Mentions légales et données personnelles : les pages obligatoires d'un site vitrine

Un site professionnel porte deux obligations distinctes, que l’on confond presque toujours. La première consiste à permettre au public d’identifier qui édite le site : c’est l’objet des mentions légales, et elle existe depuis bien avant le RGPD. La seconde consiste à informer les personnes sur les données que vous collectez, et elle se déclenche dès le premier formulaire de contact.

Le bandeau cookies, lui, n’est pas une troisième obligation automatique : il dépend de ce que votre site dépose réellement dans le navigateur du visiteur.

Deux obligations qui ne viennent pas du même texte

Les distinguer évite la plupart des erreurs, parce qu’elles n’ont ni le même objet ni le même déclencheur.

L’obligation d’identification de l’éditeur vient de la loi française pour la confiance dans l’économie numérique. Elle répond à une question simple : à qui le lecteur a-t-il affaire, et qui héberge ce contenu ? Elle s’applique du seul fait de publier un site dans un cadre professionnel, même sans formulaire, sans compte client et sans vente.

L’obligation d’information sur les données personnelles vient du RGPD, le règlement européen sur la protection des données. Elle se déclenche dès que vous traitez une donnée qui permet d’identifier une personne : un nom, une adresse e-mail, un numéro de téléphone, parfois une adresse IP. Elle porte sur la transparence, pas sur l’identification de l’entreprise.

	Identification de l’éditeur	Information sur les données
Texte de référence	loi sur la confiance dans l’économie numérique	RGPD
Déclencheur	publier un site à titre professionnel	collecter une donnée personnelle
Page concernée	mentions légales	politique de confidentialité
Sujet	qui édite, qui héberge	quoi, pourquoi, combien de temps

En pratique, un site vitrine avec un formulaire de contact a besoin des deux. Les regrouper sur une seule page est possible, mais les séparer se lit mieux et se met à jour plus facilement.

Les mentions légales : ce qui doit y figurer

Le contenu varie selon votre statut. Les informations attendues sont celles qui permettent de vous retrouver et de vérifier votre existence juridique.

Si vous exercez en société : la dénomination sociale, la forme juridique, l’adresse du siège, le montant du capital social, le numéro d’immatriculation au registre du commerce et des sociétés avec la ville du greffe, le numéro de TVA intracommunautaire si vous y êtes assujetti, un moyen de contact direct, et le nom du responsable de la publication.

Si vous exercez en entrepreneur individuel, y compris sous le régime de la micro-entreprise : vos nom et prénom, l’adresse à laquelle vous exercez, votre numéro d’identification d’entreprise, et un moyen de contact. Un artisan ou un commerçant ajoute sa référence d’inscription au registre dont il relève.

Si vous exercez une profession réglementée — santé, droit, expertise comptable, immobilier, entre autres — il faut en plus la référence de votre titre professionnel, le nom de l’ordre ou de l’autorité auprès de laquelle vous êtes inscrit, et la mention des règles professionnelles applicables. C’est le cas où l’approximation coûte le plus cher, et celui où un contrôle par un professionnel du droit est le mieux justifié.

Dans tous les cas, une information est attendue et régulièrement absente : l’identité de votre hébergeur, avec sa dénomination, son adresse et un moyen de le joindre. Si vous ne savez pas qui héberge votre site, l’information se trouve dans votre contrat ou auprès de votre prestataire — notre guide sur le nom de domaine et l’hébergement explique aussi pourquoi vous devez savoir à quel nom ce contrat est ouvert.

La politique de confidentialité : ce qu’elle doit dire

Une politique de confidentialité utile ne récite pas le règlement. Elle répond, traitement par traitement, à cinq questions concrètes.

1. Quelles données vous collectez, en les nommant : nom, e-mail, message, éventuellement téléphone.
2. Pourquoi vous les collectez : répondre à une demande de devis, envoyer une lettre d’information, établir une facture.
3. Combien de temps vous les conservez, avec une durée réelle et non une formule vague.
4. À qui elles sont transmises : votre hébergeur, votre prestataire de messagerie, votre outil de mesure d’audience s’il y en a un.
5. Comment exercer ses droits — accès, rectification, effacement, opposition — et à quelle adresse écrire.

