Les informations légales d’un site web ne se résument pas à un copier-coller de template trouvé en ligne. Depuis mai 2024, la base légale a changé, et la plupart des pages de mentions légales en circulation renvoient encore à un article de loi qui n’est plus le bon. Nous faisons le point sur ce qui s’applique réellement, les pièges techniques les moins documentés et les sanctions encourues.
Loi SREN de mai 2024 : la nouvelle base légale des mentions obligatoires
La loi n° 2024-449 du 21 mai 2024 (loi SREN) a déplacé les obligations d’identification de l’éditeur. Elles ne figurent plus à l’article 6-III de la LCEN, mais dans un nouvel article 1-1 de la loi n° 2004-575 du 21 juin 2004. Tout site qui cite encore « article 6-III LCEN » comme fondement de ses mentions légales est donc juridiquement obsolète.
Ce changement n’est pas cosmétique. La nouvelle rédaction précise les éléments à afficher selon le statut de l’éditeur (personne physique ou personne morale) et intègre l’identification de l’hébergeur, y compris les coordonnées des personnes assurant le stockage des données. Nous recommandons de vérifier la référence légale affichée sur votre propre page de mentions avant toute autre action.
Un exemple concret de conformité à jour est visible sur la page d’informations légales sur B2B Infos, qui distingue clairement identification de l’éditeur, hébergement et traitement des données.
Mentions légales site web : ce que la loi exige selon votre statut
Les éléments obligatoires diffèrent sensiblement entre un entrepreneur individuel et une société. Confondre les deux expose à des mentions incomplètes, ce qui suffit à caractériser l’infraction.
Personne physique (entrepreneur individuel, micro-entreprise)
- Nom, prénom, accompagnés de la mention « entrepreneur individuel » ou des initiales « EI »
- Adresse du domicile, adresse de courrier électronique et numéro de téléphone
- Numéro d’immatriculation au RCS et numéro d’identification à la TVA
- Identité de l’hébergeur du site : nom ou dénomination sociale, adresse et numéro de téléphone
- Pour une activité réglementée : nom et adresse de l’autorité ayant délivré l’autorisation
Personne morale (société)
La dénomination sociale, la forme juridique et le montant du capital social remplacent le nom et prénom. L’adresse indiquée est celle du siège social. Le nom du directeur de publication doit figurer explicitement, un oubli fréquent sur les sites de PME.
L’absence du nom du directeur de publication est l’erreur la plus courante que nous constatons lors d’audits de conformité. Elle est pourtant sanctionnable au même titre que l’absence totale de mentions.
Politique de confidentialité et RGPD : deux obligations distinctes des mentions légales
La majorité des articles grand public mélangent mentions légales et politique de confidentialité. Ce sont deux documents séparés, fondés sur des textes différents. Les mentions légales relèvent de la LCEN (désormais article 1-1). La politique de confidentialité relève du RGPD, notamment son article 13, qui impose des mentions spécifiques dès qu’il y a collecte de données personnelles.
L’article 13 du RGPD exige au minimum : les finalités du traitement, la base juridique, la durée de conservation, l’identité du responsable de traitement et les droits des utilisateurs (accès, rectification, effacement, portabilité). Ces éléments ne peuvent pas être noyés dans les mentions légales. Ils nécessitent une page dédiée ou une section clairement identifiée.
Gestion des cookies et consentement
Le bandeau cookies n’est pas un élément décoratif. Le consentement doit être recueilli avant tout dépôt de traceur non strictement nécessaire. La CNIL a intensifié ses contrôles sur ce point, et les sanctions portent aussi bien sur l’absence de bandeau que sur un bandeau mal configuré (cases pré-cochées, refus rendu plus complexe que l’acceptation).
Un site qui dépose des cookies Google Analytics sans recueil préalable du consentement est en infraction, quelle que soit la taille de l’entreprise.
Sanctions encourues en cas de mentions légales absentes ou incomplètes
Le manquement aux obligations d’identification est passible d’une peine pouvant aller jusqu’à un an d’emprisonnement et une amende pour les personnes physiques. Pour les personnes morales, l’amende est multipliée par cinq. Ces sanctions figurent dans la LCEN et n’ont pas été adoucies par la loi SREN.
En pratique, les poursuites pénales restent rares pour de simples omissions. Le risque concret se matérialise plutôt par des mises en demeure de la DGCCRF ou de la CNIL, suivies de sanctions administratives. Un contrôle CNIL sur les cookies peut déclencher un audit plus large qui révèle des mentions légales non conformes.
Nous observons que les sites e-commerce sont les plus exposés, car ils cumulent les obligations : mentions légales classiques, CGV, politique de confidentialité, gestion des cookies et, le cas échéant, mentions spécifiques au médiateur de la consommation.
Propriété intellectuelle : une mention souvent bâclée
Les mentions relatives à la propriété intellectuelle sont obligatoires dès que le site utilise des images, illustrations ou textes dont l’éditeur n’est pas l’auteur. Citer la source ne suffit pas toujours : il faut avoir obtenu l’autorisation de l’auteur ou disposer d’une licence adéquate.
Les photos achetées sur des banques d’images sont couvertes par une licence qui interdit souvent la sous-licence ou la revente. La mention de la licence applicable à chaque visuel protège l’éditeur en cas de litige. Nous recommandons d’intégrer une clause générique dans les mentions légales, complétée par des crédits au cas par cas dans le corps du site.
La conformité d’un site web repose sur un ensemble de documents articulés : mentions légales à jour de la loi SREN, politique de confidentialité conforme à l’article 13 du RGPD, bandeau cookies fonctionnel et mentions de propriété intellectuelle. Traiter ces éléments comme des formalités isolées revient à laisser des failles que n’importe quel contrôle ou concurrent peut exploiter.