Mentions légales d'un site internet : la liste obligatoire et les sanctions

L'article 6 III de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) impose à toute personne qui édite un service de communication au public en ligne de mettre à disposition du public, « dans un standard ouvert », les éléments permettant de l'identifier. L'obligation vise donc tous les sites : vitrine, blog professionnel, boutique en ligne, application web, page de réservation. Elle ne dépend ni de la taille de l'entreprise, ni du chiffre d'affaires, ni de l'existence de ventes en ligne.

La loi distingue deux situations :

• L'éditeur professionnel (société, entrepreneur individuel, micro-entrepreneur, association qui exerce une activité économique, profession libérale) doit publier l'ensemble des mentions listées ci-dessous.
• L'éditeur non professionnel (particulier tenant un blog ou un site personnel) peut préserver son anonymat vis-à-vis du public. Il doit alors afficher uniquement le nom, la dénomination et l'adresse de l'hébergeur, et avoir communiqué à celui-ci ses propres éléments d'identification (art. 6 III 2).

Le micro-entrepreneur est un professionnel au sens de la LCEN : il ne bénéficie pas de l'anonymat, même s'il est dispensé d'immatriculation dans certains cas.

Mention	Personne physique (EI, micro-entrepreneur, libéral)	Personne morale (SAS, SARL, association)
Identité	Nom et prénom	Dénomination ou raison sociale et forme juridique
Adresse	Domicile	Siège social
Contact	Numéro de téléphone (et adresse e-mail en pratique)	Numéro de téléphone (et adresse e-mail en pratique)
Immatriculation	Numéro RCS ou RNE si assujetti à immatriculation ; SIREN	Numéro RCS ou RNE, capital social
Directeur de la publication	L'éditeur lui-même	Nom du directeur ou codirecteur de la publication (en principe le représentant légal, art. 93-2 de la loi du 29 juillet 1982)
Hébergeur	Nom ou dénomination, adresse et numéro de téléphone de l'hébergeur
Activité soumise à autorisation	Nom et adresse de l'autorité ayant délivré l'autorisation
Profession réglementée	Titre professionnel, État de délivrance, ordre ou organisme d'inscription, référence aux règles professionnelles applicables
Commerce électronique	Numéro individuel de TVA intracommunautaire si l'éditeur y est assujetti (art. 19 LCEN)

Ces informations doivent être « facilement accessibles » et « directes » : un lien « Mentions légales » dans le pied de page de chaque page suffit, à condition qu'il mène à une page lisible sans inscription. Elles doivent rester à jour : changement de siège, de président ou d'hébergeur oblige à les modifier.

Le directeur de la publication

Tout service de communication au public en ligne a un directeur de la publication (art. 93-2 de la loi n° 82-652 du 29 juillet 1982). Pour une société, c'est le représentant légal : président de SAS, gérant de SARL. Pour une association, son président. Pour une personne physique, elle-même. Il est pénalement responsable des contenus publiés, ce qui explique que son nom soit exigé. La pratique consistant à ne mentionner que « le gérant » sans le nommer ne satisfait pas la loi.

L'hébergeur

L'hébergeur est la société qui stocke le site : OVHcloud, Scaleway, o2switch, Ionos, Hostinger, Vercel, Amazon Web Services, ou la plateforme qui héberge la boutique (Shopify, Wix, WordPress.com). Ses nom, adresse et numéro de téléphone figurent en général dans ses propres mentions légales ou ses conditions générales. Un site hébergé sur un serveur personnel doit indiquer le nom et l'adresse de son propriétaire.

Depuis le 17 février 2024, le règlement européen sur les services numériques (DSA) impose en outre aux hébergeurs et aux plateformes de désigner un point de contact unique. Cette obligation pèse sur eux, pas sur le site hébergé, mais un éditeur de marketplace qui héberge les annonces de tiers y est soumis.

Les mentions légales ne suffisent pas dès que le site collecte des données personnelles, ce qui est le cas de tout formulaire de contact, d'un compte client, d'une newsletter ou d'un outil de mesure d'audience. Deux informations distinctes s'imposent.

L'information RGPD (art. 13 du règlement 2016/679)

Une politique de confidentialité, accessible depuis chaque page, doit indiquer : l'identité du responsable de traitement, les finalités et la base légale de chaque traitement, les destinataires, la durée de conservation, les éventuels transferts hors Union européenne, les droits des personnes (accès, rectification, effacement, opposition, portabilité), la possibilité de saisir la CNIL, et les coordonnées du délégué à la protection des données lorsqu'un DPO a été désigné. Chaque formulaire doit renvoyer à cette page ou reprendre l'essentiel de ces informations.

Les cookies (art. 82 de la loi Informatique et Libertés)

Les traceurs qui ne sont pas strictement nécessaires au service (publicité, mesure d'audience non exemptée, réseaux sociaux, vidéos intégrées) exigent le consentement préalable de l'internaute, libre et éclairé. Selon les lignes directrices de la CNIL du 17 septembre 2020, refuser doit être aussi simple qu'accepter, le consentement se conserve 6 mois au maximum avant d'être redemandé, et la poursuite de la navigation ne vaut pas accord. Les cookies strictement nécessaires (panier, session, préférence de langue) sont dispensés de consentement mais doivent être listés dans une page « cookies » ou dans la politique de confidentialité.

