Un site professionnel n'est pas seulement une vitrine commerciale : c'est un service de communication au public en ligne, encadré par plusieurs textes qui s'empilent depuis vingt ans. La loi pour la confiance dans l'économie numérique (LCEN) de 2004 impose les mentions légales, le règlement général sur la protection des données (RGPD) régit les données personnelles depuis 2018, la loi Informatique et Libertés et les recommandations de la CNIL encadrent les cookies, le Code de la consommation dicte les règles de la vente en ligne et de la médiation, et les obligations d'accessibilité numérique s'étendent progressivement à de nouveaux acteurs. Chaque texte ajoute une page, une mention ou un mécanisme à afficher.
Chez L'AR Communication, nous retrouvons les mêmes manques sur la majorité des sites de PME et d'artisans lorrains que nous auditons avant une refonte : mentions légales copiées d'un autre site, politique de confidentialité générique qui ne décrit aucun traitement réel, bandeau cookies qui charge Google Analytics avant tout clic, aucun médiateur nommé alors que l'entreprise vend à des particuliers. Ce guide fait le tour des pages obligatoires d'un site professionnel en France, donne des ordres de grandeur pour les sanctions et se termine par une checklist à repasser chaque année. C'est un panorama général, pas un conseil juridique personnalisé : pour votre situation précise, les textes en vigueur sur Légifrance, le site de la CNIL et, au besoin, un avocat restent les références.
⚡ À retenir
- Mentions légales (LCEN) : identité complète de l'éditeur, directeur de la publication et coordonnées de l'hébergeur, sur tout site professionnel, vitrine comprise.
- RGPD : une politique de confidentialité qui décrit vos traitements réels, un registre tenu à jour et une mention d'information sous chaque formulaire.
- Cookies : aucun traceur non essentiel avant consentement, et refuser doit être aussi simple qu'accepter (recommandations CNIL).
- CGV dès que vous vendez en ligne, médiateur de la consommation dès que vous vendez à des particuliers.
- Sanctions : de quelques milliers d'euros (médiation) à plusieurs millions (RGPD). Ordres de grandeur, pas conseil juridique : vérifiez les textes sur Légifrance et cnil.fr.
Pourquoi ces pages ne sont pas une formalité
La tentation est grande de considérer les mentions légales, la politique de confidentialité ou les CGV comme du remplissage juridique que personne ne lit. C'est une erreur pour trois raisons. Ces pages sont contrôlables : la DGCCRF vérifie les informations précontractuelles des sites marchands, la CNIL mène des campagnes de contrôle sur les cookies et reçoit des plaintes de particuliers, et n'importe quel concurrent ou client mécontent peut signaler un manquement. Elles protègent aussi l'entreprise elle-même : des CGV claires évitent la plupart des litiges sur les délais, les retours ou les paiements.
Enfin, la conformité est devenue un signal de confiance. Un visiteur qui compare plusieurs prestataires en quelques minutes remarque le pied de page sans mentions légales, le cadenas absent dans la barre d'adresse ou le bandeau cookies impossible à refuser. C'est pour cela que le chiffrement de la connexion, détaillé dans notre article sur HTTPS et le certificat SSL, fait partie du socle : ce n'est pas une « page » obligatoire, mais l'obligation de sécurité des données du RGPD le rend incontournable dès qu'un formulaire existe.
Les mentions légales : ce que la LCEN impose
L'article 6 de la LCEN impose à tout éditeur d'un service de communication au public en ligne de mettre à disposition des visiteurs ses informations d'identification. Pour une société : dénomination ou raison sociale, adresse du siège, numéro de téléphone et adresse e-mail, capital social, numéro d'inscription au registre du commerce et des sociétés (ou au répertoire des métiers pour un artisan), et numéro de TVA intracommunautaire lorsque l'entreprise y est assujettie. Pour un entrepreneur individuel : nom, prénom, domicile, téléphone et numéro d'immatriculation.
Deux mentions sont presque toujours oubliées. Le nom du directeur de la publication, personne responsable du contenu publié — en général le représentant légal. Et l'hébergeur : nom ou dénomination, adresse et numéro de téléphone. Copier les mentions d'un autre site ne suffit donc pas, puisque l'hébergeur et le capital changent d'une entreprise à l'autre. Les professions réglementées (santé, droit, expertise comptable, architecture, immobilier…) ajoutent la référence aux règles professionnelles applicables, le titre professionnel, l'État où il a été délivré et l'ordre ou l'organisme d'inscription. La page se place dans le pied de page, accessible depuis toutes les pages, en texte lisible et non dans une image.
