Mentions légales d’un site internet : exemple et obligations

Les mentions légales ne font pas vendre davantage. Elles ne font pas grimper le trafic et ne remplacent ni une offre claire ni une vraie stratégie de croissance. Pourtant, elles font partie des fondations d’un site professionnel sérieux. Un site vitrine de freelance, une boutique e-commerce, un média, un portfolio ou une plateforme SaaS doit permettre à ses visiteurs de savoir qui l’exploite, comment le contacter et où sont hébergées les données.

Le sujet paraît administratif. Il devient très concret dès qu’un client conteste une commande, qu’un concurrent signale un contenu, qu’un prospect demande l’identité de l’entreprise ou qu’un contrôle met en lumière un bandeau cookies trompeur. Les mentions légales sont une question de transparence, mais aussi de gestion du risque. Elles doivent être exactes, accessibles et adaptées au statut juridique ainsi qu’aux traitements de données réellement utilisés.

En bref

• Tout site accessible au public doit afficher des informations permettant d’identifier son éditeur et son hébergeur.
• Les obligations reposent principalement sur la loi pour la confiance dans l’économie numérique du 21 juin 2004, modifiée notamment par la loi SREN.
• Un entrepreneur individuel, une SAS, une association ou un e-commerçant ne publient pas exactement les mêmes informations.
• Les CGV, la politique de confidentialité et le bandeau cookies sont des documents distincts, même si certains liens apparaissent au même endroit.
• L’absence de mentions légales peut entraîner jusqu’à 75 000 euros d’amende pour une personne physique et 375 000 euros pour une société.
• Un modèle est utile pour gagner du temps, à condition d’être adapté à la réalité de l’activité, des outils et des données collectées.

Mentions légales d’un site internet : une obligation de transparence pour tous les éditeurs

Une page de mentions légales répond à une question simple : qui est responsable de ce site ? Derrière un nom de domaine, un logo propre et quelques pages bien référencées, il doit être possible d’identifier une personne ou une structure. C’est l’objectif de la loi pour la confiance dans l’économie numérique, souvent appelée LCEN, promulguée le 21 juin 2004. Son article 1-1, dans sa rédaction issue notamment de la loi SREN du 21 mai 2024, impose cette transparence aux éditeurs de services de communication au public en ligne.

Le principe ne dépend pas du niveau de chiffre d’affaires. Un site qui ne génère encore aucune vente est concerné. Un site en maintenance, mais accessible via une URL publique, l’est aussi. La taille du business ne change rien à l’obligation de base. Beaucoup de créateurs attendent « d’avoir des clients » ou « de finir le site » pour s’en préoccuper. C’est une mauvaise logique. Les fondations juridiques se posent avant l’ouverture, pas après le premier litige.

Le cas de Sophie, sophrologue en micro-entreprise, permet de comprendre l’enjeu. Son site présente ses accompagnements, affiche son numéro de téléphone et propose un formulaire de prise de rendez-vous. Elle ne vend aucun programme directement en ligne. Pourtant, elle reste éditrice d’un site professionnel accessible au public. Elle doit donc publier ses informations d’identification, désigner un responsable de publication et indiquer les coordonnées de son hébergeur. Le fait de ne pas encaisser de paiement sur le site ne l’exonère pas.

Mentions légales, CGV, confidentialité et cookies : quatre documents, quatre fonctions

La confusion est fréquente, surtout sur les petits sites lancés rapidement avec WordPress, Shopify ou un constructeur no-code. Les mentions légales ne remplacent pas les conditions générales de vente. Elles ne remplacent pas non plus une politique de confidentialité. Regrouper tous les textes dans une page interminable est possible, mais rarement confortable pour le visiteur et souvent imprécis dans la pratique.

Un consultant qui facture ses prestations à des entreprises aura besoin de conditions adaptées à ses contrats. Une boutique qui vend à des particuliers doit afficher des informations précontractuelles, les règles de livraison, les retours et le droit de rétractation. Pour aller plus loin sur ce point, il est utile de consulter un exemple de CGV et de mentions obligatoires avant de publier une offre commerciale.

