Comment instaurer efficacement les Mentions Légales conformes au RGPD

Une société éditrice de site e-commerce basée à Lyon reçoit une mise en demeure de la CNIL en janvier 2026 : ses mentions légales ne comportent aucune référence au traitement des données de ses 40 000 clients inscrits. Ce cas, loin d’être isolé, illustre une confusion persistante entre l’obligation formelle issue de la LCEN et les exigences substantielles du RGPD. Deux textes, deux logiques, une seule page web censée les concilier.

Le régime des mentions légales obéit à un empilement normatif rarement clarifié dans la pratique des entreprises. L’article 6 III de la loi pour la confiance dans l’économie numérique impose l’identification de l’éditeur et de l’hébergeur, sans lien direct avec la protection des données. Le RGPD, lui, impose au titre de ses articles 13 et 14 une information distincte, souvent renvoyée à une politique de confidentialité séparée. La question qui se pose aux juristes n’est donc pas de savoir si ces obligations coexistent, mais comment les articuler sans créer de doublons ni de lacunes dans la transparence due aux personnes concernées.

En bref :

• Les mentions légales LCEN et l’information RGPD répondent à des bases légales distinctes, avec des sanctions différenciées
• L’absence de mention sur le traitement des données personnelles expose à une amende de 1 500 euros au titre du droit commun
• Le défaut de consentement préalable relève de l’article 226-16 du Code pénal, jusqu’à 300 000 euros et cinq ans d’emprisonnement
• La CNIL peut prononcer des sanctions administratives allant de 2 à 4 % du chiffre d’affaires mondial
• Neuf informations minimales doivent figurer dans le dispositif d’information, qu’il soit intégré aux mentions légales ou séparé

Le cadre réglementaire distinct entre LCEN et RGPD

La confusion terminologique entre « mentions légales » et « mentions RGPD » mérite d’être levée avant toute rédaction. L’article 6 III de la LCEN de 2004 impose l’identification civile ou commerciale de l’éditeur, ses coordonnées, son numéro SIRET, ainsi que l’identité de l’hébergeur. Ce socle reste inchangé depuis vingt ans et ne traite à aucun moment de la protection des données personnelles.

Le RGPD, entré en application le 25 mai 2018, introduit une obligation d’information distincte, codifiée aux articles 13 (collecte directe) et 14 (collecte indirecte). Cette information peut techniquement figurer dans la même page que les mentions légales, mais rien n’impose cette fusion. La CNIL propose d’ailleurs des modèles de mentions d’information qui suggèrent implicitement une séparation, notamment pour les structures traitant des volumes importants de données ou recourant à des sous-traitants multiples.

Critère	Mentions légales (LCEN)	Mentions d’information (RGPD)
Base légale	Article 6 III LCEN	Articles 13 et 14 RGPD
Contenu principal	Identité éditeur, hébergeur, SIRET	Finalités, base juridique, durée de conservation
Sanction pénale	Amende de 1 500 euros	Jusqu’à 300 000 euros et 5 ans (art. 226-16 CP)
Sanction administrative	Non applicable	2 à 4 % du chiffre d’affaires (CNIL)
Autorité de contrôle	Tribunaux judiciaires	CNIL et juridictions pénales

Cette distinction structurelle conditionne la rédaction. Un site qui se contente de reproduire un modèle LCEN sans traiter le volet informationnel du RGPD reste en infraction, même si ses mentions légales sont par ailleurs impeccables sur le plan de l’identification de l’éditeur.

Les neuf informations obligatoires de l’article 13 du RGPD

L’article 13 §1 et §2 du RGPD dresse une liste exhaustive des informations à communiquer lors d’une collecte directe. Cette liste ne souffre pas d’interprétation restrictive : la CNIL considère qu’une omission, même mineure, constitue un manquement au devoir d’information, indépendamment de la gravité du traitement concerné.

Identification du responsable de traitement et de son délégué

Le responsable de traitement doit être identifié par sa dénomination sociale complète, non par un simple nom commercial. Lorsqu’un délégué à la protection des données a été désigné, ses coordonnées doivent figurer explicitement, y compris lorsqu’il s’agit d’un DPO externalisé mutualisé entre plusieurs structures. La pratique du « contact RGPD générique » (une adresse type rgpd@societe.fr sans identification nominative) reste tolérée par la CNIL, à condition que les délais de réponse soient respectés.

Base juridique, finalités et durée de conservation

Trois éléments cristallisent l’essentiel des contentieux observés : la base juridique invoquée (consentement, intérêt légitime, exécution contractuelle), la finalité précise du traitement, et la durée de conservation des données. Sur ce dernier point, une formulation du type « durée nécessaire aux finalités du traitement » sans précision chiffrée est jugée insuffisante par plusieurs délibérations de la CNIL, qui exige une durée déterminée ou déterminable selon des critères objectifs.