Politique de confidentialité et registre (RGPD)
Le RGPD n'exige pas une page en particulier, mais une obligation d'information des personnes dont vous traitez les données. La politique de confidentialité est la façon la plus simple d'y répondre. Elle indique qui est responsable du traitement, quelles données sont collectées (formulaire de contact, newsletter, prise de rendez-vous, commande, statistiques de fréquentation), pour quelles finalités et sur quelle base légale, pendant combien de temps elles sont conservées, à qui elles sont transmises (hébergeur, outil d'emailing, transporteur) et comment exercer ses droits d'accès, de rectification, d'effacement ou d'opposition. Une adresse de contact et le rappel du droit de saisir la CNIL complètent l'ensemble.
L'information doit aussi apparaître au moment de la collecte : une phrase sous chaque formulaire, avec un lien vers la politique complète, suffit. Notre article sur le formulaire de contact qui convertit montre comment l'intégrer sans casser le taux de conversion — et rappelle qu'une case d'inscription à la newsletter ne doit jamais être pré-cochée pour un particulier.
Reste le registre des activités de traitement. Le RGPD prévoit une dispense pour les organismes de moins de 250 salariés, mais elle tombe dès que le traitement n'est pas occasionnel — un fichier clients, une newsletter ou la gestion des salariés. La CNIL considère donc que la quasi-totalité des entreprises doivent tenir un registre, même simplifié : un tableau qui liste chaque traitement, sa finalité, les données concernées, les destinataires et la durée de conservation. Il n'est pas publié sur le site, mais doit pouvoir être présenté en cas de contrôle.
Le bandeau cookies conforme à la CNIL
L'article 82 de la loi Informatique et Libertés, éclairé par les lignes directrices et la recommandation de la CNIL applicables depuis 2021, pose une règle simple : aucun cookie ou traceur non strictement nécessaire ne peut être déposé avant que l'utilisateur ait donné son consentement. Sont concernés la mesure d'audience classique (Google Analytics en configuration standard), les pixels publicitaires Meta et Google Ads, les vidéos embarquées, les cartes interactives et les boutons de partage. Les cookies techniques (panier, session, langue, mémorisation du choix lui-même) sont exemptés.
Un bandeau conforme respecte quelques principes concrets : le refus doit être aussi simple que l'acceptation (un bouton « Tout refuser » au même niveau que « Tout accepter »), le visiteur choisit par finalité, poursuivre sa navigation sans répondre ne vaut pas accord, le choix reste modifiable à tout moment et la preuve du consentement est conservée. La CNIL recommande de le redemander après six mois. Un point technique souvent négligé : le bandeau doit réellement bloquer les scripts tant que le consentement n'est pas donné. Un bandeau décoratif posé sur un site qui charge Google Analytics dès l'ouverture ne protège de rien — le dépôt sans consentement est précisément ce que la CNIL sanctionne.
CGV et CGU : obligatoires ou simplement utiles ?
Les conditions générales de vente sont obligatoires dès que vous vendez en ligne à des consommateurs. Le Code de la consommation impose une information précontractuelle complète : caractéristiques du produit ou du service, prix TTC, frais et délais de livraison, modalités de paiement, droit de rétractation de quatorze jours et ses exceptions, garanties légales, coordonnées du professionnel et du médiateur. Ces informations doivent être accessibles avant la commande et acceptées par le client via une case non pré-cochée. En B2B, le Code de commerce oblige à communiquer ses CGV à tout acheteur professionnel qui les demande, ce qui rend leur publication sur le site très pratique.
Un site vitrine qui ne vend rien en ligne — le cas de la plupart des artisans et prestataires de services — n'a pas d'obligation de CGV sur le site, même s'il en a intérêt pour ses devis. Les conditions générales d'utilisation ne sont imposées par aucun texte : elles restent recommandées dès qu'un site propose un espace client, un dépôt d'avis ou du contenu généré par les utilisateurs, car elles fixent les règles du jeu et facilitent la modération.
