Article mis à jour le 09/08/2026
Les pages légales d’un site sont souvent rédigées au moment de sa création, puis laissées de côté. Pourtant, le site évolue : nouveau formulaire, outil d’analyse d’audience, newsletter, espace client, vente en ligne… et les informations affichées ne correspondent plus toujours à son fonctionnement réel. Dans le cadre d’un projet web professionnel, la conformité ne se résume donc pas à ajouter quelques liens dans le pied de page.
Les obligations dépendent de votre statut, de votre activité, de vos clients, des fonctionnalités proposées et des données réellement traitées. Voici comment distinguer les principaux documents, repérer ce qui concerne votre site et organiser les vérifications utiles.
Mentions légales, confidentialité, CGU et CGV : ne mélangeons pas tout
Ces documents peuvent se côtoyer sur un même site, mais ils n’ont ni la même fonction ni le même caractère obligatoire. Les regrouper dans une page générique copiée sur un autre site risque de créer des incohérences plutôt que de les résoudre.
Les mentions légales identifient le responsable du site
Tout site internet professionnel doit rendre ses mentions légales facilement accessibles. Elles permettent notamment d’identifier l’éditeur du site et son hébergeur. Leur contenu varie selon qu’il s’agit d’un entrepreneur individuel ou d’une société, mais peut comprendre l’identité ou la dénomination sociale, l’adresse, les coordonnées de contact, les numéros d’immatriculation et de TVA, le capital social pour une société, ainsi que certaines informations propres aux activités réglementées.
Les listes officielles ne sont d’ailleurs pas strictement identiques selon le statut. Il faut donc consulter la fiche correspondant à votre situation : mentions obligatoires pour un entrepreneur individuel ou mentions obligatoires pour une société.
La politique de confidentialité explique les traitements de données
Dès qu’un site collecte ou utilise des données personnelles — par exemple via un formulaire, un compte client, une commande ou certains outils de mesure — les personnes concernées doivent être informées de façon claire et accessible. La CNIL détaille les informations à fournir : identité du responsable, finalités, base légale, caractère obligatoire ou facultatif des données, destinataires, durées de conservation, droits, modalités d’exercice de ces droits, possibilité de saisir la CNIL et, le cas échéant, transferts hors de l’Union européenne.
Une politique de confidentialité peut centraliser cette information, mais elle ne dispense pas d’informer la personne au moment pertinent. Sous un formulaire de contact, par exemple, une mention concise doit expliquer immédiatement l’usage des données et renvoyer vers l’information complète. Les exemples de la CNIL sont des bases à adapter, pas des textes universels à copier.
Les CGU encadrent l’utilisation du site ou du service
Les conditions générales d’utilisation définissent les règles d’accès et d’usage d’un site ou d’un service. Elles peuvent être utiles lorsqu’un utilisateur crée un compte, publie du contenu, accède à un espace communautaire ou utilise une fonctionnalité en ligne. Elles peuvent notamment traiter de la disponibilité du service, des comportements interdits, de la propriété intellectuelle ou de la gestion des comptes.
Contrairement aux mentions légales, les CGU ne constituent pas une obligation générale applicable à tous les sites professionnels. Leur utilité dépend du service proposé. Et accepter des CGU ne vaut pas consentement aux cookies : la CNIL rappelle expressément que ces deux démarches ne peuvent pas être confondues.
Les CGV encadrent une relation commerciale
Les conditions générales de vente fixent le cadre contractuel de la vente de produits ou de prestations. Pour une offre adressée à des consommateurs et conclue à distance, les informations précontractuelles doivent être communiquées avant que le client soit engagé, de manière claire, lisible et compréhensible. Les CGV regroupent généralement les caractéristiques de l’offre, le prix, le paiement, la livraison ou l’exécution, les garanties, la rétractation lorsqu’elle s’applique, la résiliation et la médiation de la consommation.
Entre professionnels, les CGV ne doivent pas nécessairement être affichées sur le site, mais elles doivent pouvoir être communiquées à l’acheteur professionnel qui les demande. Lorsqu’elles existent, elles constituent le socle de la négociation commerciale. Le cadre officiel des CGV distingue précisément les relations B2C et B2B.
Les obligations dépendent surtout de ce que fait réellement votre site
Un site vitrine, une boutique en ligne et une plateforme avec espace connecté n’exposent pas les mêmes informations et ne traitent pas les mêmes données. La bonne méthode consiste à partir des fonctionnalités réellement actives.
