Un site professionnel sans mentions légales, ou avec un bandeau cookies qui ne laisse aucun vrai choix à l’internaute, n’est pas un détail technique oublié dans le feu de la mise en ligne : c’est une non-conformité identifiable en quelques secondes par n’importe quel visiteur, concurrent, ou service de contrôle. Pour une TPE ou une PME, la bonne nouvelle est que la mise en conformité reste accessible sans budget juridique conséquent, à condition de connaître précisément ce qui est exigé.
Ce guide détaille les mentions légales obligatoires selon votre statut, les exigences RGPD minimales pour un site professionnel, et la méthode pour sécuriser votre conformité sans y passer des semaines.
À retenir
- Les mentions légales sont obligatoires pour tout site professionnel, quel que soit le statut juridique, y compris un auto-entrepreneur sans salarié.
- Le RGPD s'applique dès qu'une donnée personnelle est collectée, même via un simple outil de mesure d'audience non anonymisé.
- Un bandeau cookies doit offrir un choix réel : accepter et refuser doivent être aussi simples l'un que l'autre.
Mentions légales : ce que la loi impose sur un site professionnel
Les informations obligatoires selon le statut
La loi pour la confiance dans l’économie numérique impose à tout éditeur de site professionnel d’afficher un socle d’informations, généralement regroupées dans une page dédiée accessible depuis le pied de page. Le contenu exact varie selon le statut :
- Pour une personne physique (entreprise individuelle, auto-entrepreneur) : nom, prénom, adresse, coordonnées de contact, numéro SIREN ou SIRET.
- Pour une société (SASU, SARL, SAS…) : dénomination sociale, forme juridique, montant du capital social, adresse du siège, numéro RCS, coordonnées du représentant légal.
- Pour toute structure : nom, dénomination et coordonnées de l’hébergeur du site (nom, adresse, téléphone), ainsi que le nom du directeur de la publication.
- Pour un site marchand : s’ajoutent les conditions générales de vente, déjà abordées dans notre guide sur la rédaction des CGV pour une TPE, ainsi que les informations relatives à la médiation de la consommation.
Une obligation indépendante du RGPD
Il est important de ne pas confondre les mentions légales, exigées depuis 2004, avec la conformité RGPD, entrée en application en 2018 : ce sont deux obligations distinctes, cumulatives, qui répondent à des logiques différentes. Un site peut afficher des mentions légales complètes et rester totalement non conforme au RGPD, et inversement.
Ne pas afficher de mentions légales sur un site professionnel expose l'éditeur à des sanctions pénales prévues par la loi, qui peuvent être significatives pour une personne physique comme pour une personne morale. Les montants exacts évoluent et méritent d'être vérifiés auprès d'un professionnel du droit en cas de doute, mais le simple fait qu'il s'agisse d'une infraction pénale : et non d'une simple recommandation : justifie de ne jamais laisser ce point de côté.
RGPD : les obligations minimales pour une TPE/PME
Le bandeau cookies et le consentement
Dès qu’un site dépose des cookies non strictement nécessaires à son fonctionnement, mesure d’audience non anonymisée, réseaux sociaux, publicité ciblée, le consentement préalable de l’internaute est requis. Le point le plus fréquemment sanctionné n’est pas l’absence de bandeau, mais son déséquilibre : un bouton « Tout accepter » très visible face à un refus caché dans un second niveau de menu ne respecte pas l’exigence d’un choix aussi simple dans un sens que dans l’autre.
Le registre des traitements
Toute structure qui traite des données personnelles, y compris via un simple formulaire de contact ou une newsletter, doit tenir un registre des traitements, même simplifié pour une petite structure. Ce document recense les catégories de données collectées, leur finalité, leur durée de conservation et les personnes qui y ont accès. Ce n’est pas un document à transmettre systématiquement, mais il doit pouvoir être présenté en cas de contrôle.
