Journal
Un site professionnel doit afficher des mentions légales complètes, informer sur les données qu’il collecte, demander le consentement avant tout traceur non nécessaire, et respecter le droit de la consommation s’il vend. Il n’a pas à être déclaré à la CNIL. Voici la liste, les textes, et ce qui arrive quand elle n’est pas respectée.
Les obligations légales d’un site sont souvent traitées en dernier, par un copier-coller de mentions trouvées ailleurs et un bandeau cookies posé par habitude. Le résultat est un site qui affiche des mentions fausses, un bandeau inutile, et aucune information sur le formulaire de contact qui, lui, collecte réellement des données. Cet article reprend ce que la loi française et le règlement européen exigent d’un site d’entreprise, texte par texte, en séparant ce qui est obligatoire pour tous de ce qui ne concerne que la vente en ligne ou les grandes structures.
Pour un professionnel : la dénomination ou le nom, l’adresse du siège, un téléphone et une adresse e-mail, le numéro d’immatriculation, le capital social pour une société, le nom du directeur de la publication, et le nom, l’adresse et le téléphone de l’hébergeur. S’y ajoute le numéro de TVA intracommunautaire pour les activités de commerce électronique. Ces mentions doivent être accessibles depuis toute page, en un lien.
Le texte fondateur est la loi pour la confiance dans l’économie numérique (nouvel onglet) du 21 juin 2004, dont l’article 6 impose aux éditeurs de sites de mettre à disposition du public, dans un standard ouvert, les éléments qui permettent de les identifier, et de nommer leur hébergeur. L’article 19 de la même loi complète la liste pour toute activité de commerce électronique, notion large qui couvre la vente mais aussi la fourniture de services en ligne : adresse e-mail, numéro d’immatriculation, capital, adresse du siège et numéro de TVA si l’activité y est assujettie.
La forme est libre, la page doit exister. L’usage est un lien « Mentions légales » dans le pied de chaque page ; c’est ce que nous faisons sur nos propres mentions légales, qui servent de modèle à nos clients. Les professions réglementées ajoutent leur ordre, leur titre et les règles professionnelles applicables ; les activités soumises à autorisation ajoutent l’autorité qui l’a délivrée.
Non. Les déclarations préalables à la CNIL ont disparu avec l’entrée en application du RGPD, le 25 mai 2018. À la place, chaque organisme qui traite des données personnelles tient un registre de ses traitements, document interne que la CNIL peut demander. Les entreprises de moins de 250 salariés n’y inscrivent que leurs traitements non occasionnels, comme la gestion des clients ou des prospects.
La question revient parce que les anciens sites affichaient un numéro de déclaration CNIL, et que certains le copient encore. Ce numéro ne signifie plus rien. La CNIL explique le remplacement dans sa page sur le registre des activités de traitement (nouvel onglet) : l’obligation concerne tous les organismes, quelle que soit leur taille, avec un allègement pour les moins de 250 salariés. Un site vitrine avec un formulaire de contact et un fichier clients a donc un registre, court, mais un registre.
Ce qui subsiste d’une démarche formelle, ce sont les cas particuliers : les traitements à risque élevé demandent une analyse d’impact, certaines données sensibles obéissent à des régimes spécifiques. Une petite entreprise qui gère des contacts, des devis et des factures n’est en général dans aucun de ces cas ; celle qui gère des données de santé ou un programme de fidélité étendu doit y regarder de plus près, comme nous l’expliquons pour un programme de fidélité et le RGPD.
Oui. Recueillir un nom et une adresse e-mail est un traitement de données personnelles. Le site doit dire, au moment de la collecte, qui traite les données, pourquoi, combien de temps, qui y a accès et comment exercer ses droits, et il doit protéger ces données et les effacer à l’issue de la durée prévue. Cette information tient dans une politique de confidentialité et une phrase sous le formulaire.
Le règlement général sur la protection des données (nouvel onglet) s’applique dès la première donnée. Ses exigences pour un formulaire sont concrètes : une base légale, ici l’intérêt légitime à répondre à une demande ou l’exécution de mesures précontractuelles ; une finalité annoncée ; une durée de conservation définie, la CNIL publiant des repères dans ses durées de conservation (nouvel onglet) ; des destinataires identifiés, y compris le prestataire d’envoi d’e-mails et l’hébergeur ; et un moyen d’exercer les droits d’accès, de rectification et d’effacement.
La politique de confidentialité est le document qui rassemble tout cela, en français courant, page par page. La nôtre, la confidentialité chez EPURE Digital, décrit ce que fait chaque formulaire et ce que nous ne faisons pas. Le point souvent oublié est la case de prospection : envoyer ensuite des offres commerciales à quelqu’un qui a seulement demandé un devis suppose son accord, recueilli séparément, comme le précise la CNIL sur la prospection par courrier électronique (nouvel onglet).
Non, tant que le site ne vend rien en ligne. Dès qu’il permet de commander ou de payer, le Code de la consommation impose une information précontractuelle complète, des conditions générales accessibles, la confirmation de la commande et, pour les consommateurs, un droit de rétractation de quatorze jours avec le formulaire correspondant. Entre professionnels, les conditions générales de vente doivent être communiquées à qui les demande.
Un site vitrine qui présente une activité, donne des tarifs indicatifs et propose un formulaire de devis n’a pas de conditions générales à publier ; il doit en revanche présenter ses prix de façon claire s’il en affiche, toutes taxes comprises pour des consommateurs. La bascule vers la vente en ligne change tout : caractéristiques du produit, prix total, frais de livraison, modalités de paiement, garanties légales, coordonnées du médiateur de la consommation, et le bouton de commande qui indique sans ambiguïté qu’il engage à payer.
