Mentions légales, CGV, RGPD : ce que votre site doit obligatoirement contenir (2026)

Qu'est-ce qui est vraiment obligatoire sur un site pro en 2026 ?

Trois textes le sont, deux ne le sont qu'à certaines conditions. Voici la matrice claire :

Pour un artisan typique avec site vitrine + formulaire de contact : mentions légales obligatoires, politique de confidentialité obligatoire, cookies si Analytics activé. Pas de CGV nécessaires si vous facturez hors ligne.

Quelles informations doivent figurer dans les mentions légales ?

L'article 6-III de la LCEN (loi pour la confiance dans l'économie numérique du 21 juin 2004, modifiée plusieurs fois depuis) liste les mentions obligatoires^[1]. Voici la checklist complète pour 2026 :

• Nom ou raison sociale de l'éditeur du site
• Adresse (siège social ou domicile pour un EI/auto-entrepreneur)
• Numéro de téléphone et adresse e-mail
• Numéro SIRET ou SIREN
• Numéro de TVA intracommunautaire si assujetti
• Forme juridique et capital social pour les sociétés
• Numéro RCS ou RM avec ville d'immatriculation
• Nom du directeur de publication (généralement le représentant légal)
• Hébergeur : nom, raison sociale, adresse, téléphone
• Profession réglementée (artisan diplômé, professions libérales) : ordre/organisme, pays d'origine, titre/diplôme

Pour un auto-entrepreneur : nom, prénom, adresse, e-mail, téléphone, SIREN, code APE, mention « TVA non applicable, art. 293 B du CGI » si applicable, et hébergeur.

Comment rédiger une politique de confidentialité conforme RGPD ?

Le RGPD (Règlement général sur la protection des données, applicable depuis le 25 mai 2018) impose une transparence stricte. Si vous collectez la moindre donnée personnelle (nom, e-mail dans un formulaire, cookie analytics), vous devez informer les visiteurs.

Les 10 mentions exigées par la CNIL^[2] :

1. Identité du responsable de traitement (vous)
2. Finalités du traitement (« contact commercial », « envoi newsletter »)
3. Base légale (consentement, contrat, intérêt légitime)
4. Destinataires des données (interne, hébergeur, sous-traitants)
5. Durée de conservation (3 ans après dernier contact pour prospects)
6. Droits des personnes (accès, rectification, opposition, effacement, portabilité)
7. Modalités d'exercice de ces droits (contact)
8. Existence d'un transfert hors UE le cas échéant
9. Droit de réclamation auprès de la CNIL
10. Existence ou non d'une décision automatisée / profilage

Bon réflexe : ne pas copier-coller la politique d'un autre site. Adaptez à vos vrais traitements. Les sanctions tombent quand la politique mentionne des choses non pratiquées… ou inversement.

La bannière de cookies est-elle obligatoire ?

Réponse claire : uniquement si vous déposez des cookies non strictement nécessaires. Les cookies de panier, session, préférences linguistiques ne nécessitent pas de bannière. Les cookies analytics, marketing, réseaux sociaux : si.

Depuis les lignes directrices CNIL d'octobre 2020 (et l'arrêt CJUE Planet49 d'octobre 2019)^[3], la bannière doit respecter :

• Consentement explicite avant tout dépôt (pas de pré-cochage)
• Bouton « Refuser tout » aussi visible que « Accepter tout »
• Information claire sur les types de cookies et leur finalité
• Possibilité de retirer son consentement aussi facilement que de le donner
• Pas de dark pattern (couleurs trompeuses, refus caché)

Cas pratique : un site WordPress avec Google Analytics 4 + pixel Facebook = bannière obligatoire. Un site statique de plomberie avec juste un formulaire Brevo et 0 cookie analytics = pas de bannière, juste la politique de confidentialité.

Solutions gratuites recommandées : Tarteaucitron (CNIL-approved, made in France), Axeptio (freemium), Cookiebot (au-delà de 100 pages, payant).

Quand faut-il des CGV sur son site ?

Les CGV (Conditions Générales de Vente) sont obligatoires dans deux cas précis :

1. Vente en ligne (e-commerce, paiement web) : obligatoires en B2C, fortement recommandées en B2B.
2. Prestation contractualisée via le site : si le visiteur peut commander/réserver un service en ligne.

Cas où elles ne sont pas obligatoires :

• Site vitrine d'artisan, devis hors ligne, facturation papier
• Site institutionnel sans transaction
• Blog sans monétisation
• Portfolio sans vente directe

Que doivent contenir des CGV ? Article L.111-1 du Code de la consommation : caractéristiques du produit/service, prix, modalités de paiement, livraison, garanties légales, droit de rétractation 14 jours (B2C distance), médiation de la consommation.

Quelles sont les sanctions réelles pour une TPE ?

Soyons honnêtes : la CNIL ne sanctionne pas un coiffeur à 20 millions d'euros pour une bannière cookies manquante. Mais les sanctions existent et tombent. Voici les cas réels 2024-2025 que j'ai vus :

Source : sanctions publiées sur cnil.fr (rubrique sanctions) et legifrance pour les arrêts. La CNIL privilégie la mise en demeure avant la sanction dans 80 % des cas pour les TPE^[4].

Le vrai risque : une réclamation client mal gérée qui escalade. Un client qui demande l'effacement de ses données, vous l'ignorez, il porte plainte à la CNIL, et là vous entrez dans la mécanique. 90 % des sanctions TPE viennent d'une réclamation, pas d'un contrôle aléatoire.

Comment intégrer ces pages sur son site ?

Six règles d'or :

1. Lien direct dans le footer, accessible depuis chaque page
2. Pas en pop-up ni caché derrière un mega menu
3. URL parlantes : /mentions-legales, /confidentialite, /cgv
4. Date de dernière mise à jour en haut de chaque texte
5. Versionner les modifications (utile en cas de litige)
6. Indexables par Google (pas en noindex)

Petit conseil bonus : si vous avez un sous-domaine boutique séparé, dupliquez les mentions sur les deux. Pas de renvoi par redirection.

Erreurs classiques à éviter

Cinq pièges récurrents en audit :

• Copier les mentions d'un concurrent. Risque : adresse, SIRET, hébergeur qui ne correspondent pas. Pire qu'aucune mention.
• Mettre les mentions en image PNG. Inutile pour le contrôleur, et illisible pour les déficients visuels (autre obligation : RGAA).
• Politique RGPD copiée mais Google Analytics activé sans bannière. Contradiction visible, sanction facile.
• Bannière cookies avec « Accepter » bouton géant et « Refuser » en lien minuscule = dark pattern, sanction CNIL caractérisée.
• Oublier le numéro de l'hébergeur. Spécifiquement listé dans la LCEN, oubli courant.

Faut-il un avocat pour rédiger ces documents ?

Pour 90 % des artisans et TPE, non. Les générateurs gratuits suffisent :

• cnil.fr propose des modèles gratuits de politique de confidentialité
• service-public.fr liste les mentions légales obligatoires
• economie.gouv.fr fournit des modèles de CGV par secteur
• Legalstart, Captain Contrat : générateurs payants 30-80 € si vous voulez une version premium

Un avocat devient utile au-delà de : e-commerce sérieux (> 10k€/mois), traitement de données sensibles (santé, biométrie), activité internationale, ou si vous avez déjà eu un contentieux.

FAQ