• Identité et coordonnées du responsable de traitement
• Coordonnées du délégué à la protection des données, le cas échéant
• Finalités du traitement et base juridique associée
• Intérêts légitimes poursuivis, si cette base est invoquée
• Destinataires ou catégories de destinataires des données
• Transferts hors Union européenne et garanties associées
• Durée de conservation ou critères permettant de la déterminer
• Droits des personnes concernées (accès, rectification, effacement, opposition)
• Droit d’introduire une réclamation auprès de la CNIL

La rédaction des mentions légales conformes au RGPD impose donc un exercice de précision rarement compatible avec les modèles génériques trouvés en ligne, qui omettent fréquemment la mention explicite du droit de réclamation auprès de l’autorité de contrôle.

Distinction entre collecte directe et collecte indirecte des données

L’articulation entre les articles 13 et 14 du RGPD reste mal maîtrisée dans la pratique des entreprises, y compris chez des structures disposant d’un service juridique dédié. L’article 13 s’applique lorsque les données sont recueillies directement auprès de la personne concernée, typiquement via un formulaire de contact ou une inscription à une newsletter. L’article 14 vise les cas où les données proviennent d’un tiers : achat de fichiers, enrichissement via des courtiers en données, ou collecte via des partenaires commerciaux.

Cette distinction n’est pas anodine sur le plan des délais. L’article 14 §3 impose une information dans un délai raisonnable n’excédant pas un mois après l’obtention des données, ou au moment de la première communication si les données sont utilisées pour contacter la personne. Une entreprise qui achète une base de prospects B2B et attend six semaines avant d’informer les personnes concernées se trouve techniquement en infraction, même si elle n’a jamais utilisé ces données pour du démarchage effectif.

Le guide détaillé sur les mentions d’information RGPD souligne un point souvent négligé : les exceptions prévues à l’article 14 §5, notamment lorsque l’information se révèle impossible ou exigerait des efforts disproportionnés. Cette exception reste d’interprétation stricte et la charge de la preuve pèse sur le responsable de traitement, non sur l’autorité de contrôle.

Consentement et gestion des cookies dans les mentions légales

La question du consentement aux cookies illustre une zone de recouvrement entre le RGPD et la directive ePrivacy, transposée en droit français à l’article 82 de la loi Informatique et Libertés. Contrairement à une idée répandue, les mentions légales stricto sensu n’ont pas vocation à recueillir ce consentement : cette fonction relève du bandeau cookies et de la politique de gestion associée, mais les mentions légales ou la politique de confidentialité doivent en revanche exposer les modalités de ce recueil.

La CNIL a précisé dans sa délibération relative aux lignes directrices cookies que le consentement doit être libre, spécifique, éclairé et univoque. Un bandeau proposant uniquement un bouton « Accepter » sans option de refus équivalente en visibilité est jugé non conforme depuis plusieurs sanctions prononcées à l’encontre d’éditeurs de sites d’actualité en 2022, une jurisprudence qui reste pleinement applicable en 2026.

Traitement des demandes d’exercice des droits

Le dispositif d’information doit également exposer les modalités concrètes d’exercice des droits : adresse électronique dédiée, formulaire en ligne, ou courrier postal. Le RGPD n’impose pas de canal unique, mais l’article 12 §3 fixe un délai de réponse d’un mois, prorogeable de deux mois supplémentaires en cas de complexité particulière, à condition d’en informer le demandeur dans le délai initial.

Une entreprise qui ne répond pas dans les délais s’expose non seulement à une réclamation CNIL, mais également à un risque de qualification de manquement systémique si plusieurs plaintes convergent. La mise en conformité des mentions légales au RGPD suppose donc une organisation interne capable de tracer les demandes reçues, pas uniquement une page web statique.

Sanctions applicables et hiérarchie des risques contentieux

Le régime de sanction combine trois strates distinctes, rarement présentées ensemble dans les guides pratiques. La première relève du droit commun des mentions légales : l’absence d’information sur le traitement des données personnelles ou les cookies expose à une amende de 1 500 euros, montant inchangé depuis l’entrée en vigueur du texte. Cette sanction, purement forfaitaire, ne tient pas compte de la gravité du manquement ni du nombre de personnes concernées.

La deuxième strate relève du droit pénal, via l’article 226-16 du Code pénal, qui vise spécifiquement le traitement de données sans consentement préalable des personnes concernées. Cette infraction est punie de cinq ans d’emprisonnement et 300 000 euros d’amende, un quantum qui reste théorique dans la pratique observée mais qui structure la négociation en cas de contentieux pénal parallèle à une procédure CNIL.

La troisième strate, la plus fréquemment activée, relève des pouvoirs de sanction administrative de la CNIL. Les amendes peuvent atteindre 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves visés à l’article 83 §5 du RGPD (absence de base légale, non-respect des droits des personnes), et 2 % pour les manquements de l’article 83 §4 (obligations du responsable de traitement et du sous-traitant, sécurité informatique insuffisante).

