce recours GPSR est autonome. Il s’ajoute à la garantie légale de conformité et ne se confond pas avec votre politique de remboursement commerciale. Vos CGV e-commerce doivent traiter ces régimes séparément, sous peine de créer une clause trompeuse sur l’étendue réelle des droits du consommateur.

GPSR et RGPD : le point que presque tout le monde rate

C’est ici que le sujet devient intéressant pour un responsable de traitement, et c’est ici que les guides GPSR disponibles en français s’arrêtent. Le règlement sécurité des produits crée des obligations qui portent sur des données personnelles — et il le fait dans un sens inverse au réflexe habituel de minimisation.

1. Vous devez utiliser la base clients que vous détenez

L’article 35 impose de notifier directement les consommateurs concernés identifiables. Concrètement : si vous disposez d’un système d’enregistrement de produit ou d’un programme de fidélité qui vous permet de savoir qui a acheté le lot rappelé, vous devez vous en servir. Ne pas exploiter une donnée dont vous disposez n’est pas une position de prudence RGPD, c’est un manquement au GPSR.

La base légale du traitement est alors l’article 6(1)© du RGPD — le respect d’une obligation légale à laquelle le responsable de traitement est soumis. Ni le consentement, ni l’intérêt légitime : une obligation légale, au sens du droit de l’Union. Le choix de la base légale n’a rien de théorique ici, puisqu’il détermine les droits du consommateur : le droit d’opposition de l’article 21 ne s’applique qu’aux traitements fondés sur l’article 6(1)(e) ou 6(1)(f), et non à un traitement fondé sur l’article 6(1)©.

Sur le point de la réutilisation : le rappel constitue une finalité distincte de celle pour laquelle les données de fidélité ont été collectées. Mais le considérant 50 du RGPD écarte le test de compatibilité de l’article 6(4) lorsque le traitement ultérieur repose sur une disposition du droit de l’Union constituant une mesure nécessaire et proportionnée à la sauvegarde d’un objectif d’intérêt public. Le GPSR entre dans cette catégorie. Encore faut-il l’avoir écrit dans votre registre des traitements et dans votre politique de confidentialité — ce qui n’est presque jamais le cas.

2. Vos durées de conservation ne tiennent plus

C’est le conflit le plus fréquent que j’observe. La politique de conservation type d’un e-commerçant purge les données clients trois ans après la dernière commande, conformément aux recommandations de la CNIL en matière de prospection. Or le GPSR impose de pouvoir présenter pendant six ans la liste des opérateurs à qui le produit a été fourni, et pendant dix ans la documentation technique et la liste des fournisseurs.

Ces durées visent d’abord des données B2B, mais elles emportent des conséquences directes sur la conservation des données de commande, et elles justifient une durée plus longue pour les données strictement nécessaires à la traçabilité et au rappel. La bonne pratique consiste à distinguer, dans votre politique de durée de conservation, une base active commerciale (purge à trois ans) et un archivage intermédiaire « sécurité produit » à accès restreint, aligné sur les durées de l’article 15 du GPSR. Deux finalités, deux durées, deux niveaux d’habilitation.

3. Les coordonnées « sécurité » ne sont pas des coordonnées marketing

Le GPSR envisage explicitement que le consommateur puisse fournir d’autres coordonnées de contact aux fins de sécurité. Si vous ouvrez ce canal — un formulaire d’enregistrement de produit, par exemple —, ces coordonnées sont collectées pour une finalité déterminée. Les basculer dans votre outil d’emailing constitue un détournement de finalité, et un manquement à l’obligation d’information de l’article 13 du RGPD. Prévoyez une mention d’information dédiée, un flux technique séparé, et une interdiction explicite d’export vers la base marketing. C’est le type d’arbitrage que le guide RGPD e-commerce détaille plus largement.

4. Le registre interne des réclamations peut contenir des données de santé

L’article 9 impose de consigner les plaintes et les accidents. Or un accident au sens de l’article 20 se décrit par des blessures, des dommages corporels, des maladies. Rattachée à une personne identifiée, cette information relève de l’article 9(1) du RGPD et bascule dans le régime des données sensibles, dont le traitement est en principe interdit sauf exception de l’article 9(2).

