Informations Légales Essentielles – Mon Expert RGPD

Depuis 2024, la CNIL a renforcé ses campagnes de contrôle automatisé sur les sites web des entreprises, et les informations légales figurent systématiquement parmi les premiers éléments vérifiés par les robots de l’autorité. Un constat s’impose pourtant : plus de 60 % des PME confondent encore les obligations issues de la LCEN avec celles du RGPD, ou omettent purement et simplement l’un des deux volets. Cette confusion n’est pas anodine, car elle expose les organisations à des sanctions cumulées, l’une pénale au titre de la loi de 2004, l’autre administrative au titre du règlement européen sur la protection des données.

La distinction entre mentions légales au sens strict et politique de confidentialité relève d’une architecture juridique précise, que beaucoup de responsables de sites internet ignorent ou négligent par simplification excessive. Un juriste d’entreprise ou un DPO interne sait pourtant que cette séparation documentaire n’est pas cosmétique : elle correspond à deux textes fondateurs distincts, avec des exigences de contenu, des sanctions et des autorités de contrôle différentes. La réglementation européenne impose par ailleurs un niveau de granularité informationnelle que peu de politiques de confidentialité respectent réellement, ce qui explique la multiplication des mises en demeure depuis l’annonce par l’EDPB de sa priorité d’action coordonnée sur la transparence.

En bref

• Les mentions légales (LCEN, art. 6-III) et la politique de confidentialité (RGPD, art. 13 et 14) constituent deux obligations distinctes, à ne jamais fusionner dans une même page
• L’article 13 du RGPD impose la communication de douze catégories d’informations lors de toute collecte directe de données personnelles
• L’absence de mentions légales expose à une amende pénale de 75 000 € pour une personne physique et 375 000 € pour une personne morale
• Un défaut d’information au sens du RGPD peut entraîner une sanction administrative allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial
• La transparence (art. 12 à 14) est désignée priorité d’action coordonnée 2026 par l’EDPB, ce qui laisse présager une intensification des contrôles

Le cadre réglementaire distinguant mentions légales et obligations d’information RGPD

Le premier point de méthode consiste à séparer clairement les fondements textuels. Les mentions légales au sens strict trouvent leur source dans la loi pour la confiance dans l’économie numérique du 21 juin 2004, article 6-III. Le RGPD, quant à lui, impose des obligations d’information spécifiques sur le traitement des données personnelles, détaillées aux articles 13 et 14, complétées par les exigences de forme de l’article 12 (le règlement général sur la protection des données).

En pratique, un site conforme doit comporter au minimum trois briques documentaires distinctes : une page de mentions légales, une politique de confidentialité, et un bandeau cookies conforme aux recommandations de la CNIL en matière d’ePrivacy. Chacune répond à un texte différent, avec des exigences propres. Les regrouper dans une page fourre-tout constitue une erreur fréquente, identifiée comme signal de non-conformité lors des contrôles automatisés.

Pourquoi la fusion documentaire est sanctionnée

La délibération CNIL contre Carrefour (novembre 2020, amende de 2 250 000 €) illustre ce risque : l’autorité a retenu que « la multiplicité des pages à consulter, des liens présents dans les différentes pages, ainsi que la redondance des informations ne permettent pas de considérer que les informations pertinentes pour les personnes sont aisément accessibles ». La licéité du traitement ne suffit pas si l’information qui l’accompagne est noyée dans un document illisible ou dispersée sans logique.

Les mentions légales obligatoires au titre de la LCEN

La LCEN distingue les personnes physiques et les personnes morales, avec des exigences de contenu différenciées. Dans la pratique du conseil, les mentions les plus fréquemment omises concernent l’identité de l’hébergeur et le nom du directeur de publication, deux éléments pourtant vérifiés en priorité par les robots de la CNIL.

Statut de l’éditeur	Mentions exigées	Texte de référence
Personne morale (SARL, SAS, association)	Raison sociale, forme juridique, siège social, SIRET, RCS, capital social, directeur de publication, hébergeur, TVA intracommunautaire	LCEN, art. 6-III
Profession réglementée	Idem personne morale, plus référence aux règles professionnelles et nom de l’ordre compétent	LCEN, art. 6-III + code de déontologie applicable
Auto-entrepreneur / personne physique	Nom, prénom, domicile ou adresse professionnelle, coordonnées de l’hébergeur	LCEN, art. 6-III (régime allégé)

L’absence de ces mentions n’est pas une simple irrégularité formelle : elle constitue une infraction pénale (LCEN, art. 6-VI-2), punie d’un an d’emprisonnement et de 75 000 € d’amende pour une personne physique, et de 375 000 € pour une personne morale. La DGCCRF procède à des contrôles réguliers, en particulier sur les sites e-commerce, ce qui rend cette responsabilité juridique concrète plutôt que théorique.