Médiation, accessibilité, professions réglementées
Depuis 2016, tout professionnel qui vend des biens ou des services à des consommateurs doit leur garantir l'accès à un dispositif de médiation de la consommation et communiquer les coordonnées du médiateur retenu sur son site, dans ses CGV et sur ses devis. Cette obligation surprend souvent : elle concerne aussi bien un e-commerçant qu'un plombier ou un restaurateur qui traite avec des particuliers. Le médiateur doit figurer sur la liste officielle établie par la commission d'évaluation et de contrôle de la médiation de la consommation, généralement contre une cotisation annuelle modeste.
L'accessibilité numérique avance par cercles successifs. Les organismes publics et les grandes entreprises sont soumis depuis longtemps au référentiel général d'amélioration de l'accessibilité (RGAA) et publient une déclaration d'accessibilité. Depuis le 28 juin 2025, la transposition de la directive européenne sur l'accessibilité des produits et services étend l'obligation à certains services en ligne destinés aux consommateurs, comme le commerce électronique, avec des exemptions pour les micro-entreprises. Le périmètre exact dépend de votre activité et de votre taille : vérifiez votre cas sur les ressources officielles, et appliquez dès maintenant les bonnes pratiques (contrastes, textes alternatifs, navigation au clavier), qui améliorent aussi le référencement. Enfin, les activités soumises à assurance ou autorisation obligatoire (bâtiment, immobilier, voyages…) doivent indiquer les coordonnées de l'assureur et la couverture géographique lorsque la loi l'exige.
Sanctions encourues : les ordres de grandeur
Le tableau ci-dessous récapitule les plafonds prévus par les textes. Ce sont des maximums théoriques : les autorités graduent la sanction selon la gravité, la taille de l'entreprise et la coopération, et commencent souvent par une mise en demeure. Les montants évoluent avec les lois successives et sont à vérifier sur Légifrance.
| Manquement | Texte de référence | Plafond prévu (ordre de grandeur) |
|---|---|---|
| Mentions légales absentes ou incomplètes | LCEN, article 6 | Jusqu'à un an d'emprisonnement et 75 000 € d'amende pour une personne physique ; amende pouvant être multipliée par cinq pour une personne morale |
| Manquements au RGPD (information, base légale, sécurité) | RGPD, article 83 | Jusqu'à 10 ou 20 millions d'euros, ou 2 % à 4 % du chiffre d'affaires mondial ; procédure simplifiée de la CNIL plafonnée à 20 000 € |
| Cookies déposés sans consentement | Loi Informatique et Libertés, article 82 | Sanctions de la CNIL : plusieurs dizaines à centaines de millions d'euros pour les géants du web, quelques milliers à dizaines de milliers d'euros en procédure simplifiée |
| Absence de médiateur de la consommation | Code de la consommation, articles L616-1 et L641-1 | Amende administrative jusqu'à 3 000 € (personne physique) ou 15 000 € (personne morale) |
| Information précontractuelle incomplète en vente à distance | Code de la consommation, articles L221-5 et suivants | Amende administrative jusqu'à 15 000 € (personne physique) ou 75 000 € (personne morale) |
| Accessibilité numérique (si assujetti) | Loi du 11 février 2005, article 47 et textes de transposition | Amende administrative pouvant atteindre plusieurs dizaines de milliers d'euros par service en ligne non conforme |
Au-delà des amendes, le coût réel d'une non-conformité se mesure en litiges perdus faute de CGV opposables, en temps passé à répondre à une mise en demeure et en réputation : les décisions de la CNIL sont publiques et référencées par les moteurs de recherche.
« La conformité d'un site n'est pas un document qu'on rédige une fois : c'est un état qu'on maintient. Chaque nouvel outil, chaque nouveau formulaire, chaque nouveau prestataire peut la remettre en question sans que personne ne s'en aperçoive. »
Checklist de conformité et mise à jour annuelle
Le plus efficace est de bloquer une heure par an — à la clôture de l'exercice, quand le capital, l'adresse ou le dirigeant ont pu changer — pour repasser cette liste. Si vous préparez une refonte, intégrez ces points dès le cahier des charges du site internet : prévoir le blocage des scripts et les pages légales au départ coûte bien moins cher que de les greffer après coup.
- Mentions légales complètes : forme juridique, capital, adresse, numéros d'immatriculation et de TVA, directeur de la publication, hébergeur avec téléphone.
- Politique de confidentialité datée, qui décrit vos traitements réels, les durées de conservation, les destinataires et les droits des personnes.
- Registre des traitements tenu à jour, même sous forme de tableau simple.
- Mention d'information sous chaque formulaire et case newsletter non pré-cochée.
