Un site web professionnel ne se résume pas à une page « mentions légales » copiée depuis un générateur en ligne. La loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004 fixe un socle d’obligations, mais elle ne couvre qu’une partie du périmètre. Dès qu’un formulaire de contact ou un module de commande entre en jeu, le RGPD impose des exigences distinctes que les mentions légales classiques ne satisfont pas.
Obligation d’information RGPD : ce que les mentions légales ne couvrent pas
La confusion la plus fréquente consiste à croire qu’une page de mentions légales complète dispense d’une information spécifique sur les données personnelles. La CNIL rappelle que l’information RGPD doit être fournie dès le point de collecte, dans un format accessible et compréhensible. Un simple renvoi vers les mentions légales ne suffit pas.
Concrètement, chaque formulaire (contact, devis, inscription newsletter) doit afficher ou rendre immédiatement accessible l’identité du responsable de traitement, les finalités précises, la base juridique retenue, les droits des personnes et les durées de conservation. Ces éléments relèvent d’une politique de confidentialité dédiée, pas d’un paragraphe noyé dans les mentions légales.
Nous recommandons de séparer physiquement ces deux pages sur le site. La page « mentions légales » répond aux obligations LCEN (identification de l’éditeur, hébergeur). La page « politique de confidentialité » répond au RGPD. Les mélanger affaiblit la conformité, car les deux textes n’ont ni la même finalité ni les mêmes destinataires juridiques. On retrouve cette séparation dans les informations du site Backlink Links, qui illustre bien cette distinction entre identification légale et traitement des données.
Mentions légales obligatoires selon le statut de l’éditeur du site
Le contenu des mentions légales varie selon que l’éditeur est une personne physique (entrepreneur individuel, micro-entrepreneur) ou une personne morale (société, association). Confondre les deux statuts génère des mentions incomplètes ou erronées.
Éditeur personne physique
L’entrepreneur individuel doit indiquer ses nom et prénom accompagnés de la mention « entrepreneur individuel » ou des initiales « EI ». S’y ajoutent l’adresse, un email et un numéro de téléphone, le numéro d’immatriculation au RCS, le numéro d’identification à la TVA, ainsi que les coordonnées complètes de l’hébergeur (nom ou dénomination sociale, adresse, téléphone).
Éditeur personne morale
Pour une société, les mentions comprennent la dénomination sociale, la forme juridique, le montant du capital social, l’adresse du siège, le numéro RCS et le numéro de TVA intracommunautaire. Le nom du directeur de la publication doit figurer explicitement, ce que beaucoup de sites omettent.
Dans les deux cas, l’exercice d’une activité réglementée impose une mention supplémentaire : le nom et l’adresse de l’autorité ayant délivré l’autorisation d’exercer.
Prospection commerciale et consentement : un volet distinct des mentions légales
Les modèles standard de mentions légales ignorent presque systématiquement les obligations liées à la prospection commerciale par voie électronique. Ce volet obéit à des règles propres, distinctes du RGPD général.
- Pour les particuliers (B2C), l’envoi de courriels ou SMS publicitaires repose sur un consentement préalable explicite, sauf exception : un client existant peut être sollicité sans consentement si les produits ou services proposés sont similaires à ceux déjà achetés et qu’un moyen d’opposition simple est prévu dans chaque message.
- En B2B, la prospection peut se faire sans consentement préalable lorsqu’elle est en lien direct avec l’activité professionnelle du destinataire, à condition de proposer une opposition facile.
- La CNIL recommande de conserver la preuve du consentement obtenu et de maintenir une liste d’opposition à jour pour éviter toute relance de personnes ayant refusé la sollicitation.
Ces obligations ne relèvent ni de la page mentions légales ni de la politique de confidentialité. Elles supposent un paramétrage technique (cases à cocher non pré-cochées, double opt-in, lien de désinscription fonctionnel) et une documentation interne prouvant la conformité.
Sanctions en cas d’absence de mentions légales ou d’information défaillante
Le manquement aux obligations d’identification prévues par la LCEN expose l’éditeur du site à des sanctions pénales. Pour une personne physique, la loi prévoit une peine pouvant aller jusqu’à un an d’emprisonnement et une amende. Pour une personne morale, l’amende peut être multipliée.
L’absence d’information RGPD constitue un manquement distinct, sanctionné par la CNIL sur le fondement du règlement européen. Les contrôles portent souvent sur l’accessibilité réelle de l’information au moment de la collecte, pas uniquement sur l’existence d’un texte quelque part sur le site.
Nous observons que les mises en demeure de la CNIL ciblent de plus en plus les formulaires dépourvus d’information contextuelle, même lorsque le site dispose d’une politique de confidentialité par ailleurs. Le critère n’est pas la présence du document, mais sa proximité avec le point de collecte et sa lisibilité.
Rédiger des mentions légales conformes : les erreurs techniques récurrentes
Trois erreurs reviennent sur la majorité des sites professionnels que nous auditons.
- Fusionner mentions légales, CGV et politique de confidentialité dans un même document. Chaque obligation a son fondement juridique propre : LCEN pour les mentions, Code de la consommation pour les CGV, RGPD pour la confidentialité. Les regrouper complique la mise à jour et rend l’ensemble illisible.
- Omettre les coordonnées de l’hébergeur. La loi exige le nom ou la dénomination sociale, l’adresse et le numéro de téléphone de l’hébergeur, pas uniquement son nom commercial.
- Afficher une politique de cookies sans lien avec le bandeau de consentement. Le texte doit refléter exactement les catégories de cookies paramétrées dans la CMP (consent management platform), faute de quoi le consentement recueilli est juridiquement fragile.
La conformité d’un site web professionnel repose sur l’articulation entre plusieurs textes distincts, chacun répondant à un cadre légal précis. Une page de mentions légales bien rédigée ne protège l’éditeur que si elle s’accompagne d’une information RGPD contextualisée et d’un dispositif de consentement cohérent avec les pratiques réelles du site.