Le cas particulier de l’hébergeur et du directeur de publication

Le nom, l’adresse et le numéro de téléphone de l’hébergeur doivent figurer explicitement, même lorsque le site est édité par une agence tierce pour le compte de l’entreprise. Pour un modèle prêt à adapter, la ressource consacrée aux mentions légales détaille les formulations à privilégier selon la structure juridique de l’éditeur.

Les obligations d’information des articles 13 et 14 du RGPD

C’est sur ce volet que la majorité des sites restent défaillants. Le RGPD impose, au moment de la collecte, la communication d’une liste précise d’informations, qui se matérialise concrètement par une politique de confidentialité distincte des mentions légales. Cette exigence découle directement du principe de transparence posé par l’article 12, qui exige une information « concise, transparente, compréhensible et aisément accessible », formulée en des termes clairs et simples.

• Identité et coordonnées du responsable de traitement, ainsi que celles du DPO le cas échéant
• Finalités du traitement et base légale retenue pour chacune d’elles
• Intérêts légitimes poursuivis lorsque cette base est invoquée
• Destinataires des données, y compris sous-traitants et partenaires
• Transferts hors Union européenne et garanties appliquées
• Durée de conservation ou critères permettant de la déterminer
• Droits des personnes concernées et modalités d’exercice
• Existence éventuelle d’une prise de décision automatisée

Pour la collecte indirecte (article 14), les mêmes informations s’appliquent, augmentées de la source des données et des catégories concernées. L’information doit alors être fournie dans un délai raisonnable, fixé à un mois maximum, ou au moment du premier contact avec la personne. La liste complète des mentions d’information détaille précisément ces différences entre collecte directe et indirecte.

Des finalités précises, jamais génériques

La CNIL sanctionne systématiquement les formulations vagues du type « nous collectons vos données pour améliorer nos services ». Une finalité conforme s’énonce ainsi : « gestion des demandes de contact via le formulaire de la page Contact ». La différence semble mineure, mais elle conditionne l’appréciation de la licéité du traitement par l’autorité de contrôle en cas de plainte ou de contrôle spontané.

Structurer un site en pages distinctes pour garantir la conformité

La structure recommandée repose sur trois pages autonomes, chacune accessible depuis le pied de page et, pour la politique de confidentialité, depuis chaque point de collecte. Cette architecture évite l’écueil identifié dans la délibération Carrefour, où la dispersion de l’information avait été retenue comme manquement.

La politique de confidentialité gagne à être organisée par finalité de traitement plutôt que par recopie du texte réglementaire : gestion des demandes de contact, envoi de newsletter, gestion des comptes clients, analyse d’audience, prospection commerciale. Pour chaque finalité, il convient de préciser la base légale, les données collectées, les destinataires, la durée de conservation et les transferts éventuels. Les fiches pratiques de la CNIL sur les bases légales constituent une référence utile pour choisir le fondement juridique adapté à chaque traitement.

Une politique cookies distincte complète ce dispositif, avec le détail des traceurs utilisés, leur finalité et leur durée de vie. La CNIL exige que le refus soit aussi simple que l’acceptation, ce qui exclut tout dark pattern dans le paramétrage du consentement.

Les mentions contextuelles sous chaque formulaire

Au-delà des pages dédiées, le RGPD impose une information au point de collecte. Sous chaque formulaire, un court texte doit rappeler l’identité du responsable de traitement, la finalité poursuivie et la base légale, accompagné d’un lien vers la politique complète. Cette pratique répond directement à l’exigence d’accessibilité posée par l’article 12 et vérifiée en priorité lors des contrôles automatisés menés depuis 2024.

Erreurs fréquentes et niveau de sanction encouru

Plusieurs erreurs reviennent systématiquement dans l’audit des sites d’entreprise. La première consiste à fusionner mentions légales et politique de confidentialité dans une page unique, alors qu’il s’agit de deux documents fondés sur des textes distincts. La deuxième concerne l’affichage résiduel d’un numéro de déclaration CNIL, disparu depuis l’entrée en application du RGPD le 25 mai 2018 : sa présence signale un site non actualisé depuis près de huit ans et constitue un indicateur défavorable pour tout contrôle.

L’oubli des sous-traitants figure également parmi les manquements les plus courants. Hébergeur, outil d’emailing, CRM ou solution d’analytics sont tous des destinataires au sens du RGPD, et doivent être mentionnés au moins par catégorie. De même, l’usage d’outils américains comme certaines solutions d’analyse d’audience implique un transfert hors Union européenne, qui doit être signalé avec les garanties applicables, clauses contractuelles types ou cadre de transfert reconnu par la Commission européenne. Pour approfondir ces points, le guide des sept règles opérationnelles propose une checklist utile pour vérifier la couverture de chaque obligation.

