Mentions légales et politique de confidentialité : ce qui est obligatoire

Deux documents, deux rôles

Les mentions légales répondent à une obligation d'identification issue du droit de la consommation et de la confiance dans l'économie numérique : elles disent qui se cache derrière le site. La politique de confidentialité, elle, répond à l'obligation d'information du RGPD : elle explique quelles données sont collectées et comment elles sont utilisées. Un site sérieux dispose des deux, généralement accessibles depuis le pied de page.

Ce que doivent contenir les mentions légales

• L'identité de l'éditeur : nom ou dénomination sociale, forme juridique, adresse.
• Pour une société : le capital social et le numéro d'immatriculation (RCS, SIREN).
• Les coordonnées de contact (e-mail, éventuellement téléphone).
• Le nom du directeur de la publication.
• L'identité et les coordonnées de l'hébergeur du site.
• Le cas échéant, le numéro de TVA intracommunautaire et les informations propres aux professions réglementées.

Ce que doit contenir la politique de confidentialité

La politique de confidentialité doit permettre à un visiteur de comprendre, sans effort, ce que vous faites de ses données. Les informations attendues au titre des articles 13 et 14 du RGPD :

• L'identité du responsable de traitement et, le cas échéant, du DPO.
• Les finalités de chaque traitement et leur base légale.
• Les catégories de données collectées.
• Les destinataires des données (dont les sous-traitants) et les éventuels transferts hors UE.
• Les durées de conservation, par finalité.
• Les droits des personnes et la façon concrète de les exercer.
• Le droit d'introduire une réclamation auprès de la CNIL.

Ce que montre le Baromètre France Num sur ces deux documents

Le Baromètre de la conformité RGPD des TPE et PME (France Num, édition 2024), basé sur des diagnostics réels de sites, chiffre précisément l'ampleur du problème.

• 44 % des politiques de confidentialité analysées ne respectent pas les exigences du RGPD — le plus souvent des documents génériques qui ne reflètent pas les traitements réellement en place.
• 48 % des sites ne font pas figurer les mentions légales obligatoires au niveau de leur formulaire de contact.
• Plus largement, 88 % des sites analysés présentaient au moins une non-conformité RGPD identifiable — un chiffre qui remet en perspective l'idée que ces deux documents sont un détail administratif secondaire.

Les erreurs les plus courantes

Le piège classique est la politique « copiée-collée » d'un modèle générique, qui ne reflète pas les outils réellement utilisés : elle mentionne des traitements inexistants, ou passe sous silence la mesure d'audience et les transferts hors UE bien présents. Une politique doit décrire votre réalité, pas un site théorique. L'autre erreur fréquente est l'oubli pur et simple des durées de conservation et de la marche à suivre pour exercer ses droits.

Que risque une entreprise en cas de mentions incomplètes ?

L'absence de mentions légales, ou leur caractère manifestement incomplet, est une infraction prévue par la loi pour la confiance dans l'économie numérique (LCEN), qui prévoit des sanctions civiles et pénales. Dans les faits, une TPE n'est pas la cible prioritaire de contrôles pour ce seul motif : le risque le plus fréquent est plutôt qu'un visiteur ou un partenaire ne trouve pas à qui il a affaire et se méfie, ou que le point remonte lors d'un contrôle portant sur un autre sujet (cookies, sécurité).

Pour la politique de confidentialité, l'absence ou l'incomplétude constitue un manquement à l'obligation d'information des articles 13 et 14 du RGPD, qui peut faire l'objet d'une plainte auprès de la CNIL — en particulier si un visiteur ne parvient pas à savoir comment exercer ses droits.

Cas particulier : site créé avec un constructeur (Shopify, Wix, WordPress.com…)

Utiliser un constructeur de site clé en main ne change rien à votre statut d'éditeur : c'est toujours votre identité, et non celle de la plateforme, qui doit figurer dans les mentions légales. Ce qui change, c'est l'hébergeur : sur ces solutions, l'hébergement est assuré par la plateforme elle-même, pas par un prestataire que vous choisissez.

Il faut alors indiquer les informations d'hébergement propres à la plateforme — généralement publiées dans son centre d'aide ou ses propres mentions légales — plutôt qu'une mention approximative du type « hébergé par [nom commercial de l'outil] » sans adresse ni précision.

• Éditeur du site : toujours vous (ou votre société), jamais le nom du constructeur.
• Hébergeur : l'entité technique réelle indiquée par la plateforme, pas seulement sa marque commerciale.
• En cas de doute, le support de la plateforme peut généralement fournir l'information exacte à recopier.

Cas pratique : le test en trois questions

Pour savoir si vos deux pages sont réellement complètes, un test rapide suffit. Ouvrez vos mentions légales et posez-vous trois questions : un visiteur peut-il identifier sans ambiguïté qui édite ce site (nom, forme juridique, adresse) ? Peut-il identifier l'hébergeur, avec une adresse et non une simple marque ? Peut-il vous contacter directement, sans passer par un formulaire générique qui n'aboutit nulle part ? Si l'une des trois réponses est non, la page est incomplète.

Faites le même exercice avec la politique de confidentialité : un visiteur peut-il savoir, sans deviner, quelles données sont collectées, pendant combien de temps, et comment en demander la suppression ? Une politique de plusieurs pages qui ne répond pas concrètement à ces trois questions échoue au même test qu'une mention légale trop courte — la longueur du document ne remplace pas sa précision.

Comment structurer concrètement votre politique

Au-delà de la liste des informations obligatoires, l'ordre et la clarté comptent : un visiteur doit pouvoir retrouver rapidement ce qui le concerne. Un plan éprouvé :

• Qui traite vos données (identité, contact).
• Pourquoi (les finalités, une par une).
• Sur quelle base légale.
• Combien de temps elles sont conservées.
• Avec qui elles sont partagées (destinataires, sous-traitants, transferts hors UE).
• Comment exercer vos droits (contact, délai).
• Comment contacter la CNIL en cas de désaccord.