La logique est simple : les mentions légales permettent d’identifier, les CGV permettent de vendre dans un cadre clair, la politique de confidentialité explique les traitements de données et le bandeau cookies gère les traceurs qui exigent un choix préalable. Mélanger les quatre sans comprendre leur objet crée une conformité de façade. Or, une conformité de façade tient rarement face à une réclamation.

La page doit être disponible facilement, en permanence. Le pied de page reste la solution la plus propre : un lien « Mentions légales » visible depuis toutes les pages. Cacher ce lien dans un menu secondaire ou le rendre accessible seulement depuis la page d’accueil n’est pas une bonne pratique. Un visiteur ne doit pas avoir à chercher l’identité de son interlocuteur comme il chercherait une aiguille dans une botte de foin.

Une page de mentions légales n’est pas une formalité décorative : c’est le minimum de transparence attendu d’un business qui se veut fiable.

Quelles mentions légales obligatoires afficher sur un site professionnel ?

Le contenu exact dépend de la personne ou de la structure qui exploite le site. C’est là que les modèles génériques montrent leurs limites. Copier les mentions d’un concurrent peut conduire à afficher une forme juridique erronée, un ancien hébergeur ou un numéro d’immatriculation qui ne correspond pas à l’activité. Le document doit refléter l’entreprise telle qu’elle existe réellement, avec ses données à jour.

Pour un entrepreneur individuel, les éléments à publier comprennent généralement les nom et prénom, une adresse, un numéro de téléphone et une adresse e-mail. Il faut aussi faire apparaître les références d’immatriculation adaptées à la situation, notamment le numéro SIREN, et la mention « EI » lorsque celle-ci s’applique. Un auto-entrepreneur reste un entrepreneur individuel : le terme micro-entreprise désigne un régime, pas une forme juridique autonome.

Pour une société, le niveau d’information augmente. Une SASU, SAS, EURL ou SARL doit afficher sa dénomination sociale, sa forme juridique, l’adresse de son siège, le montant de son capital social et son numéro d’immatriculation au registre du commerce et des sociétés lorsqu’elle y est inscrite. Son numéro de TVA intracommunautaire doit être ajouté lorsqu’il a été attribué et qu’il est pertinent pour l’activité. La dénomination sociale mérite une vigilance particulière dès la création : ce n’est pas seulement un nom commercial, c’est l’identité officielle de la société. Le choix se prépare en amont, comme l’explique ce guide pour choisir une dénomination sociale.

Le socle à vérifier avant toute mise en ligne

Les informations suivantes forment le noyau dur des mentions légales d’un site professionnel. Elles doivent être lisibles, cohérentes entre elles et actualisées. Une adresse e-mail inactive ou un téléphone qui ne répond plus fragilise la crédibilité du site autant qu’une information manquante.

• L’identité de l’éditeur : nom et prénom pour une personne physique, ou dénomination sociale pour une entreprise.
• L’adresse : domicile, adresse professionnelle ou siège social selon la structure et le cadre applicable.
• Les coordonnées de contact : adresse e-mail et numéro de téléphone.
• Le directeur de la publication : la personne responsable des contenus diffusés, particulièrement importante pour un blog, un média ou un site éditorial.
• L’hébergeur : nom ou raison sociale, adresse et coordonnées permettant de le joindre.
• Les références professionnelles : SIREN, RCS, TVA intracommunautaire, capital social, registre professionnel ou autorisation selon l’activité.

L’hébergeur est souvent oublié. Pourtant, il ne s’agit pas forcément de la même entreprise que celle qui a créé le site. Une agence peut avoir conçu le design, un développeur peut assurer la maintenance et un autre acteur peut héberger les données. Si le site repose sur une solution SaaS, il faut vérifier qui assure réellement l’hébergement ou le stockage, et quelles coordonnées officielles doivent apparaître.