- Bandeau cookies : blocage effectif avant consentement, refus aussi visible que l'acceptation, choix par finalité, renouvellement à six mois.
- CGV (si vente en ligne) : prix TTC, livraison, rétractation, garanties, paiement, acceptation par case à cocher.
- Médiateur de la consommation nommé, cotisation à jour, coordonnées affichées sur le site, les CGV et les devis.
- HTTPS actif sur toutes les pages, certificat renouvelé automatiquement.
- Sous-traitants (hébergeur, emailing, paiement) : contrat incluant les clauses RGPD, localisation des données connue.
- Accessibilité : déclaration publiée si vous êtes assujetti, bonnes pratiques appliquées dans tous les cas.
- Date de dernière révision affichée sur les pages légales, et rappel dans l'agenda pour l'année suivante.
Chaque site livré par L'AR Communication comprend ces pages rédigées à partir des informations réelles de l'entreprise, un bandeau cookies qui bloque effectivement les scripts et un HTTPS configuré. Nous ne remplaçons pas un juriste pour les cas complexes, mais le socle est en place le jour de la mise en ligne.
Questions fréquentes
Un site vitrine sans vente en ligne doit-il avoir des CGV ?
Non. Les conditions générales de vente ne sont imposées sur le site que lorsque vous concluez des ventes à distance avec des consommateurs. Un site vitrine qui renvoie vers un devis ou un contact n'a pas cette obligation. En revanche, les mentions légales, la politique de confidentialité et, si vous utilisez des traceurs, le bandeau cookies restent obligatoires. Et si vous vendez à des particuliers hors ligne, le médiateur de la consommation doit tout de même être indiqué sur vos devis et sur le site.
Les mentions légales sont-elles obligatoires pour un auto-entrepreneur ?
Oui. La LCEN s'applique à tout éditeur de site, quelle que soit la forme juridique. Un micro-entrepreneur indique ses nom et prénom, son adresse, un téléphone et un e-mail, son numéro SIREN ou SIRET, ainsi que le nom et les coordonnées de l'hébergeur. S'il n'est pas assujetti à la TVA, il peut le préciser plutôt que d'indiquer un numéro intracommunautaire.
Que doit contenir la politique de confidentialité ?
L'identité du responsable de traitement, la liste des données collectées et de leurs finalités, la base légale de chaque traitement, les durées de conservation, les destinataires et sous-traitants (hébergeur, outil d'emailing, prestataire de paiement), les éventuels transferts hors Union européenne, les droits des personnes et la façon de les exercer, une adresse de contact et le rappel de la possibilité de saisir la CNIL. Elle doit décrire vos traitements réels : une politique copiée d'un autre site est presque toujours inexacte.
Le bandeau cookies est-il obligatoire si je n'utilise que Google Analytics ?
Dans sa configuration standard, Google Analytics dépose des traceurs qui ne sont pas strictement nécessaires au fonctionnement du site : le consentement préalable est requis, et le bandeau doit bloquer le script tant que le visiteur n'a pas accepté. La CNIL admet une exemption pour certains outils de mesure d'audience configurés de façon très restrictive, mais elle ne s'applique pas à un paramétrage par défaut. En cas de doute, le bandeau avec consentement reste la solution la plus sûre.
Qu'est-ce que la médiation de la consommation et qui est concerné ?
C'est un dispositif gratuit pour le consommateur qui permet de tenter de régler un litige avec un professionnel avant tout recours au juge. Depuis 2016, tout professionnel qui vend des biens ou des services à des particuliers doit adhérer à un dispositif de médiation et en communiquer les coordonnées sur son site, dans ses CGV et sur ses devis ou factures. Commerçants, artisans, restaurateurs, prestataires de services et e-commerçants sont concernés. Le médiateur choisi doit figurer sur la liste officielle de la commission d'évaluation et de contrôle de la médiation de la consommation.
Quelle sanction si mon site n'est pas conforme ?
Tout dépend du manquement. Les textes prévoient des plafonds allant de quelques milliers d'euros (absence de médiateur) à plusieurs millions d'euros ou un pourcentage du chiffre d'affaires (RGPD), en passant par des peines pénales pour les mentions légales absentes. Dans les faits, une PME reçoit le plus souvent une mise en demeure avant toute amende. Ces ordres de grandeur ne remplacent pas la lecture des textes en vigueur : vérifiez-les sur Légifrance et sur le site de la CNIL, et consultez un avocat pour une situation particulière.