Il n’existe pas de réponse unique, et l’exception applicable doit s’apprécier au cas par cas selon la nature du produit. Il est recommandé, en pratique, de structurer le registre de façon à séparer l’identité du déclarant de la description de l’effet sur la santé, à ne conserver dans la fiche accident que les éléments nécessaires à l’analyse du risque et à restreindre strictement les habilitations. Un registre de réclamations en fichier Excel partagé, tel qu’on en trouve encore dans beaucoup de PME, cumule ici deux non-conformités.

5. Faut-il une AIPD ?

Pour une base de traçabilité classique, non : ni traitement à grande échelle de données sensibles, ni suivi systématique. La réponse change dès que la surveillance de sécurité s’appuie sur de la télémétrie de produits connectés — remontée d’usage, détection de défaillance, mise à jour à distance. On retombe alors sur les critères de l’article 35(3) du RGPD et sur les lignes directrices du CEPD. Les critères de déclenchement sont détaillés dans le guide de l’analyse d’impact.

Sanctions : ce que vous risquez réellement

L’article 44 du GPSR renvoie aux États membres le soin de fixer les sanctions. La France l’a fait par la loi n° 2024-364 du 22 avril 2024 portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE), complétée par le décret n° 2024-1171 du 6 décembre 2024.

Le régime est nettement plus sévère qu’auparavant. Le non-respect par les opérateurs économiques de leurs obligations en matière de rappel de produit est passible de cinq ans d’emprisonnement et de 600 000 € d’amende pour les personnes physiques, portée à 3 000 000 € pour les personnes morales. Ce montant peut être élevé, de manière proportionnée aux avantages tirés du délit, à 10 % du chiffre d’affaires moyen annuel calculé sur les trois derniers exercices (art. L. 452-5-1 du code de la consommation). C’est aussi ce texte qui sanctionne le manquement des places de marché à leur obligation de coopération de l’article 22 §12.

À cela s’ajoute un étage contraventionnel pour les manquements aux obligations documentaires et d’information, et — sur le versant données — le régime de sanctions de la CNIL, dont les décisions récentes montrent une attention soutenue aux durées de conservation et aux détournements de finalité.

Le risque n’est pas théorique. Le plan d’action gouvernemental pour la régulation et la sécurité du e-commerce, présenté le 29 avril 2025, prévoit huit actions autour de deux piliers, dont le renforcement des contrôles de la DGCCRF et des Douanes et une nouvelle doctrine de contrôle « 360° » couvrant simultanément la sécurité, la conformité de l’étiquetage et les allégations environnementales. La DGCCRF publie désormais mensuellement la liste des références retirées des places de marché.

Plan d’action GPSR en dix points

1. Qualifier votre rôle produit par produit : fabricant, importateur, distributeur, mandataire — en appliquant d’abord l’article 13 (marque propre, modification substantielle).
2. Identifier, pour chaque produit importé, la personne responsable établie dans l’UE et formaliser son mandat par écrit.
3. Auditer les fiches produits contre les quatre blocs de l’article 19, dans la langue de chaque marché ciblé.
4. Supprimer tout marquage CE apposé à tort sur des produits relevant du seul GPSR.
5. Constituer ou récupérer la documentation technique et l’analyse interne des risques, et organiser leur conservation sur dix ans.
6. Mettre en place le registre interne des réclamations, accidents, rappels et mesures correctives — en le concevant d’emblée pour limiter les données de santé identifiantes.
7. Structurer la traçabilité amont (10 ans) et aval (6 ans), et vérifier qu’elle est réellement extractible en cas de contrôle.
8. Écrire et tester une procédure de rappel : qui décide, qui notifie via le Safety Business Gateway et RappelConso, sous quel délai, avec quel avis de rappel type.
9. Mettre à jour le registre des traitements, la politique de conservation et la politique de confidentialité pour y intégrer la finalité « sécurité des produits et rappel » fondée sur l’article 6(1)© du RGPD.
10. Répercuter contractuellement ces obligations sur vos fournisseurs et, si vous exploitez une place de marché, sur vos vendeurs tiers.

Les points 5 à 9 relèvent d’un travail de documentation et de cartographie qui recoupe très largement celui déjà mené pour le RGPD : mêmes flux, mêmes acteurs, mêmes durées à justifier. C’est précisément ce type de recoupement que Legiscope automatise, en évitant de maintenir deux référentiels parallèles qui divergeront en six mois.

