Article
Mentions légales et politique de confidentialité : obligations
Un site internet professionnel doit répondre à deux obligations distinctes, souvent confondues : publier des mentions légales et, lorsque des données personnelles sont collectées, mettre à disposition une politique de confidentialité. La première identifie l'éditeur du site. La seconde explique comment les données des visiteurs sont traitées.
Ces deux documents ne reposent pas sur le même fondement juridique. Les mentions légales découlent de la loi pour la confiance dans l'économie numérique, tandis que la politique de confidentialité découle du RGPD. Confondre les deux, ou omettre l'un d'eux, expose le responsable du site à des sanctions de nature différente selon le manquement constaté.
Cet article détaille le contenu obligatoire de chaque document, explique leurs différences, et présente les sanctions applicables en cas d'absence ou d'inexactitude.
Accès direct :
Mentions légales et politique de confidentialité : deux obligations distinctes
Les mentions légales sont une obligation d'identification de l'éditeur du site. Elles reposent sur l'article 6-III de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, dite LCEN. Cette obligation s'applique à tout site accessible au public, qu'il soit tenu par un professionnel ou par un particulier.
La politique de confidentialité répond à une logique différente. Elle découle du principe de transparence posé par le RGPD, le règlement (UE) 2016/679, et plus précisément de ses articles 12 à 14. Elle s'impose dès qu'un site collecte des données personnelles, par exemple via un formulaire de contact, une newsletter ou un espace client.
La distinction est importante : un site vitrine sans formulaire ni collecte de données doit publier des mentions légales, mais n'a pas nécessairement besoin d'une politique de confidentialité. À l'inverse, un site qui collecte des données doit disposer des deux documents, sans exception. Pour une vue d'ensemble du cadre applicable, l'article sur les obligations RGPD essentielles des TPE et PME détaille les principes généraux de conformité.
Le contenu obligatoire des mentions légales
Le contenu exigé varie selon le statut de l'éditeur du site. Un entrepreneur individuel et une société commerciale ne communiquent pas exactement les mêmes informations, même si la logique reste identique : permettre à tout visiteur d'identifier précisément qui édite le site.
| Entrepreneur individuel | Société commerciale |
|---|---|
| Nom et prénom | Dénomination sociale |
| Adresse du siège de l'activité | Adresse du siège social |
| Numéro de téléphone | Numéro de téléphone |
| Numéro SIREN et SIRET | Numéro RCS et ville d'immatriculation |
| Statut d'entreprise individuelle | Forme juridique et montant du capital social |
| Numéro de TVA intracommunautaire, si assujetti | Numéro de TVA intracommunautaire |
Quel que soit le statut du professionnel, une information supplémentaire reste obligatoire dans tous les cas : les coordonnées de l'hébergeur du site, à savoir sa dénomination, son adresse et son numéro de téléphone. Cette exigence découle de l'article 6-III-2 de la LCEN et s'applique indépendamment de la taille de l'entreprise ou de la nature de son activité.
Lorsque le site comporte un contenu éditorial, articles ou actualités, une mention supplémentaire est requise : le nom du directeur de la publication, généralement le représentant légal de la société ou l'entrepreneur individuel lui-même. Un responsable de la rédaction distinct peut également être désigné si l'organisation du site le justifie.
Erreur fréquente
L'omission des coordonnées de l'hébergeur figure parmi les manquements les plus fréquemment constatés. Beaucoup d'éditeurs indiquent leur propre identité sans jamais mentionner le prestataire technique qui héberge le site.
Cette omission n'est pas anodine : elle constitue en elle-même un manquement à l'article 6-III-2 de la LCEN, distinct de l'absence d'identification de l'éditeur, et peut être sanctionnée indépendamment.
Le contenu obligatoire de la politique de confidentialité
La politique de confidentialité doit permettre à toute personne dont les données sont collectées de comprendre, en langage clair, comment ces données sont utilisées. Les articles 13 et 14 du RGPD fixent la liste des informations qui doivent obligatoirement y figurer :
- Identité et coordonnées du responsable du traitement
- Coordonnées du délégué à la protection des données, si un DPO a été désigné
- Finalités de chaque traitement et base légale correspondante
- Destinataires des données, y compris les sous-traitants éventuels
- Durée de conservation des données pour chaque finalité
- Droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité
- Droit d'introduire une réclamation auprès de la CNIL
- Existence et garanties d'un éventuel transfert de données hors de l'Union européenne
Ces informations doivent rester cohérentes avec le contenu du registre des traitements tenu en interne par l'entreprise, qui recense de façon plus détaillée chaque traitement de données mis en œuvre.
