Site internet d'entreprise : les obligations légales (mentions, cookies, RGPD)

Le site internet d’une entreprise doit respecter quatre séries d’obligations légales : afficher des mentions légales complètes, recueillir le consentement des visiteurs avant de déposer des cookies non essentiels, informer les personnes dont il collecte les données (formulaire de contact, devis, newsletter), et, s’il vend en ligne, publier des conditions générales de vente conformes au Code de la consommation. Aucune n’est très lourde à mettre en place, mais chacune est vérifiable par n’importe quel visiteur, et certaines sont lourdement sanctionnées. Voici ce que disent les sources officielles, rubrique par rubrique.

Cet article présente le cadre général ; il ne remplace pas l’avis d’un juriste pour une situation particulière.

Les mentions légales : qui édite le site, qui l’héberge

La fiche de service-public.fr sur les mentions obligatoires du site d’une entreprise s’applique aussi bien aux sociétés qu’aux entreprises individuelles. Elle liste :

• L’identité de l’entreprise : dénomination sociale, forme juridique et montant du capital pour une société ; nom et prénom accompagnés de la mention « entrepreneur individuel » ou « EI » pour une entreprise individuelle.
• Les coordonnées : adresse du siège social, adresse e-mail et numéro de téléphone.
• L’immatriculation : numéro RCS et/ou RNE selon l’activité.
• Le numéro de TVA intracommunautaire, lorsqu’il est applicable.
• Le directeur de la publication, pour un site qui édite un service de communication au public en ligne : la personne responsable du contenu publié.
• L’hébergeur : son nom ou sa dénomination, son adresse et son numéro de téléphone.

S’y ajoutent des mentions propres aux activités et professions réglementées : autorité qui a délivré l’autorisation, titre professionnel, ordre ou organisme professionnel. La même page indique que ces informations peuvent figurer sur une page dédiée ou dans les CGV.

L’enjeu n’est pas théorique. Toujours selon service-public.fr, l’absence de ces mentions est sanctionnée jusqu’à 375 000 € d’amende pour une société et 75 000 € pour une entreprise individuelle, micro-entrepreneur compris. La page cite la loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004.

En pratique, une page « Mentions légales » accessible depuis le pied de chaque page suffit. Pensez à la mettre à jour quand quelque chose change : déménagement du siège, changement d’hébergeur, passage en société. Notre propre page de mentions légales suit ce modèle.

Les cookies : le consentement d’abord

Ce que dit la règle

La CNIL explique, dans sa page « Cookies et traceurs : que dit la loi ? », que l’article 82 de la loi Informatique et Libertés impose de recueillir le consentement des internautes avant de déposer ou de lire certains traceurs sur leur appareil. Tant que la personne n’a pas donné son consentement, ces cookies ne peuvent pas être déposés.

Ses lignes directrices et sa recommandation précisent comment ce consentement doit être recueilli :

• Refuser doit être aussi simple qu’accepter. La CNIL recommande que le bandeau ne comprenne pas seulement un bouton « Tout accepter », mais aussi un bouton « Tout refuser ».
• Continuer à naviguer ne vaut pas consentement. Il faut un acte positif clair, comme un clic sur « J’accepte ».
• Le retrait doit être aussi simple que l’accord, rappelle la page « que dit la loi ? ». Un lien « Gérer mes cookies » en pied de page permet au visiteur de revenir sur son choix.

Les cookies qui ne demandent pas de consentement

Tous les traceurs ne sont pas concernés. La CNIL cite comme exemptés ceux qui servent à l’authentification, ceux qui mémorisent le contenu d’un panier d’achat, et certains outils de mesure d’audience.

Pour ces derniers, les conditions sont strictes. La page de la CNIL sur les outils de mesure d’audience exige notamment qu’ils servent uniquement à produire des statistiques anonymes, pour la seule mesure de l’audience du site, sans permettre de suivre la navigation de la personne sur d’autres sites. Elle recommande aussi une durée de vie des traceurs limitée, par exemple treize mois, sans prolongation automatique à chaque visite, et une conservation des données collectées de vingt-cinq mois au maximum. Certaines offres du marché n’entrent pas dans l’exemption, notamment lorsque le fournisseur réutilise les données pour son propre compte.

Ce que cela change pour votre site

Faites l’inventaire de ce que votre site dépose réellement : outil de statistiques, pixel publicitaire, vidéo intégrée, carte, widget de réservation ou de chat. Chaque service tiers peut déposer ses propres traceurs. Un site qui se limite à des traceurs exemptés n’a pas besoin de bandeau ; dès qu’un pixel publicitaire ou un outil de suivi non exempté apparaît, par exemple pour mesurer une campagne Google Ads, le consentement devient nécessaire avant son déclenchement.