Les sites éditoriaux, même modestes, doivent identifier le directeur ou responsable de publication. Un blog tenu par une entrepreneuse qui publie des analyses sur son marché ne peut pas se réfugier derrière une apparence « personnelle » si le site est utilisé pour développer une activité. Le contenu engage une responsabilité. C’est aussi vrai pour les articles sponsorisés, les comparatifs rémunérés et les liens d’affiliation.

Les professions réglementées doivent compléter la page avec les références de leur autorité de contrôle, de l’ordre professionnel ou de l’organisme ayant délivré l’autorisation d’exercer. Un architecte, un avocat, un agent immobilier ou un professionnel de santé ne peut pas se contenter d’un modèle conçu pour un consultant marketing. Les règles métier s’ajoutent au cadre général.

Le même raisonnement vaut pour une association. Son site doit indiquer sa dénomination, son siège, son responsable de publication, son hébergeur et, selon sa situation, son numéro RNA ou les références de sa déclaration. Une association n’est pas hors du droit parce qu’elle fonctionne avec des bénévoles. Dès lors qu’elle s’adresse au public sur internet, elle doit être identifiable.

La bonne méthode consiste à partir de la structure réelle, puis à rédiger la page. Pas à partir d’un modèle, puis à essayer de faire entrer l’entreprise dedans.

Exemple de mentions légales pour auto-entrepreneur, SAS et site vitrine

Un exemple sert à cadrer le travail. Il ne doit jamais être publié tel quel avec des champs fictifs ou des données qui ne correspondent pas à l’entreprise. Une mention juridique erronée n’est pas moins problématique parce qu’elle vient d’un modèle gratuit. Elle peut même révéler qu’aucune vérification n’a été réalisée. Pour une activité qui cherche à inspirer confiance, ce signal est mauvais.

Voici une base simplifiée pour une entrepreneuse individuelle qui exploite un site vitrine. Elle présente des prestations de conseil et permet la prise de contact, sans vente directe. Les crochets doivent être remplacés par les informations exactes avant publication.

Éditeur du site : [Nom et prénom], entrepreneur individuel exerçant sous l’enseigne [nom commercial], domicilié au [adresse]. Numéro SIREN : [numéro]. Contact : [e-mail] – [téléphone].

Directeur de la publication : [Nom et prénom].

Hébergement : le site est hébergé par [nom ou raison sociale de l’hébergeur], dont le siège est situé [adresse], joignable au [téléphone].

Propriété intellectuelle : les contenus, textes, visuels, logos et éléments graphiques du site sont protégés. Toute reproduction, adaptation ou diffusion sans autorisation préalable est interdite, sauf exception prévue par la loi. Les contenus appartenant à des tiers sont utilisés avec autorisation ou conformément aux licences applicables.

Cette structure reste volontairement courte. Elle ne traite pas les données personnelles, car celles-ci sont souvent mieux expliquées dans une politique de confidentialité distincte. En revanche, le lien vers cette politique doit être visible, notamment lorsqu’un formulaire de contact collecte nom, e-mail, téléphone ou message.

Ce qui change pour une SAS, une boutique et une activité réglementée

Pour une SAS, il faut remplacer l’identité de la personne physique par la dénomination sociale complète et ajouter les éléments de la société. La formule devient, par exemple : « [Dénomination sociale], SAS au capital de [montant] euros, dont le siège social est situé [adresse], immatriculée au RCS de [ville] sous le numéro [numéro], numéro de TVA intracommunautaire [numéro]. » Le directeur de publication sera souvent le président, mais ce rôle doit être désigné de manière cohérente avec l’organisation réelle.

Une boutique en ligne ne peut pas s’arrêter là. Le client doit connaître le prix total, les modalités de paiement, les conditions de livraison, la politique de retour et l’existence ou non du droit de rétractation. Pour les ventes à distance à des consommateurs, le délai de rétractation est en principe de 14 jours, sous réserve des exceptions légales. Les abonnements doivent aussi proposer une fonctionnalité de résiliation en ligne lorsqu’ils relèvent du dispositif prévu par le droit de la consommation.