Lorsque le site dépose des cookies qui ne sont pas strictement nécessaires à son fonctionnement, comme des cookies publicitaires ou de mesure d'audience, le recueil préalable du consentement de l'utilisateur obéit à des règles spécifiques, détaillées dans notre article sur le recueil du consentement RGPD, distinctes de la simple information délivrée dans la politique de confidentialité.
Checklist : publier ces documents en conformité
Voici les points à vérifier pour que vos mentions légales et votre politique de confidentialité respectent les exigences légales applicables à votre site.
- Rédiger des mentions légales complètes, distinctes de la politique de confidentialité
- Faire figurer un lien « Mentions légales » visible sur chaque page du site
- Vérifier la présence des coordonnées complètes de l'hébergeur
- Ajouter un lien vers la politique de confidentialité près de chaque formulaire de collecte
- Mettre à jour ces documents dès qu'un changement de structure ou de traitement intervient
Où et comment publier ces documents ?
La LCEN n'impose pas d'emplacement précis pour les mentions légales, mais elle exige qu'elles soient tenues à la disposition du public de manière permanente et directement accessible. En pratique, un lien intitulé « Mentions légales », placé dans le pied de page de chaque page du site, satisfait à cette exigence.
Le RGPD ne fixe pas non plus d'emplacement unique pour la politique de confidentialité, mais il impose un moment précis pour la délivrer : au plus tard au moment de la collecte des données. Un lien accessible depuis le pied de page ne suffit donc pas seul ; il doit être complété par un renvoi explicite près de chaque formulaire susceptible de collecter des données personnelles.
Ces deux documents doivent également rester accessibles indépendamment d'une connexion active au site : un lien mort ou une page introuvable constitue un manquement, même si le contenu du document reste par ailleurs conforme.
Les sanctions en cas de non-conformité
L'absence ou l'inexactitude des mentions légales est punie par l'article 6-VI-2 de la LCEN d'une amende de 75 000 € pour une personne physique. Ce montant est porté à 375 000 € pour une personne morale, en application du mécanisme de quintuplement prévu par l'article 131-38 du Code pénal. Une peine d'emprisonnement d'un an peut également être prononcée.
Le manquement à l'obligation d'information posée par le RGPD relève d'un régime distinct. La CNIL peut prononcer un rappel à l'ordre, une mise en demeure, puis une amende administrative pouvant atteindre 20 000 000 € ou 4 % du chiffre d'affaires mondial annuel pour les manquements les plus graves. En pratique, les sanctions prononcées à l'encontre des TPE restent proportionnées à la taille de l'entreprise et à la gravité du manquement, comme le détaille notre article sur les sanctions CNIL applicables aux TPE.
Au-delà de la sanction elle-même, l'absence de ces documents fragilise la position de l'entreprise en cas de contrôle ou de réclamation d'un client, puisqu'elle ne peut alors démontrer sa bonne foi ni la transparence de ses pratiques.
FAQ : mentions légales et politique de confidentialité
Un auto-entrepreneur doit-il publier des mentions légales sur son site ?
Oui. L'obligation de publier des mentions légales s'applique à tout éditeur d'un site professionnel accessible au public, quel que soit son statut juridique ou son chiffre d'affaires. Un auto-entrepreneur y est soumis au même titre qu'une société commerciale.
Un site sans formulaire ni collecte de données doit-il quand même avoir une politique de confidentialité ?
Non, si le site ne traite réellement aucune donnée personnelle, y compris via des cookies de mesure d'audience ou des outils tiers. En revanche, les mentions légales restent obligatoires dans tous les cas, indépendamment de toute collecte de données.
Qui est responsable si les coordonnées de l'hébergeur sont absentes des mentions légales ?
C'est l'éditeur du site, c'est-à-dire le professionnel qui exploite le site, qui reste responsable de cette omission, et non l'hébergeur lui-même. La sanction prévue par la LCEN vise l'éditeur défaillant.
La politique de confidentialité doit-elle être modifiée après un changement de prestataire technique ?
Oui, dès qu'un nouveau prestataire intervient dans le traitement des données, par exemple un nouvel outil d'emailing ou un nouvel hébergeur, la politique de confidentialité doit être mise à jour pour refléter les destinataires réels des données.
Sources légales et réglementaires :
Article lié
RGPD pour les TPE et PME : obligations essentielles Toute TPE ou PME collectant des données personnelles doit respecter des obligations RGPD précises, souvent méconnues, mais indispensables pour éviter tout risque de sanction.Article lié
Sanctions CNIL pour les TPE : montants et procédure Les sanctions prononcées par la CNIL à l'encontre des TPE varient selon la gravité du manquement constaté, allant du simple avertissement à une amende financière.