Les droits des personnes concernées
Le site doit permettre à toute personne dont les données sont collectées d’exercer ses droits : accès, rectification, effacement, opposition. En pratique, pour une TPE, cela se traduit le plus souvent par une adresse de contact dédiée mentionnée dans la politique de confidentialité, et une procédure interne, même informelle, pour traiter ces demandes dans le délai légal.
Site vitrine simple
- Mentions légales complètes en pied de page.
- Politique de confidentialité si un formulaire ou un outil de mesure d'audience est présent.
- Bandeau cookies équilibré si des cookies non essentiels sont déposés.
Site avec formulaire, newsletter ou e-commerce
- Registre des traitements à jour, même simplifié.
- Mention explicite de la base légale de chaque collecte de données (consentement, exécution du contrat…).
- Procédure claire pour l'exercice des droits d'accès, de rectification et d'effacement.
Cas particuliers : e-commerce, application mobile, activité réglementée
Certaines activités ajoutent des exigences spécifiques à ce socle commun :
- Un site e-commerce doit préciser les modalités de paiement, de livraison, de rétractation et de garantie légale, en plus des CGV classiques, des informations qui doivent être accessibles avant toute validation de commande, et non seulement dans un document PDF téléchargeable après coup.
- Une application mobile professionnelle est soumise aux mêmes obligations de mentions légales et de conformité RGPD qu’un site web, avec une vigilance supplémentaire sur les autorisations d’accès demandées (localisation, contacts, appareil photo), qui doivent être justifiées par une finalité réelle et proportionnée.
- Une profession réglementée (santé, droit, expertise-comptable…) doit en général ajouter les références à l’ordre professionnel compétent, le numéro d’inscription, et les règles professionnelles applicables, en sus des mentions légales génériques.
Dans ces trois cas, une simple page de mentions légales générique copiée depuis un autre site ne suffit pas : chaque activité a ses propres exigences complémentaires, et une vérification au cas par cas reste nécessaire.
Le rôle du délégué à la protection des données (DPO)
La désignation d’un délégué à la protection des données n’est obligatoire que pour certaines structures : les organismes publics, les entreprises dont l’activité de base implique un suivi régulier et systématique des personnes à grande échelle, ou un traitement à grande échelle de données dites sensibles. La grande majorité des TPE et PME n’entrent pas dans ce périmètre et n’ont donc pas d’obligation de désignation formelle.
Cela ne dispense toutefois pas d’avoir un point de contact identifié en interne pour les questions de protection des données, souvent le dirigeant lui-même dans une petite structure, capable de répondre à une demande d’exercice de droits ou à une question d’un client sur l’usage de ses données. Cette désignation, même informelle, doit figurer dans la politique de confidentialité du site.
Les sanctions encourues
Les sanctions RGPD sont graduées : la CNIL privilégie en général une mise en demeure avec un délai de mise en conformité avant toute sanction financière, sauf manquement grave ou répété. Pour les cas les plus sérieux, le règlement prévoit des amendes administratives pouvant atteindre, selon la nature du manquement, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, un plafond qui vise avant tout les manquements les plus graves et répétés, rarement atteint pour une non-conformité de bonne foi d’une petite structure. Le risque le plus concret pour une TPE reste néanmoins le déclenchement d’un contrôle à la suite d’une plainte d’un internaute, plus qu’un contrôle aléatoire.
Mise en conformité : la méthode en 5 étapes
- Auditer le site existant : lister tous les formulaires, cookies, outils tiers (analytics, chat, réseaux sociaux) qui collectent une donnée personnelle.
- Rédiger ou mettre à jour les mentions légales, en vérifiant que chaque champ correspond exactement au statut juridique réel de l’entreprise.
- Mettre en place un bandeau cookies équilibré, avec un choix aussi accessible pour refuser que pour accepter.
- Rédiger une politique de confidentialité claire, qui explique simplement quelles données sont collectées, pourquoi, combien de temps, et comment les faire supprimer.
- Tenir un registre des traitements simplifié, même sous forme d’un tableau, pour pouvoir répondre rapidement en cas de demande ou de contrôle.
