Les mentions légales et la protection des données en ligne relèvent de deux cadres juridiques distincts, souvent confondus par les éditeurs de sites. La loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004 impose à tout site internet professionnel d’afficher des informations d’identification. Le RGPD, lui, encadre la collecte et le traitement des données personnelles des utilisateurs.
Ces deux obligations se croisent sur une même page web, mais leurs exigences, leurs sanctions et leurs évolutions récentes méritent d’être examinées séparément.
Contrôle des bandeaux cookies : ce que la CNIL sanctionne depuis 2025
Le sujet des mentions légales paraît stabilisé depuis la LCEN. Celui des cookies, en revanche, fait l’objet d’un durcissement concret. La CNIL a renforcé son contrôle des bandeaux cookies en 2025, en ciblant les sites qui déposaient des traceurs soumis au consentement avant toute action de l’utilisateur.
Le principe central tient en une phrase : refuser doit être aussi simple qu’accepter. Un bouton « Tout accepter » en un clic oblige le site à proposer un bouton de refus équivalent. Renvoyer l’utilisateur vers un écran de personnalisation complexe pour refuser peut constituer un manquement à l’article 82 de la loi Informatique et Libertés.
La CNIL a prononcé plus d’une vingtaine de nouvelles sanctions au titre de la procédure simplifiée sur ce sujet. Ces décisions ne visent pas uniquement les grands groupes. Des sites de taille modeste ont été sanctionnés pour des bandeaux non conformes, ce qui montre que le risque concerne aussi les petites structures.
Pour les éditeurs qui cherchent à vérifier la conformité de leur page réglementaire, il est possible de découvrir les mentions de Racing Fans comme exemple de présentation structurée, avant de comparer avec les recommandations de la CNIL.
Mentions légales obligatoires : le socle juridique et le risque pénal
L’absence de mentions légales n’est pas une simple négligence administrative. Le défaut de mentions légales constitue un délit pénal prévu par la LCEN. Les sanctions peuvent atteindre un an d’emprisonnement et une amende significative pour les personnes physiques.
Les informations exigées varient selon le statut de l’éditeur. Un entrepreneur individuel doit indiquer son nom, prénom, adresse, numéro d’immatriculation au RCS, coordonnées de contact (email et téléphone), numéro d’identification à la TVA, et les coordonnées de l’hébergeur du site.
- L’identité complète de l’éditeur, y compris la mention « entrepreneur individuel » ou les initiales EI pour les micro-entrepreneurs
- Les coordonnées de l’hébergeur du site : nom ou dénomination sociale, adresse et numéro de téléphone
- Pour les activités réglementées (pharmacie, débit de boissons), le nom et l’adresse de l’autorité ayant délivré l’autorisation
- Le numéro d’identification à la TVA intracommunautaire lorsque l’entreprise y est assujettie
Ces mentions doivent rester facilement accessibles depuis n’importe quelle page du site. Un lien en pied de page suffit, à condition qu’il soit visible et fonctionnel. La jurisprudence a confirmé que des mentions incomplètes ou volontairement erronées exposent l’éditeur aux mêmes sanctions que leur absence totale.
RGPD et données personnelles : la responsabilité ne s’arrête pas à votre formulaire
Le RGPD impose aux sites qui collectent des données personnelles d’informer les utilisateurs sur plusieurs points : la finalité du traitement, sa base juridique, les destinataires des données et les droits des personnes concernées (accès, rectification, suppression).
Un point souvent sous-estimé concerne les fichiers de prospection transmis par des partenaires. L’entreprise qui utilise des données achetées reste responsable de leur conformité. La CNIL rappelle que les entreprises doivent vérifier les conditions de collecte des fichiers transmis par des courtiers ou organisateurs de jeux-concours, notamment l’existence d’un consentement valable et la délivrance d’une information claire aux personnes.
Cette vérification en amont est rarement effectuée. Acheter un fichier d’adresses email « opt-in » ne suffit pas si le consentement initial ne couvrait pas explicitement l’usage prévu. La CNIL a ouvert une concertation sur la preuve du consentement dans le cadre du marketing, signe que ce sujet fera l’objet de clarifications réglementaires dans les mois à venir.
Formulaire de contact et newsletter
Un site vitrine avec un simple formulaire de contact collecte déjà des données personnelles. La CNIL recommande de prévoir des « mentions CNIL » en bas de chaque formulaire, un moyen de contact pour exercer ses droits par voie électronique, et des mentions légales identifiant l’éditeur.
L’abonnement à une newsletter ne doit pas conditionner l’accès au contenu du site. Ce principe, issu du concept de protection des données dès la conception, reste fréquemment ignoré par les sites qui imposent une inscription pour consulter un article ou télécharger un document.
Accessibilité numérique : une obligation distincte qui s’ajoute depuis juin 2025
L’European Accessibility Act s’applique depuis le 28 juin 2025 à certains services commerciaux destinés aux consommateurs. Cette obligation ne remplace ni les mentions légales ni le RGPD : elle s’y ajoute.
Les sites de commerce en ligne, les services bancaires numériques et d’autres catégories de services doivent désormais respecter des normes d’accessibilité spécifiques. Les retours terrain divergent sur le niveau de conformité réellement atteint par les entreprises concernées, d’autant que les modalités de contrôle varient selon les pays membres.
Pour un éditeur de site, cela signifie trois couches réglementaires à gérer simultanément : les mentions légales LCEN, la conformité RGPD (politique de confidentialité, bandeau cookies, registre des traitements) et, pour certains secteurs, les exigences d’accessibilité numérique issues du droit européen.
La superposition de ces obligations crée une charge de mise en conformité qui dépasse la simple rédaction d’une page « mentions légales ». Chaque couche a ses propres textes de référence, ses propres autorités de contrôle et ses propres sanctions. Un site peut être parfaitement conforme sur ses mentions légales tout en violant le RGPD par un bandeau cookies mal configuré, ou en ignorant ses nouvelles obligations d’accessibilité.