Ces obligations expliquent pourquoi une boutique en ligne est un autre projet qu’un site vitrine, et non un site vitrine avec un panier. Nous détaillons la différence, et les cas où une vitrine suffit, dans site vitrine, e-commerce, one page ou landing page.
L’obligation d’accessibilité numérique vise les organismes publics et les grandes entreprises, ainsi que, depuis 2025, certains produits et services numériques quelle que soit la taille de l’entreprise qui les vend. Les autres y ont intérêt sans y être tenues. Les règles sectorielles, elles, suivent l’activité : professions réglementées, alcool, santé, immobilier, chacune ajoute ses mentions et ses interdits.
Le périmètre exact de l’obligation d’accessibilité, les seuils et les sanctions sont détaillés dans l’accessibilité d’un site internet. Pour la plupart des commerces et des cabinets, la bonne lecture est celle-ci : rien ne vous oblige, mais un site accessible se lit mieux, se référence mieux, et évite les plaintes de clients qui ne peuvent pas prendre rendez-vous.
Les règles sectorielles se vérifient auprès de l’ordre ou de la fédération : un avocat n’affiche pas ses honoraires comme un plombier ses tarifs, un caviste n’écrit pas sur le vin comme un traiteur sur ses plats, une agence immobilière porte des mentions que personne d’autre ne porte. Enfin, l’information du consommateur se donne en français : un site français qui décrit ses offres uniquement en anglais, ou dont les conditions ne sont pas traduites, ne respecte pas la loi sur l’emploi de la langue française.
L’absence des mentions légales est punie d’un an d’emprisonnement et de 75 000 € d’amende, montant multiplié par cinq pour une personne morale. Les manquements au RGPD exposent à des amendes pouvant atteindre 20 millions d’euros ou quatre pour cent du chiffre d’affaires mondial, et la CNIL a déjà infligé des amendes de plusieurs dizaines de millions d’euros pour des bandeaux cookies qui ne permettaient pas de refuser simplement.
Les plafonds impressionnent ; la pratique est plus graduée. La CNIL commence par des mises en demeure, souvent publiques, et réserve les amendes aux manquements graves ou persistants. Le risque le plus fréquent pour une petite entreprise est ailleurs : un litige commercial ou prud’homal où l’adversaire relève que le site n’a pas de mentions légales, un client qui demande l’effacement de ses données et à qui personne ne sait répondre, un concurrent qui signale un bandeau factice.
La conformité coûte quelques heures au moment de la création du site, et presque rien ensuite si le site est construit sans traceurs inutiles. C’est pour cette raison que nous la traitons dans le projet de site dès le premier jour, et non comme une page ajoutée après la mise en ligne.
L’éditeur du site, c’est-à-dire l’entreprise qui le publie, reste responsable vis-à-vis de la loi, quel que soit le prestataire. Le contrat avec l’agence peut prévoir qu’elle livre un site conforme et l’engager envers vous ; il ne vous décharge pas envers l’administration ou un client. D’où l’intérêt de demander, avant de signer, qui rédige quoi.
Dans un projet bien mené, l’agence fournit la structure et les modèles, mentions légales, politique de confidentialité, information sous les formulaires, configuration sans traceur ou avec un consentement conforme, et l’entreprise fournit les données qui lui sont propres : identité, immatriculation, hébergeur, durées de conservation choisies. Aucune des deux ne peut faire le travail de l’autre, et les mentions copiées d’un autre site portent presque toujours le nom d’un autre hébergeur et d’un autre directeur de la publication.
Nous avons réuni les questions à poser à un prestataire, y compris celle-ci, dans les questions à poser avant de signer une refonte. Le nom de domaine et l’hébergement, dont dépendent plusieurs de ces mentions, méritent aussi d’être compris avant la commande : c’est l’objet de nom de domaine et hébergement.
Non, mais elles doivent être accessibles depuis chaque page de façon facile, directe et permanente. Un lien dans le pied de page vers une page dédiée remplit cette condition ; un lien enfoui dans un menu secondaire ne la remplit pas.
Un éditeur non professionnel peut ne pas révéler son identité au public, à condition d’indiquer le nom, l’adresse et le téléphone de son hébergeur, qui détient ses coordonnées. Une association qui exerce une activité économique est traitée comme un professionnel.
Le modèle, oui ; le contenu, non. Chaque site porte ses propres données : immatriculation, siège, directeur de la publication, hébergeur. Des mentions copiées affichent presque toujours un hébergeur qui n’est pas le vôtre, ce qui revient à ne pas avoir de mentions.
La plateforme qui héberge les pages, avec la raison sociale, l’adresse et le téléphone qu’elle publie dans ses propres conditions. Si un prestataire gère le site pour vous, il n’est pas l’hébergeur ; il peut figurer comme contact technique, jamais à sa place.
· Création de sites web
Une partie des sites d’entreprise est soumise à une obligation d’accessibilité depuis le 28 juin 2025. Les autres n’ont rien à craindre juridiquement, mais perdent des clients sans le savoir. Dans les deux cas, l’essentiel se règle à la construction et coûte presque rien.
· Fidélité mobile
Un programme de fidélité traite des données personnelles, donc le règlement européen s’applique. Ses exigences sont peu nombreuses et précises. Voici lesquelles, article par article, et comment les tenir sans y passer ses soirées.
· Création de sites web
Le nom de domaine est l’adresse, l’hébergement est la machine, le site est ce qu’on y met. Trois contrats, trois fournisseurs possibles, et une règle qui évite la plupart des drames : l’entreprise est titulaire de son nom de domaine, jamais le prestataire.
Toutes les questions auxquelles le journal répond, chacune avec sa réponse directe : la page des questions.
Et maintenant
Un premier échange suffit pour savoir si un projet de création de site web a du sens pour vous, et ce qu’il demanderait.