Le site vitrine avec un formulaire de contact
Même un site très simple peut collecter des données personnelles. Un formulaire transmet généralement un nom, une adresse électronique, un numéro de téléphone et le contenu d’un message. Le site doit alors prévoir des mentions légales accessibles, une information adaptée au formulaire, une politique de confidentialité cohérente, des mesures de sécurité et une durée de conservation justifiée.
Demander des informations « au cas où » n’est pas une bonne pratique : seules les données nécessaires à la finalité annoncée doivent être collectées. La réception d’un message ne permet pas non plus d’inscrire automatiquement son auteur à une prospection commerciale sans examiner les règles applicables.
Le site qui utilise des outils de mesure, des vidéos ou des services tiers
Une vidéo intégrée, une carte interactive, un module social, une solution de chat, un outil publicitaire ou un service d’analyse d’audience peut déposer des traceurs ou transmettre des données à un tiers. Le nom visible dans l’interface WordPress ne suffit pas à déterminer ce qui se passe : il faut vérifier les scripts chargés, leur finalité, les destinataires, la configuration retenue et les éventuels transferts de données.
L’inventaire doit être refait lorsqu’un outil est ajouté, remplacé ou reconfiguré. Une politique de confidentialité qui cite un service supprimé depuis deux ans est datée ; une politique qui oublie le nouvel outil installé la veille l’est déjà aussi.
Le site marchand ou permettant de conclure un contrat
La vente en ligne ajoute des obligations liées à l’information précontractuelle, au parcours de commande, au paiement, à la livraison ou à l’exécution, aux garanties, aux réclamations et au droit de rétractation lorsqu’il s’applique. La fiche officielle sur les règles du commerce électronique permet d’identifier le socle commun et les différences selon le client et l’offre.
Depuis le 19 juin 2026, un professionnel qui conclut à distance un contrat avec un consommateur via une interface en ligne doit également proposer une fonctionnalité permettant d’exercer directement en ligne le droit de rétractation. Cette évolution concerne l’interface et les informations contractuelles : ajouter une phrase dans les CGV sans prévoir le parcours correspondant ne suffit pas. Des exceptions au droit de rétractation existent selon les biens et services ; elles doivent être examinées au cas par cas.
Le site avec compte ou espace connecté
Un compte utilisateur implique notamment de sécuriser l’authentification, d’encadrer l’usage du service et d’expliquer les traitements liés au compte. Si les préférences de cookies sont appliquées à tous les appareils connectés à ce compte, une recommandation spécifique entre en jeu.
La recommandation CNIL du 16 janvier 2026 sur le consentement multi-terminaux précise que ce mécanisme est facultatif. Lorsqu’il est utilisé, la portée du choix doit être clairement annoncée ; accepter, refuser ou retirer doit avoir une portée comparable ; un rappel est recommandé lors d’une connexion depuis un nouvel appareil ; et la règle appliquée lorsque des choix se contredisent doit rester claire et loyale.
Cookies et traceurs : un bandeau ne suffit pas à rendre un site conforme
Le bandeau n’est que la partie visible du dispositif. Sa conformité dépend aussi de ce qui est réellement déposé avant et après le choix, de l’information fournie, de la possibilité de refuser, de la gestion des préférences et de la preuve conservée. Pour reprendre les bases techniques, vous pouvez consulter notre article sur les cookies informatiques et leur fonctionnement.
Tous les traceurs ne nécessitent pas le même traitement
Certains traceurs strictement nécessaires au service demandé peuvent être exemptés de consentement : mémorisation du panier, authentification, conservation du choix relatif aux cookies ou certains outils de mesure d’audience configurés sous des conditions précises. D’autres, notamment liés à la publicité, à certaines mesures publicitaires ou à des fonctionnalités sociales, nécessitent un consentement préalable. La CNIL présente les deux grandes catégories de traceurs.
« Exempté de consentement » ne signifie pas « hors RGPD ». Les traitements de données associés restent soumis aux principes de protection des données personnelles.
Le refus doit être aussi accessible que l’acceptation
Un consentement valide suppose une action positive, libre, spécifique, éclairée et univoque. La poursuite de la navigation ou le silence ne valent pas accord. L’utilisateur doit pouvoir accepter ou refuser avec le même degré de simplicité, puis retirer son consentement aussi facilement qu’il l’a donné.
Une interface qui affiche un grand bouton « Tout accepter » mais cache le refus derrière plusieurs écrans est donc problématique. Le choix doit être compréhensible sans pousser artificiellement l’utilisateur vers l’option la plus favorable au site.
Le paramétrage doit correspondre au fonctionnement réel du site
Un joli bandeau ne bloque pas automatiquement les traceurs concernés. Il faut tester le site avant tout choix, après un refus, après une acceptation partielle et après une modification des préférences. Les vidéos, cartes, pixels publicitaires et autres contenus tiers doivent respecter le choix exprimé.