La conformité du site ne suffit pas à sécuriser complètement votre présence en ligne : le nom que vous utilisez mérite d'être protégé juridiquement. Voir notre guide pour déposer une marque à l'INPI si votre nom commercial n'est pas encore enregistré.
Ce qu’il faut retenir avant de vous lancer
Mentions légales et conformité RGPD ne demandent ni budget conséquent ni expertise juridique poussée pour un site professionnel classique : l’essentiel tient dans une vérification méthodique des informations affichées et un bandeau cookies qui respecte réellement le choix de l’internaute. C’est un chantier à traiter dès la mise en ligne du site, au même titre que le numéro SIRET qui doit y figurer, plutôt qu’après un signalement ou un contrôle.
À retenir
- Vérifiez que vos mentions légales correspondent exactement à votre statut juridique réel.
- Un bandeau cookies doit offrir un refus aussi simple qu'une acceptation.
- Tenez un registre des traitements, même simplifié, dès qu'un formulaire ou un outil tiers collecte des données.
Questions fréquentes
Un site vitrine sans formulaire de contact doit-il quand même respecter le RGPD ?
Oui, dès qu'un site collecte la moindre donnée personnelle, y compris via un simple outil de mesure d'audience non anonymisé ou un module de chat, le RGPD s'applique. Un site strictement statique, sans aucun cookie de tracking ni formulaire, reste néanmoins soumis à l'obligation de mentions légales, qui est une exigence distincte et plus ancienne que le RGPD.
Peut-on utiliser un générateur gratuit de mentions légales en ligne ?
C'est un point de départ acceptable pour un site simple, à condition de vérifier que chaque champ correspond exactement à votre situation (statut juridique, hébergeur réel, activité réglementée le cas échéant). Ces outils ne remplacent pas un conseil juridique pour un site plus complexe (e-commerce, collecte de données sensibles, activité réglementée) où une erreur peut avoir des conséquences plus lourdes qu'une simple omission sur un site vitrine basique.
Faut-il un bandeau cookies même si on utilise seulement Google Analytics ?
Oui dans la grande majorité des cas. Les outils de mesure d'audience qui déposent des cookies non exemptés nécessitent le consentement préalable de l'utilisateur avant tout dépôt, sauf configuration spécifique reconnue comme exemptée par la CNIL (mesure d'audience strictement anonymisée, respectant des critères techniques précis). Par défaut, un bandeau avec un vrai choix d'acceptation ou de refus est la solution la plus sûre.
Que risque une TPE qui n'a pas mis à jour sa politique de confidentialité ?
Le risque principal reste le contrôle déclenché par une plainte d'un internaute ou un signalement, plus qu'un contrôle aléatoire. La CNIL privilégie d'abord la mise en demeure avec un délai pour se mettre en conformité avant toute sanction financière, sauf manquement grave et répété. Cela ne dispense pas d'agir : une politique de confidentialité absente ou obsolète reste un manquement identifiable en quelques clics par n'importe quel visiteur ou concurrent.
Le statut auto-entrepreneur dispense-t-il des mentions légales ?
Non, aucun statut juridique n'en dispense. Un auto-entrepreneur avec un site professionnel doit afficher les mêmes catégories d'informations qu'une société : identité et coordonnées de l'éditeur, numéro SIREN/SIRET, coordonnées de l'hébergeur. Seul le contenu exact de ces mentions varie selon qu'il s'agit d'une personne physique ou d'une personne morale.
Qui est responsable si le site a été créé par un prestataire externe ?
La responsabilité juridique des mentions légales et de la conformité RGPD repose sur l'éditeur du site, c'est-à-dire l'entreprise elle-même, et non sur l'agence ou le développeur qui l'a réalisé, sauf clause contractuelle contraire explicitement négociée. Il est donc essentiel de vérifier ces éléments avant la mise en ligne, même quand la réalisation technique est déléguée.