Le médiateur de la consommation doit être indiqué pour les professionnels vendant à des particuliers. Ce point est souvent oublié alors qu’il ne relève pas de la cosmétique juridique. Il offre au consommateur une voie de règlement amiable avant une escalade du litige. Un e-commerçant qui vend des produits de déstockage, par exemple, ne peut pas faire disparaître ses obligations derrière des prix cassés ou des stocks limités.

Dans le cas de Malik, qui lance une boutique de mobilier reconditionné, la page de mentions légales identifie sa SAS. Les CGV détaillent les commandes, les délais et les retours. Une page confidentialité explique le traitement des adresses et paiements. Enfin, le bandeau cookies permet au visiteur d’accepter ou de refuser les traceurs non nécessaires. Chaque brique a une fonction. L’ensemble construit une relation commerciale plus nette.

Il faut aussi traiter la propriété intellectuelle avec sérieux. Utiliser une image trouvée sur Google n’accorde aucun droit d’exploitation. Pour les photos, illustrations, typographies, musiques, textes externes ou témoignages, l’entreprise doit vérifier les licences, obtenir une autorisation si nécessaire et créditer la source lorsque les conditions l’exigent. Une banque d’images payante ne dispense pas de lire la licence. Certaines autorisent le web commercial, d’autres limitent les usages ou interdisent la revente dans certains supports.

Un site en français destiné au public français doit rendre ses informations juridiques disponibles en français. Une traduction anglaise peut être ajoutée pour les visiteurs internationaux, mais elle ne remplace pas une version française complète. La clarté reste le meilleur outil de prévention : une formulation simple vaut mieux qu’un texte copié rempli de termes incompréhensibles.

Un modèle est une check-list de départ. La conformité commence au moment où chaque ligne correspond à votre activité, à votre statut et à vos pratiques réelles.

Mentions légales, RGPD et cookies : protéger les données sans créer une conformité de façade

Les mentions d’identification ne suffisent pas lorsqu’un site collecte des informations sur ses visiteurs. Un simple formulaire « Contactez-nous » peut recueillir un nom, une adresse e-mail, un numéro de téléphone et le contenu d’une demande. Une solution de prise de rendez-vous, un outil de newsletter, un pixel publicitaire ou une mesure d’audience peuvent également entraîner des traitements de données personnelles.

Depuis l’entrée en application du RGPD le 25 mai 2018, le sujet n’est plus de remplir une déclaration préalable à la CNIL pour la majorité des sites. Le vrai travail se situe dans les pratiques : savoir quelles données sont collectées, pourquoi, pendant combien de temps, par qui elles sont consultées et avec quels outils elles circulent. Une petite entreprise n’a pas besoin d’un dossier de cent pages. Elle doit en revanche maîtriser son parcours de données.

La politique de confidentialité doit informer le visiteur avec des termes accessibles. Elle doit notamment préciser les finalités du traitement, les données concernées, les destinataires, la durée de conservation, les droits des personnes et le moyen de les exercer. Une boîte e-mail dédiée, telle que [email protected], suffit souvent pour une petite structure, à condition qu’elle soit effectivement consultée et que les demandes reçoivent une réponse.

Choisir une base légale pour chaque finalité de traitement

Le RGPD prévoit six bases légales : le consentement, le contrat, l’obligation légale, la mission d’intérêt public, l’intérêt légitime et la sauvegarde des intérêts vitaux. Dans la vie d’une petite entreprise, les trois premières bases rencontrées sont généralement le consentement, l’exécution d’un contrat et l’intérêt légitime. Mais il faut éviter les raisonnements automatiques.

Si un prospect remplit un formulaire pour demander un devis, le traitement de ses coordonnées peut être nécessaire aux démarches précontractuelles. Si une cliente achète une formation, les données utiles à la facturation et à l’accès au service s’appuient sur l’exécution du contrat ou sur une obligation légale. En revanche, inscrire cette même cliente à une campagne promotionnelle sans l’en informer clairement pose un autre sujet. La finalité change, donc l’analyse doit changer aussi.

