Mentions légales, RGPD, cookies : les obligations d'un site internet en 2026

Deux textes structurent l'essentiel : la loi pour la confiance dans l'économie numérique, qui impose d'identifier l'éditeur d'un site, et le RGPD, qui encadre tout traitement de données personnelles. S'y ajoutent les règles de la CNIL sur les cookies et, pour les marchands, le code de la consommation.

En pratique, trois éléments : une page de mentions légales, une politique de confidentialité et un module de consentement. Si votre site a quelques années, c'est souvent ce dernier qui pèche : un bandeau « J'accepte » sans bouton de refus n'est plus conforme, et une refonte de site internet est l'occasion de tout reprendre. Précision utile : ce guide informe, il ne remplace pas l'avis d'un professionnel du droit.

Dès qu'un site collecte une donnée identifiante — nom dans un formulaire, adresse e-mail, adresse IP enregistrée par un outil de statistiques — le RGPD s'applique. La politique de confidentialité l'explique en français clair, autour de quatre questions. Quelles données, et pour quelle finalité ? Listez chaque traitement et sa base légale : contrat, obligation légale, intérêt légitime ou consentement. Pendant combien de temps ? Une durée annoncée par finalité. Qui y a accès ? Vos sous-traitants — hébergeur, outil d'emailing, facturation — et tout stockage hors Union européenne. Quels droits ? Accès, rectification, effacement, limitation, opposition, portabilité, retrait du consentement et réclamation auprès de la CNIL, avec une adresse pour les exercer.

Tenez aussi un registre des traitements : il ne se publie pas, mais c'est la première pièce demandée en cas de contrôle. Les mêmes règles valent pour votre liste de contacts, comme le détaille notre guide newsletter et emailing pour PME.

Un formulaire de contact est un traitement comme un autre. Trois réflexes : ne demander que les champs utiles, annoncer la finalité sous le formulaire, renvoyer vers la politique de confidentialité. La case à cocher n'est pas systématique : pour répondre à une demande de devis, le consentement n'est pas requis, la démarche étant précontractuelle. Il le devient si vous ajoutez ce contact à votre lettre d'information — case distincte, non précochée, libellé explicite.

Les sites marchands ajoutent des conditions générales de vente, acceptées par une case dédiée avant le paiement : identité du vendeur, caractéristiques des produits, prix toutes taxes comprises, frais et délais de livraison, moyens de paiement, garanties légales, droit de rétractation de quatorze jours avec formulaire type, médiateur de la consommation. La vente d'alcool impose en plus une mention sanitaire et la vérification de la majorité. Si vous hésitez entre vitrine et boutique, notre guide site vitrine ou e-commerce compare les deux.

L'accessibilité numérique rend un site utilisable par tous, y compris au clavier ou avec un lecteur d'écran. L'obligation vise d'abord le secteur public et les grandes entreprises, la réglementation européenne l'étendant progressivement à certains services privés, dont le commerce électronique, avec des exemptions pour les plus petites structures. Pour une TPE, c'est surtout une bonne pratique : contrastes suffisants, textes alternatifs, formulaires bien étiquetés — les mêmes réflexes qu'en référencement.

Côté visuels, deux droits se superposent. Le droit d'auteur : une photo trouvée dans un moteur de recherche n'est pas libre de droits, et la réclamation arrive parfois des années plus tard. Le droit à l'image : toute personne reconnaissable doit avoir donné son accord écrit, salariés compris, et les parents pour un mineur.

Que risque-t-on ? La CNIL peut mettre en demeure, ordonner la mise en conformité sous astreinte, prononcer une amende administrative selon la gravité et rendre sa décision publique ; l'absence de mentions légales est sanctionnée pénalement. Le déclencheur, en pratique, est rarement un contrôle spontané : c'est la plainte d'un visiteur, d'un ancien salarié ou d'un concurrent.