Un site vitrine qui a l'air impeccable peut être en infraction dès sa première page, simplement parce qu'un lien "Mentions légales" en pied de page renvoie une erreur 404, ou que la case CGV n'existe pas. Trois obligations reviennent sans cesse et se mélangent facilement : les mentions légales, les conditions générales de vente (CGV) et la politique de confidentialité RGPD. Elles ne répondent pas aux mêmes règles, ne s'appliquent pas aux mêmes sites, et ne sont pas punies de la même façon. Voici ce qui est vraiment obligatoire, pour qui, et ce qui reste recommandé sans l'être.
Les mentions légales : la seule obligation vraiment universelle
C'est la seule des trois qui s'applique à absolument tous les sites professionnels, sans exception, quelle que soit l'activité. L'obligation vient de l'article 6-III de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN), et economie.gouv.fr le rappelle noir sur blanc : tout éditeur de site doit rendre ces informations facilement accessibles, en général via un lien permanent dans le pied de page.
Le contenu exact varie selon le statut :
- Entrepreneur individuel / auto-entrepreneur : nom, prénom, adresse, numéro SIRET (ou numéro au répertoire des métiers pour un artisan), coordonnées de contact.
- Société (SARL, SAS, SA...) : dénomination sociale, forme juridique, montant du capital social, adresse du siège, numéro RCS.
- Dans tous les cas : nom, dénomination et coordonnées de l'hébergeur du site (nom, adresse, téléphone), en plus de celles de l'éditeur. Les deux identités doivent apparaître séparément, jamais fusionnées.
L'absence ou l'inexactitude de ces mentions n'est pas qu'un détail administratif : c'est un délit pénal, prévu à l'article 6-VI de la même loi, sanctionné jusqu'à un an d'emprisonnement et 75 000 € d'amende pour une personne physique, et jusqu'à 375 000 € pour une société. Les poursuites restent rares en pratique, mais le texte ne prévoit aucune tolérance de taille pour un petit site : la règle s'applique dès la première page mise en ligne, y compris pour un freelance qui débute.
CGV : obligatoire seulement si vous vendez à des particuliers
Contrairement aux mentions légales, les conditions générales de vente ne s'imposent pas à tous les sites de la même façon : tout dépend de qui achète.
En B2C (vente à des particuliers), les CGV sont obligatoires dès qu'il existe une offre de vente en ligne, comme le détaille francenum.gouv.fr. Elles doivent être consultables avant tout achat, pas seulement transmises après la commande, et couvrir au minimum : les caractéristiques essentielles du produit ou service, le prix et les modalités de paiement, les délais et modalités de livraison ou d'exécution, le droit de rétractation (14 jours pour une vente à distance, sauf exceptions prévues par le Code de la consommation), et les garanties légales de conformité.
En B2B (vente à d'autres professionnels), les CGV ne sont pas obligatoires en tant que telles, mais elles doivent être communiquées à tout professionnel qui en fait la demande, en vertu de l'obligation générale d'information précontractuelle du Code de commerce. Un manquement à cette obligation d'information expose à une amende administrative, dont le montant est resté stable ces dernières années autour de quelques milliers d'euros pour un professionnel individuel et jusqu'à plusieurs dizaines de milliers pour une société en cas de manquements répétés, prononcée par la DGCCRF.
Un site purement vitrine, sans vente ni prise de commande en ligne, n'a donc légalement pas besoin de CGV : c'est l'existence d'une transaction, pas la nature de l'activité, qui déclenche l'obligation.
Politique de confidentialité et cookies : ce que le RGPD impose vraiment
Dès qu'un site collecte la moindre donnée personnelle, que ce soit via un formulaire de contact, une newsletter ou un simple outil de mesure d'audience, le RGPD s'applique, indépendamment du statut juridique de l'éditeur.
La politique de confidentialité doit informer clairement le visiteur sur : l'identité du responsable du traitement, les données collectées et leur finalité, la base légale du traitement, la durée de conservation, les destinataires éventuels des données, les mesures de sécurité prises, les droits de la personne (accès, rectification, suppression, opposition), et son droit d'introduire une réclamation auprès de la CNIL. Ce document doit lui aussi rester accessible en permanence, comme le rappelle la CNIL sur ses pages consacrées aux traceurs.
Les cookies suivent une logique distincte, régulièrement précisée par la CNIL : tout cookie qui n'est pas strictement nécessaire au fonctionnement du site (mesure d'audience non anonymisée, publicité ciblée, réseaux sociaux) exige un consentement préalable, libre, spécifique, éclairé et univoque. Concrètement, le bandeau doit proposer "Accepter" et "Refuser" à égalité visuelle, même taille, même couleur, même niveau de clic : un bouton "Accepter" mis en avant et un refus caché dans un sous-menu n'est plus considéré comme conforme. Seuls les cookies strictement techniques (panier, session de connexion) échappent à cette exigence de consentement, mais doivent tout de même figurer dans la politique.
Le RGPD prévoit un plafond de sanction élevé, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel selon le montant le plus élevé (article 83 du RGPD) : un chiffre pensé pour dissuader les grands groupes, pas le niveau de sanction réellement appliqué à un site vitrine d'indépendant en première infraction, où la CNIL privilégie en général une mise en demeure avant toute amende. Le risque réel pour un petit site tient moins au montant théorique qu'à la perte de confiance d'un client qui tombe sur un bandeau cookies non conforme ou une politique de confidentialité absente.
CGU, un cas à part : recommandé mais rarement obligatoire
Les conditions générales d'utilisation (CGU) se distinguent des CGV : elles encadrent l'usage d'un site ou d'un service (comportements interdits, propriété du contenu, responsabilité en cas de panne), sans lien direct avec un achat. Aucun texte n'impose des CGU pour un site vitrine classique, mais elles deviennent fortement recommandées dès qu'un site propose un compte utilisateur, un espace communautaire ou une application en ligne, pour cadrer une responsabilité qu'aucune autre mention n'encadre par défaut.
Dans la même famille d'obligations qui restent méconnues au-delà de ces trois cases à cocher, l'accessibilité du site (RGAA, WCAG) mérite aussi d'être vérifiée, en particulier depuis l'entrée en application de l'European Accessibility Act en juin 2025 pour les entreprises B2C au-delà d'un certain seuil de taille (vendre l'accessibilité web à vos clients).
Ce qui se joue au-delà du risque juridique
Traiter ces trois sujets comme une simple case à cocher passe à côté de l'essentiel : une mention légale complète et exacte sert aussi à prouver, sans ambiguïté, quelle entreprise se cache derrière un site. C'est un point que l'audit automatique de Citylead exploite déjà de façon concrète : lors de l'analyse d'un site, le moteur recherche le numéro SIREN ou SIRET directement dans les pages déjà téléchargées, mentions légales en tête, pour faire correspondre avec certitude la fiche d'entreprise officielle à l'établissement identifié via la recherche par ville et par métier. Un site sans mentions légales, ou avec des mentions incomplètes, prive donc son propriétaire d'un signal d'identité que les visiteurs, et les outils qui les analysent, cherchent en premier.