Une même finalité ne doit pas reposer sur plusieurs bases légales « au cas où ». Il faut choisir celle qui correspond réellement au traitement. Cette rigueur paraît technique, mais elle évite des politiques de confidentialité confuses et des bannières qui promettent un choix tout en continuant à tracer l’utilisateur sans raison valable.

Les cookies demandent une attention particulière. Les cookies strictement nécessaires au fonctionnement du service, comme ceux qui conservent le panier d’un achat ou l’état d’une connexion sécurisée, ne requièrent généralement pas de consentement. Les traceurs publicitaires, de personnalisation ou de mesure d’audience non exemptée exigent en revanche une information claire et un accord préalable.

Le refus doit être aussi simple que l’acceptation. Un bouton « Tout accepter » très visible, face à un lien discret « Paramétrer » caché en bas de fenêtre, ne respecte pas l’esprit des recommandations de la CNIL. Le visiteur doit pouvoir cliquer sur « Tout refuser » avec la même facilité. Ce n’est pas une perte de performance marketing. C’est une règle de jeu claire.

Pour concevoir un parcours plus propre, un formulaire de consentement RGPD bien structuré aide à distinguer une demande de contact, l’inscription à une newsletter et l’acceptation des traceurs. Une case précochée, une phrase vague du type « j’accepte les communications utiles » ou une obligation de consentir à la prospection pour accéder à un simple devis sont des pratiques à éviter.

Il faut également vérifier les prestataires. Une entreprise française utilisant un outil américain de newsletter, une solution cloud internationale ou un service d’analyse peut transférer des informations en dehors de l’Union européenne. La politique de confidentialité doit l’indiquer. Le fait que l’outil soit connu, pratique ou intégré à une plateforme ne supprime pas l’obligation d’information.

Dans l’exemple de Malik, le site utilise un hébergeur européen, un outil de paiement, une solution d’e-mailing et un service de statistiques. Son registre de traitements identifie ces acteurs, les types de données concernés et la raison de chaque usage. À chaque nouvel outil installé « juste pour tester », il vérifie si des données partent vers un tiers. Cette habitude évite que le site devienne, en deux ans, une accumulation d’extensions impossibles à expliquer.

La conformité RGPD ne consiste pas à afficher un bandeau. Elle consiste à ne collecter que ce qui est utile, à expliquer ce qui est fait et à laisser un vrai choix aux visiteurs.

Sanctions, contrôle et méthode pratique pour des mentions légales fiables

L’absence de mentions légales n’est pas un détail administratif. L’article 1-2 de la LCEN prévoit des sanctions qui peuvent aller jusqu’à un an d’emprisonnement et 75 000 euros d’amende pour une personne physique. Pour une personne morale, l’amende peut atteindre 375 000 euros. Dans les faits, une petite entreprise ne sera pas automatiquement poursuivie au plafond maximal. Mais s’appuyer sur la rareté des poursuites pour ne rien faire est une stratégie fragile.

Le risque est aussi commercial. Un client mécontent qui ne trouve aucun contact clair, un partenaire qui doute de l’existence juridique de l’entreprise, un concurrent qui signale une anomalie ou un contrôle de la DGCCRF peuvent transformer une page oubliée en vrai problème. Lorsqu’un litige existe déjà, l’absence d’informations de base rend la position de l’éditeur plus difficile à défendre.

Les manquements relatifs aux données personnelles peuvent s’ajouter. Selon le RGPD, les sanctions peuvent théoriquement atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Ce plafond concerne des situations graves et ne décrit pas le sort habituel d’une TPE. Il rappelle toutefois que le sujet dépasse largement le simple pied de page.

Une procédure simple à répéter lors des changements importants

La meilleure méthode n’est pas de chercher un texte parfait une fois pour toutes. Une entreprise bouge : elle change d’adresse, modifie son capital, passe d’un hébergeur à un autre, ajoute une boutique, recrute un prestataire, ouvre une newsletter ou utilise une nouvelle solution de paiement. Les documents du site doivent suivre ces changements.

