Tout site qui offre aux internautes la possibilité de s'exprimer sur un produit par l'intermédiaire d'espaces de contribution personnelle (forums, blogs, profils de type réseau social, chat et commentaires via les toolbar comme ShopTogether, etc.) s'expose donc à un risque majeur : la responsabilité, civile comme pénale, du fait des contenus illicites postés par les internautes et de leurs conséquences pour la marque concernée. Le caractère illicite peut également provenir de la reproduction par l'internaute de contenus protégés par le droit d'auteur ou le droit des marques (comparaison de produits avec photographies, etc.). S'il semble acquis, en application de la loi pour la confiance dans l'économie numérique du 21 juin 2004, que les sites ne sont pas soumis à une obligation générale de surveillance des contenus, publiés par les internautes, sur les espaces mis à leur disposition, ils sont néanmoins, en leur qualité d'hébergeur, responsables des contenus manifestement illicites si, une fois qu'ils leur ont été notifiés ou qu'ils en ont connaissance, ils ne les suppriment pas promptement. Chaque site a également l'obligation de détenir et de conserver les données d'identification de tout internaute qui publie des contenus et de les communiquer à la demande d'une autorité judiciaire. La difficulté est qu'à ce jour, le décret qui doit préciser les types de données à collecter et leur durée de conservation n'est toujours pas paru. La sanction est d'un an de prison et 75 000 euros d'amende. Enfin, il convient de souligner que les données comportementales recueillies à l'occasion des services mis à la disposition des internautes pour qu'ils s'expriment ne sont pas librement exploitables, en particulier lorsque la finalité est l'envoi de publicités ciblées. C'est ce que ne manque pas de rappeler la Cnil dans un récent rapport dédié à la publicité ciblée en ligne.