Ces tests doivent être renouvelés après une mise à jour importante, l’ajout d’une extension ou le changement d’un gestionnaire de consentement. La conformité se joue dans le code et la configuration autant que dans le texte affiché.
Les choix et leur preuve doivent être gérés dans le temps
L’organisme qui s’appuie sur le consentement doit pouvoir démontrer qu’il l’a recueilli valablement. La CNIL détaille les principes applicables aux cookies et à la preuve du consentement : versions horodatées de l’interface, configuration de la solution de gestion du consentement et audits réguliers peuvent notamment contribuer à cette démonstration.
Le site doit aussi permettre de revenir facilement sur son choix. Une préférence enregistrée n’est pas un réglage à conserver indéfiniment sans tenir compte d’un changement de finalité, d’outil ou de périmètre.
Afficher des pages ne suffit pas : certaines obligations doivent être documentées
Une politique de confidentialité informe le public ; elle ne prouve pas, à elle seule, que l’organisation applique le RGPD. En fonction des traitements réalisés, la conformité peut aussi nécessiter :
- un registre des activités de traitement permettant de recenser les données, finalités, destinataires, durées et mesures de sécurité ;
- des bases légales identifiées et des durées de conservation définies ;
- une procédure pour répondre aux demandes d’accès, de rectification, d’effacement, d’opposition ou de portabilité ;
- des contrats adaptés avec les prestataires qui traitent des données pour votre compte ;
- des mesures de sécurité proportionnées et une procédure de gestion des violations de données ;
- une analyse d’impact relative à la protection des données lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés.
Le registre des activités de traitement aide à disposer d’une vue d’ensemble. L’analyse d’impact (AIPD) n’est pas systématique : elle concerne les traitements susceptibles de présenter un risque élevé. Ces démarches doivent refléter les pratiques réelles, pas seulement le contenu des pages publiques.
Que faut-il vérifier régulièrement après la mise en ligne ?
Il n’existe pas de fréquence universelle imposant de relire toutes les pages à date fixe. En revanche, un contrôle doit accompagner chaque évolution significative du site ou de l’activité. Reprenez votre inventaire notamment lors :
- d’un changement de statut, de dénomination, d’adresse, de coordonnées ou d’activité ;
- de l’ajout d’un formulaire, d’une newsletter, d’un compte ou d’un espace client ;
- de l’installation d’un outil d’analyse, de publicité, de vidéo, de carte ou de chat ;
- d’un changement d’hébergeur, de prestataire, de solution de paiement ou de gestion du consentement ;
- d’une nouvelle offre, d’une vente à distance ou de l’arrivée d’une nouvelle catégorie de clients ;
- d’une évolution des modalités de livraison, de paiement, de rétractation, de résiliation ou de garantie ;
- d’une évolution réglementaire ou d’une nouvelle recommandation de l’autorité compétente.
En complément, programmez une revue périodique réaliste : vérifiez les coordonnées, les outils actifs, les formulaires, les liens, les destinataires, les durées annoncées et les paramètres du bandeau. Le document juridique doit rester aligné avec la technique, et la technique avec les choix affichés.
Des pages adaptées à votre site, pas un pack universel
Mentions légales, politique de confidentialité, cookies, CGU et CGV répondent à des objectifs différents. Leur contenu dépend de votre entreprise, de vos clients, de vos fonctionnalités et des traitements réellement mis en œuvre. Un modèle générique peut aider à comprendre la structure attendue, mais il ne remplace ni l’inventaire du site ni l’analyse de votre situation.
L’agence web peut vous aider à identifier les outils présents, à configurer les mécanismes techniques et à maintenir la cohérence du site. Pour valider les clauses contractuelles, les cas particuliers ou une situation juridique sensible, faites intervenir un professionnel du droit ou de la protection des données compétent. Le bon réflexe n’est pas de multiplier les pages : c’est de rendre chacune d’elles exacte, accessible et cohérente avec la réalité.
Sources principales
- Service Public Entreprendre — Mentions obligatoires pour un entrepreneur individuel
- Service Public Entreprendre — Mentions obligatoires pour une société
- Service Public Entreprendre — Conditions générales de vente
- Service Public Entreprendre — Règles du commerce en ligne
- CNIL — Informer les personnes
- CNIL — Cookies et traceurs : que dit la loi ?
- CNIL — Comment mettre son site en conformité pour les cookies ?
- CNIL — Recommandation sur le consentement multi-terminaux
- CNIL — Registre des activités de traitement
- CNIL — Analyse d’impact relative à la protection des données