Recevez nos analyses conformité chaque semaine. GPSR, DSA, RGPD, CRA : une lecture par semaine pour comprendre ce qui change et ce qu’il faut faire. S’inscrire à la newsletter.

Ce qu’il faut retenir

• Le règlement (UE) 2023/988 s’applique depuis le 13 décembre 2024 à tous les produits de consommation non alimentaires non couverts par une réglementation sectorielle équivalente, y compris d’occasion et reconditionnés, et y compris aux offres en ligne extra-européennes ciblant des consommateurs de l’Union.
• L’article 13 fait basculer les obligations du fabricant sur quiconque vend sous sa propre marque ou modifie substantiellement un produit : c’est la première question à trancher, avant tout audit d’étiquetage.
• L’article 19 impose quatre blocs de mentions sur chaque offre à distance : coordonnées du fabricant, personne responsable dans l’UE, identification du produit, avertissements de sécurité. Un QR code ne suffit pas ; le marquage CE reste interdit hors harmonisation sectorielle.
• Le GPSR oblige à utiliser les données clients pour notifier un rappel (art. 35), sur le fondement de l’article 6(1)© du RGPD, et impose des durées de traçabilité de 6 et 10 ans incompatibles avec une purge commerciale à 3 ans. Registre des traitements et politique de conservation doivent être révisés.
• En France, le manquement aux obligations de rappel est puni de 5 ans d’emprisonnement et 600 000 € d’amende (3 000 000 € pour une personne morale), montant pouvant être porté à 10 % du chiffre d’affaires moyen annuel des trois derniers exercices.

FAQ

Le GPSR s’applique-t-il si je revends des produits d’occasion ?

Oui. L’article 2 vise expressément les produits neufs, d’occasion, réparés ou reconditionnés. La seule exclusion concerne les produits devant être réparés ou reconditionnés avant utilisation, à condition d’être clairement marqués comme tels lors de la mise à disposition. Un vendeur de seconde main reste tenu, au minimum, des obligations du distributeur de l’article 12.

Suis-je obligé de désigner une personne responsable dans l’UE ?

Si le fabricant est établi hors de l’Union, oui : l’article 16 en fait une condition de mise sur le marché, et ses coordonnées doivent figurer sur l’offre de vente à distance au titre de l’article 19. Si vous importez vous-même, vous pouvez assumer ce rôle en tant qu’importateur. Le mandat doit être écrit et une copie fournie aux autorités de surveillance sur demande.

Puis-je conserver les données de mes clients au-delà de trois ans à cause du GPSR ?

Pas de façon indifférenciée. La logique correcte consiste à isoler une finalité distincte « sécurité des produits et rappel », fondée sur l’article 6(1)© du RGPD, alimentée uniquement des données nécessaires à l’identification du produit et au contact du détenteur, placée en archivage intermédiaire à accès restreint et alignée sur les durées de l’article 15 du GPSR. La base commerciale active, elle, reste purgée selon vos règles habituelles.

Le GPSR remplace-t-il la garantie légale de conformité ?

Non. Le recours de l’article 37 (réparation, remplacement ou remboursement en cas de rappel pour raisons de sécurité) est un dispositif autonome de droit de la consommation européen, qui s’ajoute à la garantie légale de conformité et à la garantie des vices cachés. Un même produit défectueux peut ouvrir les trois voies, avec des conditions et des délais différents.

Une place de marché est-elle responsable des produits vendus par ses vendeurs tiers ?

Le fournisseur de place de marché n’est pas un opérateur économique au sens du GPSR et n’assume donc pas les obligations du fabricant ou du distributeur. Mais l’article 22 lui impose des obligations propres — point de contact unique, enregistrement sur Safety Gate, retrait sous deux jours ouvrables sur injonction, action de sa propre initiative sur signalement Safety Gate, coopération aux rappels — dont le manquement est sanctionné en France par l’article L. 452-5-1 du code de la consommation.

---

Thiébaut Devergranne est docteur en droit (Paris II) et consultant en protection des données depuis plus de vingt ans, dont six passées au sein des services du Premier ministre (SGDN/DCSSI). Il est le fondateur de donneespersonnelles.fr et de Legiscope.