Type de manquement	Fondement	Sanction maximale
Absence de mention sur le traitement des données	Droit commun / LCEN	1 500 euros
Traitement sans consentement préalable	Article 226-16 Code pénal	300 000 euros, 5 ans
Manquement aux obligations du responsable de traitement	Article 83 §4 RGPD	2 % du CA mondial
Absence de base légale ou violation des droits	Article 83 §5 RGPD	4 % du CA mondial

Cette gradation explique pourquoi les obligations légales liées aux mentions d’information ne peuvent être traitées comme un simple exercice de rédaction ponctuel. Les entreprises disposant d’un logiciel dédié à la cartographie des traitements limitent sensiblement ce risque, un comparatif des solutions existantes permettant d’objectiver les écarts de couverture fonctionnelle entre les principaux éditeurs du marché en 2026. Un générateur de mentions légales peut constituer un point de départ pour les structures les plus modestes, à condition de vérifier systématiquement l’adéquation du modèle proposé avec la nature réelle des traitements opérés, ce que ces outils automatisés ne peuvent objectivement pas garantir dans tous les cas de figure.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Les mentions lu00e9gales et la politique de confidentialitu00e9 doivent-elles u00eatre sur la mu00eame page ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Aucune obligation lu00e9gale n’impose une page unique. La su00e9paration est mu00eame recommandu00e9e pour les structures traitant des volumes importants de donnu00e9es, car elle facilite la mise u00e0 jour indu00e9pendante de chaque dispositif sans reformater l’ensemble du document. »}},{« @type »: »Question », »name »: »Un auto-entrepreneur doit-il du00e9signer un du00e9lu00e9guu00e9 u00e0 la protection des donnu00e9es ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La du00e9signation d’un DPO n’est obligatoire que dans les cas pru00e9vus u00e0 l’article 37 du RGPD, notamment pour les traitements u00e0 grande u00e9chelle de donnu00e9es sensibles. Un contact habilitu00e9 suffit pour les structures non concernu00e9es par cette obligation. »}},{« @type »: »Question », »name »: »Que risque une entreprise qui utilise un modu00e8le de mentions lu00e9gales trouvu00e9 en ligne sans adaptation ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Le risque principal ru00e9side dans l’inadu00e9quation entre le modu00e8le gu00e9nu00e9rique et les traitements ru00e9els opu00e9ru00e9s, notamment sur la duru00e9e de conservation ou les destinataires des donnu00e9es, ce qui constitue un manquement au devoir d’information mu00eame sans intention frauduleuse. »}},{« @type »: »Question », »name »: »Le consentement aux cookies doit-il u00eatre renouvelu00e9 pu00e9riodiquement ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »La CNIL recommande un renouvellement du recueil de consentement tous les 13 mois maximum, duru00e9e alignu00e9e sur la duru00e9e de vie maximale recommandu00e9e pour les cookies traceurs non essentiels. »}},{« @type »: »Question », »name »: »Une entreprise transfu00e9rant des donnu00e9es hors Union europu00e9enne doit-elle le pru00e9ciser explicitement ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui, l’article 13 u00a71 f) du RGPD impose de mentionner l’existence d’un transfert hors UE ainsi que les garanties appropriu00e9es mises en u0153uvre, comme les clauses contractuelles types adoptu00e9es par la Commission europu00e9enne. »}}]}

Les mentions légales et la politique de confidentialité doivent-elles être sur la même page ?

Aucune obligation légale n’impose une page unique. La séparation est même recommandée pour les structures traitant des volumes importants de données, car elle facilite la mise à jour indépendante de chaque dispositif sans reformater l’ensemble du document.

Un auto-entrepreneur doit-il désigner un délégué à la protection des données ?

La désignation d’un DPO n’est obligatoire que dans les cas prévus à l’article 37 du RGPD, notamment pour les traitements à grande échelle de données sensibles. Un contact habilité suffit pour les structures non concernées par cette obligation.

Que risque une entreprise qui utilise un modèle de mentions légales trouvé en ligne sans adaptation ?

Le risque principal réside dans l’inadéquation entre le modèle générique et les traitements réels opérés, notamment sur la durée de conservation ou les destinataires des données, ce qui constitue un manquement au devoir d’information même sans intention frauduleuse.

Le consentement aux cookies doit-il être renouvelé périodiquement ?

La CNIL recommande un renouvellement du recueil de consentement tous les 13 mois maximum, durée alignée sur la durée de vie maximale recommandée pour les cookies traceurs non essentiels.

Une entreprise transférant des données hors Union européenne doit-elle le préciser explicitement ?

Oui, l’article 13 §1 f) du RGPD impose de mentionner l’existence d’un transfert hors UE ainsi que les garanties appropriées mises en œuvre, comme les clauses contractuelles types adoptées par la Commission européenne.