Deux régimes de sanction cumulables

Le défaut de mentions légales relève du droit pénal, avec une amende de 75 000 € pour une personne physique et 375 000 € pour une personne morale. Le défaut d’information RGPD relève quant à lui du droit administratif, avec un plafond de 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel (RGPD, art. 83 §5 b). Ces deux régimes ne s’excluent pas : un même site peut cumuler les deux types de sanctions si les deux corpus de règles sont méconnus simultanément, ce qui renforce l’intérêt d’un audit distinct pour chacun des deux volets documentaires. La sécurité des données et la conformité formelle des mentions ne sont donc pas des sujets accessoires, mais deux piliers de la responsabilité juridique de l’éditeur du site.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Les mentions lu00e9gales et la politique de confidentialitu00e9 sont-elles la mu00eame chose ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. Les mentions lu00e9gales sont imposu00e9es par la LCEN de 2004 et concernent l’identification de l’u00e9diteur du site et de l’hu00e9bergeur. La politique de confidentialitu00e9 relu00e8ve des articles 13 et 14 du RGPD et porte sur le traitement des donnu00e9es personnelles. Ce sont deux documents distincts, fondu00e9s sur des textes diffu00e9rents, qui doivent figurer sur des pages su00e9paru00e9es. »}},{« @type »: »Question », »name »: »Faut-il encore afficher un numu00e9ro de du00e9claration CNIL ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non, ces du00e9clarations pru00e9alables ont u00e9tu00e9 supprimu00e9es depuis l’entru00e9e en application du RGPD le 25 mai 2018. Leur pru00e9sence ru00e9siduelle signale un site non mis u00e0 jour et peut u00eatre peru00e7ue comme un indicateur de non-conformitu00e9 lors d’un contru00f4le. »}},{« @type »: »Question », »name »: »Quelle sanction en cas d’absence de mentions lu00e9gales ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’absence de mentions lu00e9gales constitue une infraction pu00e9nale au titre de l’article 6-VI-2 de la LCEN : un an d’emprisonnement et 75 000 u20ac d’amende pour une personne physique, 375 000 u20ac pour une personne morale. Un du00e9faut d’information RGPD peut en parallu00e8le entrau00eener une amende administrative allant jusqu’u00e0 20 millions d’euros ou 4 % du chiffre d’affaires mondial. »}},{« @type »: »Question », »name »: »Ou00f9 placer la politique de confidentialitu00e9 sur un site internet ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Elle doit u00eatre accessible depuis toutes les pages via le pied de page, et en plus depuis chaque point de collecte de donnu00e9es comme les formulaires ou l’inscription u00e0 une newsletter. La CNIL vu00e9rifie cette accessibilitu00e9 lors de ses contru00f4les automatisu00e9s depuis 2024. »}},{« @type »: »Question », »name »: »Les outils d’emailing ou d’analytics doivent-ils u00eatre mentionnu00e9s dans la politique de confidentialitu00e9 ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui, ces prestataires sont considu00e9ru00e9s comme destinataires au sens du RGPD et doivent figurer dans la politique de confidentialitu00e9, au minimum par catu00e9gorie, avec pru00e9cision d’un u00e9ventuel transfert hors Union europu00e9enne et des garanties applicables. »}}]}

Les mentions légales et la politique de confidentialité sont-elles la même chose ?

Non. Les mentions légales sont imposées par la LCEN de 2004 et concernent l’identification de l’éditeur du site et de l’hébergeur. La politique de confidentialité relève des articles 13 et 14 du RGPD et porte sur le traitement des données personnelles. Ce sont deux documents distincts, fondés sur des textes différents, qui doivent figurer sur des pages séparées.

Faut-il encore afficher un numéro de déclaration CNIL ?

Non, ces déclarations préalables ont été supprimées depuis l’entrée en application du RGPD le 25 mai 2018. Leur présence résiduelle signale un site non mis à jour et peut être perçue comme un indicateur de non-conformité lors d’un contrôle.

Quelle sanction en cas d’absence de mentions légales ?

L’absence de mentions légales constitue une infraction pénale au titre de l’article 6-VI-2 de la LCEN : un an d’emprisonnement et 75 000 € d’amende pour une personne physique, 375 000 € pour une personne morale. Un défaut d’information RGPD peut en parallèle entraîner une amende administrative allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Où placer la politique de confidentialité sur un site internet ?

Elle doit être accessible depuis toutes les pages via le pied de page, et en plus depuis chaque point de collecte de données comme les formulaires ou l’inscription à une newsletter. La CNIL vérifie cette accessibilité lors de ses contrôles automatisés depuis 2024.

Les outils d’emailing ou d’analytics doivent-ils être mentionnés dans la politique de confidentialité ?

Oui, ces prestataires sont considérés comme destinataires au sens du RGPD et doivent figurer dans la politique de confidentialité, au minimum par catégorie, avec précision d’un éventuel transfert hors Union européenne et des garanties applicables.