Un site qui vend des biens ou des services à des consommateurs ajoute aux mentions légales des informations précontractuelles (art. L.221-5 et L.111-1 du Code de la consommation) qui prennent en général place dans les conditions générales de vente :

• caractéristiques essentielles des produits, prix TTC, frais de livraison, modalités de paiement ;
• délai de rétractation de 14 jours et formulaire type de rétractation, ou mention des exceptions (art. L.221-28) ;
• garanties légales de conformité (2 ans, art. L.217-3 et suivants) et des vices cachés, service après-vente ;
• coordonnées du médiateur de la consommation auquel le professionnel a adhéré (art. L.616-1 du Code de la consommation) ;
• numéro de TVA intracommunautaire et, pour un professionnel étranger visant la France, l'identification de son représentant.

Le lien vers la plateforme européenne de règlement en ligne des litiges (RLL), longtemps obligatoire, n'a plus d'objet : la plateforme a été fermée le 20 juillet 2025 par le règlement (UE) 2024/3228. Les anciennes CGV qui la mentionnent encore doivent être mises à jour. Les conditions générales d'utilisation, elles, ne sont pas obligatoires mais organisent la relation avec les visiteurs d'un site non marchand ou d'une plateforme.

Les sanctions se cumulent selon le manquement :

Manquement	Texte	Sanction maximale
Absence ou inexactitude des mentions légales	Art. 6 VI LCEN	1 an d'emprisonnement et 75 000 € d'amende (personne physique) ; 375 000 € (personne morale, art. 131-38 du Code pénal), interdiction d'exercer possible
Absence d'information RGPD	Art. 83 RGPD	Jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial
Cookies déposés sans consentement	Art. 82 loi Informatique et Libertés, art. 20 (sanctions CNIL)	Jusqu'à 20 M€ ou 4 % du chiffre d'affaires ; amende simplifiée jusqu'à 20 000 € pour les petits dossiers
Absence d'informations précontractuelles (e-commerce)	Art. L.242-10 et L.242-13 C. conso	Amende administrative jusqu'à 15 000 € (personne physique) ou 75 000 € (personne morale)
Absence de mention du médiateur	Art. L.641-1 C. conso	Amende administrative jusqu'à 3 000 € (personne physique) ou 15 000 € (personne morale)

En pratique, les poursuites pénales pour absence de mentions légales sont rares et visent des sites qui cherchent à dissimuler leur exploitant. La CNIL, en revanche, contrôle activement : depuis 2020, elle a prononcé des amendes de plusieurs dizaines de millions d'euros contre de grands acteurs pour des cookies déposés sans consentement, et sa procédure simplifiée permet de sanctionner des PME. L'autre risque, plus fréquent, est civil : un concurrent ou un client peut invoquer l'absence de mentions pour établir une pratique commerciale trompeuse ou obtenir la nullité d'une vente.

Une SAS au capital de 10 000 €, immatriculée à Lyon, vend des accessoires de sport en ligne, héberge sa boutique chez un prestataire français et utilise un outil de mesure d'audience non exempté ainsi qu'un pixel publicitaire. Sa page « Mentions légales » doit contenir :

1. Éditeur : « [Dénomination] SAS, au capital de 10 000 €, immatriculée au RCS de Lyon sous le numéro [SIREN], siège social [adresse], téléphone [numéro], e-mail [adresse], numéro de TVA intracommunautaire FR[xx][SIREN] ».
2. Directeur de la publication : « [Prénom Nom], président ».
3. Hébergeur : « [Dénomination de l'hébergeur], [forme et capital], [adresse], téléphone [numéro] ».
4. Médiation : nom et coordonnées du médiateur de la consommation, avec le lien vers son site.
5. Renvois : liens vers la politique de confidentialité, la politique de cookies et les CGV.

Côté cookies, le bandeau doit proposer « Tout accepter » et « Tout refuser » au même niveau, bloquer l'outil de mesure et le pixel tant que le visiteur n'a pas choisi, et permettre de revenir sur son choix via un lien « Gérer mes cookies » en pied de page.

Mesure du risque : en cas de contrôle, cette société encourt en théorie jusqu'à 375 000 € pour des mentions légales absentes, et une amende CNIL calculée sur son chiffre d'affaires pour les cookies. Avec un chiffre d'affaires de 400 000 €, le plafond de 4 % représente 16 000 €, l'amende réelle dépendant de la gravité et de la coopération. Le coût de la mise en conformité se mesure, lui, en heures de travail : recenser les traitements, rédiger trois pages et paramétrer un bandeau.

La mise en conformité tient en trois documents, chacun généré à partir d'un questionnaire sur votre situation (personne physique ou morale, hébergeur, activité réglementée, cookies utilisés) :

• Mentions légales : éditeur, directeur de la publication, hébergeur, TVA, médiateur, avec les variantes micro-entrepreneur, société et association.
• Politique de confidentialité : traitements, finalités, durées, droits des personnes, cookies, conforme à l'art. 13 du RGPD.
• CGV et CGU : pour une boutique en ligne ou une plateforme, avec les informations précontractuelles du Code de la consommation.

Que faire concrètement : récupérez votre extrait Kbis ou votre avis de situation SIRENE et les coordonnées de votre hébergeur ; listez les outils tiers chargés par le site (mesure d'audience, publicité, vidéos, chat) ; générez les trois documents ; ajoutez un lien vers chacun dans le pied de page ; paramétrez le bandeau de cookies pour bloquer les traceurs non essentiels avant consentement ; enfin, notez la date de mise à jour et relisez les pages à chaque changement de siège, de dirigeant ou d'hébergeur.