Ajoutez la possibilité d’adresser une réclamation à l’autorité de contrôle compétente, la CNIL en France. Tenir par ailleurs un inventaire écrit de vos traitements est une bonne pratique attendue ; la CNIL publie un modèle simplifié adapté aux petites structures.

Deux points sur la durée de conservation, souvent traités à l’envers. Un message de contact resté sans suite n’a pas de raison d’être gardé des années : quelques mois suffisent. À l’inverse, ce qui relève d’une obligation comptable ou contractuelle se conserve pendant la durée légale correspondante, et cette durée-là ne se raccourcit pas parce que la personne le demande.

Le formulaire de contact : le point aveugle

C’est le traitement le plus courant et le moins documenté sur les sites de petites entreprises. Trois défauts reviennent.

Le formulaire ne dit rien de ce qu’il advient du message. Un lien vers la politique de confidentialité, placé sous le bouton d’envoi, corrige le manque.

Le formulaire demande plus que nécessaire : civilité, société, code postal, secteur d’activité, pour répondre à une simple question. Ne collectez que ce dont vous avez besoin pour répondre ; chaque champ superflu est une donnée à protéger sans contrepartie.

Le formulaire sert de porte d’entrée à la prospection. Utiliser une adresse recueillie pour une demande d’information afin d’envoyer ensuite une lettre commerciale suppose d’avoir prévu et annoncé cet usage. Une case à cocher distincte, non pré-cochée, est la manière propre de le faire — au même titre que la sollicitation d’un avis client, dont les règles sont détaillées dans notre article sur la façon d’obtenir des avis clients.

Enfin, les messages reçus finissent dans une boîte de messagerie et dans la base de données du site. Les deux méritent la même attention : un site laissé sans correctifs de sécurité expose ces messages, ce qui rend la mise à jour régulière de WordPress un sujet de protection des données autant que de fonctionnement.

Les cookies : l’obligation dépend de ce que vous déposez

C’est le point le plus mal compris, et celui où le zèle coûte inutilement des visiteurs.

Un traceur est un fichier ou un identifiant déposé dans le navigateur du visiteur. Le consentement préalable est requis pour ceux qui ne sont pas strictement nécessaires au service : publicité, ciblage, boutons de partage de réseaux sociaux, outils de suivi tiers. Pour ceux qui sont strictement nécessaires — maintenir une session, mémoriser un panier, retenir le choix de langue — le consentement n’est pas requis, mais l’information reste due.

Entre les deux, la mesure d’audience peut, sous réserve d’une configuration respectant les conditions publiées par la CNIL, bénéficier d’une exemption de consentement. C’est un point technique qui se vérifie outil par outil, et non une règle générale à supposer acquise.

Deux conséquences pratiques. Si votre site vitrine n’installe aucun outil tiers, vous n’avez pas besoin d’un bandeau de consentement : une section explicative dans la politique de confidentialité suffit. Si vous en installez, alors le refus doit être aussi simple que l’acceptation, et le visiteur doit pouvoir revenir sur son choix.

Ce que cet article ne peut pas trancher

Trois situations sortent du cadre d’un guide. La première : les professions réglementées, dont les mentions dépendent de règles propres à chaque ordre. La deuxième : la vente en ligne, qui ajoute des conditions générales, une information précontractuelle et un droit de rétractation — un sujet distinct, abordé en amont dans notre guide sur la création d’un site d’entreprise. La troisième : tout traitement sensible, dès qu’il touche à la santé, à des mineurs ou à un volume important de données.

Dans ces cas, faites relire vos pages par un juriste. Le reste du temps, des mentions exactes, une politique de confidentialité écrite dans vos mots et un formulaire sobre couvrent l’essentiel.

Ce guide décrit des obligations générales et ne remplace pas un avis juridique adapté à votre situation.