Formulaires et données personnelles : informer au moment de la collecte

Un formulaire de contact, une demande de devis ou une inscription à la newsletter collectent des données personnelles. Le RGPD impose d’informer les personnes au moment où ces données sont recueillies.

La page de la CNIL sur l’information des personnes liste ce qu’il faut indiquer dans tous les cas, notamment :

• l’identité et les coordonnées de l’organisme ;
• les finalités : à quoi serviront les données ;
• la base légale du traitement ;
• le caractère obligatoire ou facultatif des champs ;
• les destinataires des données ;
• la durée de conservation ;
• les droits des personnes (accès, rectification, effacement…) et le droit d’introduire une réclamation auprès de la CNIL.

La CNIL insiste sur la forme : faire court et lisible, et éviter les mentions illisibles sous un formulaire. Elle recommande une information en plusieurs niveaux : quelques lignes sous le formulaire (qui collecte, pourquoi, quels droits), avec un lien vers la politique de confidentialité complète.

Ne pas tout garder indéfiniment

Selon la page de la CNIL sur les durées de conservation, les données personnelles ne peuvent pas être conservées indéfiniment : c’est au responsable du traitement de fixer une durée en fonction de l’objectif de la collecte, sauf lorsqu’un texte la prévoit déjà. Une demande de devis restée sans suite n’a pas vocation à rester des années dans votre boîte de réception ou votre outil de gestion.

Le registre des traitements

Dernier point souvent oublié : la CNIL rappelle que l’obligation de tenir un registre des activités de traitement concerne tous les organismes, quelle que soit leur taille. Les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais elle est en pratique limitée à des cas très particuliers. La CNIL propose un modèle simplifié pour les TPE et PME. Pour une petite entreprise, le registre tient souvent en quelques lignes : gestion des clients, des demandes de contact, de la newsletter, de la paie.

Vendre en ligne : CGV et informations précontractuelles

Dès que le site permet d’acheter, d’autres obligations s’ajoutent. Selon service-public.fr, les conditions générales de vente sont obligatoires dans une relation entre un professionnel et un particulier. Pour une vente à distance, elles doivent notamment indiquer :

• le prix du bien ou du service ;
• l’existence d’un droit de rétractation de 14 jours et ses modalités ;
• le fait que les frais de renvoi restent à la charge du consommateur en cas de rétractation, si c’est le cas ;
• la possibilité de recourir à un médiateur de la consommation.

La page sur la vente en ligne ajoute l’affichage du prix total TTC pour les particuliers et rappelle que les mentions légales font partie des mentions obligatoires de tout site professionnel.

Une nouveauté à connaître : d’après service-public.fr (CGV et vente en ligne), depuis le 19 juin 2026, les professionnels qui concluent des contrats à distance via une interface en ligne doivent proposer une fonctionnalité permettant au consommateur de se rétracter directement en ligne. Si votre boutique a été mise en place avant cette date, c’est un point à vérifier. C’est le genre d’évolution que nous intégrons dans nos projets e-commerce et dans le suivi de maintenance.

Un exemple : le site vitrine d’un artisan

Prenons un menuisier installé en entreprise individuelle près d’Antibes. Son site présente ses réalisations, propose un formulaire de demande de devis et affiche des statistiques de fréquentation.

• Mentions légales : nom, prénom et mention « EI », adresse, e-mail, téléphone, numéro d’immatriculation, numéro de TVA s’il en a un, directeur de la publication (en général lui-même) et coordonnées de l’hébergeur.
• Cookies : s’il utilise un outil de mesure d’audience qui remplit les conditions d’exemption de la CNIL, pas de bandeau nécessaire. S’il ajoute un pixel publicitaire pour une campagne, il lui faut un bandeau avec « Tout accepter » et « Tout refuser ».
• Formulaire : quelques lignes sous le bouton d’envoi (qui collecte, pourquoi, combien de temps, quels droits) et un lien vers sa politique de confidentialité.
• Registre : une ligne pour les demandes de devis, une pour les clients.

Pas de CGV de vente en ligne tant qu’il ne vend rien sur le site.

Intégrer ces obligations dès la conception

Ces obligations sont bien plus simples à respecter quand elles sont prévues dès le départ : pages légales dans le pied de page, formulaires avec leur mention d’information, choix d’outils qui limitent les traceurs. C’est un des points de notre guide de la création de site internet, et une étape de chaque projet de création de site.

Vous voulez vérifier ce qu’il manque sur votre site actuel ? Contactez-nous : nous ferons le point avec vous, sans jargon.