Les mentions légales d’un site internet ne sont pas un simple bloc de texte relégué en pied de page. La loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004 impose à tout éditeur de site professionnel de rendre accessibles des informations d’identification précises. RGPD, gestion des cookies et accessibilité numérique ont depuis ajouté des couches d’obligations. Leur accumulation crée une complexité que la plupart des sites gèrent mal.
Cookies et traceurs : le contrôle porte sur l’effectivité du refus
La majorité des sites affichent un bandeau de consentement aux cookies. Ce bandeau est devenu un réflexe, presque un élément de design. Le problème, c’est que la CNIL contrôle désormais ce qui se passe après le clic sur « refuser ».
Les décisions récentes rapportées par la CNIL portent sur trois points précis : le dépôt de traceurs avant tout consentement, l’arrêt réel des cookies après un refus, et la clarté des finalités publicitaires présentées à l’utilisateur. Autrement dit, un bandeau qui propose un bouton « refuser » mais continue à déposer des traceurs publicitaires expose l’éditeur à des sanctions.
Ce glissement du contrôle formel vers le contrôle technique change la donne. Un site peut avoir une politique de confidentialité irréprochable et se trouver en infraction parce que son outil de gestion des cookies ne bloque pas les scripts tiers après un refus. La conformité documentaire ne suffit plus, c’est le comportement technique du site qui est audité.
On retrouve ce souci de cohérence entre déclaration et pratique sur les informations légales sur Lordy’s, où chaque élément légal est rattaché à un fonctionnement concret du site.
Mentions légales obligatoires : ce que la LCEN exige selon le statut de l’éditeur
Le contenu des mentions légales varie selon que l’éditeur est une personne morale, un entrepreneur individuel ou un particulier publiant à titre non professionnel. Pour une société, la LCEN impose un socle précis :
- Dénomination sociale, forme juridique, adresse du siège social et montant du capital social
- Numéro d’immatriculation au RCS ou numéro Siren, numéro de TVA intracommunautaire
- Coordonnées de contact (adresse mail, téléphone) et identité de l’hébergeur du site (nom ou raison sociale, adresse)
Ces mentions doivent être facilement accessibles depuis toutes les pages du site. Un lien en pied de page reste la pratique standard. Les intégrer dans les conditions générales de vente est possible, à condition que l’accès reste direct et permanent.
Pour les sites e-commerce, des obligations supplémentaires s’ajoutent : conditions générales de vente, informations sur le droit de rétractation, modalités de livraison et de paiement. L’absence de mentions légales sur un site professionnel est passible d’une amende pouvant atteindre un an d’emprisonnement et une sanction financière significative pour les personnes physiques.
RGPD et données personnelles : la transparence comme obligation de fond
Le règlement général sur la protection des données (RGPD) a ajouté une exigence de transparence qui dépasse la simple déclaration. Tout traitement de données à caractère personnel suppose une information claire de la personne concernée : finalité de la collecte, base juridique du traitement, durée de conservation, droits d’accès, de rectification et de suppression.
L’information doit être fournie au moment de la collecte des données, pas dans un document enfoui. Le responsable de traitement doit aussi indiquer les destinataires des données et, le cas échéant, les transferts hors Union européenne.
Politique de confidentialité et registre des traitements
La politique de confidentialité constitue le document de référence pour cette transparence. Elle détaille chaque traitement, ses finalités, et les droits de la personne. En parallèle, le registre des traitements (obligatoire pour la plupart des organisations) reste un document interne, mais il structure la conformité et peut être demandé par la CNIL lors d’un contrôle.
La collecte de données sans information préalable constitue une infraction au RGPD, même si les données ne sont pas revendues. Un simple formulaire de contact génère un traitement de données personnelles qui doit être documenté.
Accessibilité numérique : la nouvelle couche de transparence depuis 2025
L’European Accessibility Act, transposé en France par la loi n° 2023-171 et le décret n° 2023-931, a rendu l’accessibilité numérique obligatoire pour certains sites privés depuis le 28 juin 2025. Les services concernés incluent le commerce électronique, les services bancaires aux consommateurs, le transport de voyageurs, les communications électroniques et les livres numériques.
Les microentreprises de moins de 10 salariés et au plus 2 millions d’euros de chiffre d’affaires ou de total de bilan sont exemptées. Pour les autres, la conformité ne se limite pas à rendre le site techniquement accessible.
- Publier une déclaration d’accessibilité expliquant comment le service respecte les exigences
- Proposer un moyen de signaler un problème d’accessibilité rencontré par un utilisateur
- Offrir une solution alternative lorsqu’un contenu n’est pas accessible
Cette obligation ajoute un volet de transparence publique inédit. Un site doit désormais rendre compte de son niveau d’accessibilité, pas seulement de son identité ou de sa gestion des données. Les retours terrain divergent sur la maturité des outils d’audit automatisés pour vérifier cette conformité, ce qui rend le sujet encore mouvant pour les éditeurs de sites de taille intermédiaire.
Sanctions et contrôles : un cadre qui se durcit par strates
Chaque texte réglementaire porte ses propres sanctions. La LCEN prévoit des sanctions pénales pour l’absence de mentions légales. Le RGPD autorise la CNIL à infliger des amendes administratives proportionnées au chiffre d’affaires. L’accessibilité numérique s’accompagne elle aussi de mécanismes de contrôle et de signalement.
L’accumulation de ces obligations crée un risque de conformité partielle : un site peut être irréprochable sur ses mentions légales mais défaillant sur la gestion effective des cookies, ou conforme au RGPD mais sans déclaration d’accessibilité. La transparence d’un site web se mesure désormais sur plusieurs axes simultanés, et aucun ne compense l’autre.
Le cadre légal continue d’évoluer. L’AI Act, entré en application progressive, pourrait à terme imposer de nouvelles obligations de transparence aux sites utilisant des systèmes d’intelligence artificielle dans leurs interactions avec les utilisateurs. Pour l’heure, la priorité reste de couvrir solidement les trois piliers existants : identification de l’éditeur, protection des données personnelles, et accessibilité.