1. Recenser les informations juridiques réelles : statut, SIREN, RCS, siège, capital, TVA, responsable de publication et contacts actifs.
2. Identifier tous les services techniques : hébergeur, CDN, cloud, outil de paiement, formulaire, newsletter, prise de rendez-vous et analytics.
3. Rédiger des pages distinctes : mentions légales, confidentialité, cookies et CGV lorsque le site vend.
4. Placer les liens dans le pied de page afin qu’ils restent accessibles depuis chaque page.
5. Tester le parcours visiteur : refus des cookies, formulaire de contact, désinscription, demande d’accès aux données et passage de commande.
6. Programmer une vérification annuelle et une mise à jour immédiate après tout changement structurant.

Le point le plus souvent oublié reste la mise à jour. Une SAS qui déménage conserve parfois pendant des mois son ancienne adresse sur le site. Une micro-entreprise qui dépasse la franchise en base de TVA continue parfois d’afficher des informations dépassées. Or, la fiscalité et les mentions commerciales doivent rester cohérentes. Pour les indépendants concernés, ce repère sur la TVA des auto-entrepreneurs en 2026 aide à vérifier les conséquences concrètes d’un changement de régime.

Un modèle gratuit peut être une bonne base si le budget de lancement est serré. C’est souvent le cas : au démarrage, chaque dépense compte et la priorité va au produit, au stock, au site ou à l’acquisition. Mais il faut prendre trente minutes de plus pour contrôler chaque champ. Les mentions de l’hébergeur doivent être exactes. Le capital social doit correspondre à celui déclaré. Les liens vers la politique de confidentialité et les CGV doivent fonctionner. Cette discipline coûte moins cher qu’un correctif fait dans l’urgence après une réclamation.

Pour un site plus complexe, qui manipule des données sensibles, vise plusieurs pays, vend par abonnement ou intègre de nombreux sous-traitants, l’avis d’un professionnel du droit ou de la protection des données peut être pertinent. Ce n’est pas du luxe. C’est une décision de gestion, au même titre que vérifier une marge avant de lancer une campagne publicitaire.

Les mentions légales doivent également respecter le contenu réellement publié. Si le site diffuse des articles, des comparatifs, de l’affiliation ou des contenus sponsorisés, ces éléments doivent être traités avec transparence. Un média qui recommande des outils tout en touchant une commission doit l’indiquer. La confiance ne se gagne pas avec une formule cachée au bas d’une page. Elle se construit par des règles simples, visibles et appliquées.

Créer un site est rapide. Le gérer sérieusement demande une structure : informations exactes, données maîtrisées et mises à jour régulières.

Un auto-entrepreneur doit-il publier des mentions légales sur un simple site vitrine ?

Oui. Un auto-entrepreneur qui exploite un site accessible au public doit afficher des mentions légales, même sans vente en ligne. Le site vitrine doit notamment permettre d’identifier l’éditeur, le responsable de publication et l’hébergeur.

Où placer les mentions légales sur un site internet ?

Le lien doit être facilement accessible et disponible depuis toutes les pages. Le pied de page est la solution la plus utilisée, car il reste visible quel que soit le parcours du visiteur.

Les mentions légales et la politique de confidentialité peuvent-elles figurer sur la même page ?

Oui, à condition de distinguer clairement les informations d’identification de l’éditeur et celles relatives aux données personnelles. Les CGV, en revanche, doivent rester un document spécifique pour encadrer la vente.

Faut-il demander le consentement pour tous les cookies ?

Non. Les cookies strictement nécessaires au fonctionnement du service peuvent être exemptés de consentement. Les traceurs publicitaires, de personnalisation ou certains outils de mesure d’audience nécessitent une information claire et un consentement préalable.

Quand mettre à jour les mentions légales du site ?

Elles doivent être actualisées dès qu’une information change : siège social, forme juridique, capital, hébergeur, responsable de publication, coordonnées ou modalités de traitement des données. Une vérification annuelle permet de repérer les oublis.