Mentions légales et RGPD : le guide pour votre site

Module 1

Comprendre les obligations légales d'un site en 5 minutes

Les mentions légales : qui doit publier quoi

La loi pour la confiance dans l'économie numérique (LCEN, 2004) impose à tout site édité en France d'indiquer qui le publie et qui l'héberge. Peu importe sa taille : un site vitrine de cinq pages est concerné comme une boutique en ligne.

Ce qu'il faut indiquer dépend de votre statut :

• association : nom, adresse du siège et numéro d'identification (numéro RNA, ou inscription au registre du tribunal en Alsace-Moselle) ;
• société : dénomination, forme juridique, capital, siège, numéro RCS ou SIREN et numéro de TVA ;
• entrepreneur individuel : nom suivi de la mention « EI », adresse, SIRET, numéro de TVA, ou la mention « TVA non applicable, article 293 B du CGI » en franchise ;
• dans tous les cas : des coordonnées pour vous joindre (téléphone, e-mail), le directeur ou la directrice de la publication, et l'hébergeur (nom, adresse, téléphone).

Les oublis peuvent coûter cher : jusqu'à 75 000 € d'amende pour une personne physique et 375 000 € pour une personne morale (société, association).

Deux cas à part : le particulier et le droit local

Le particulier qui tient un site non professionnel (blog de voyage, passion, généalogie) peut rester anonyme. Il donne son nom, son adresse et son téléphone à son hébergeur, et ne publie que les coordonnées de celui-ci. En cas de problème, la justice peut obtenir son identité auprès de l'hébergeur. Dès que le site sert une activité professionnelle, l'anonymat n'est plus possible.

Les associations d'Alsace-Moselle (Bas-Rhin, Haut-Rhin, Moselle) relèvent le plus souvent du droit local : elles sont inscrites au registre des associations du tribunal judiciaire, au lieu d'être déclarées en préfecture comme les associations « loi 1901 ». Elles n'ont donc pas de numéro RNA. Leurs mentions légales indiquent le tribunal (par exemple Colmar ou Strasbourg) et le numéro d'inscription, souvent sous la forme « volume et folio ». Pour une association de droit local, ne cherchez donc pas de numéro RNA : il n'existe pas.

La politique de confidentialité : ce que demande le RGPD

Dès que votre site recueille des données personnelles, même par un simple formulaire de contact, le RGPD (règlement général sur la protection des données) vous oblige à informer les visiteurs, en termes clairs. La politique de confidentialité doit indiquer :

• qui est responsable des données (le « responsable du traitement ») et comment le contacter ;
• pourquoi les données sont recueillies (les finalités) et sur quelle base légale : consentement, contrat, obligation légale ou intérêt légitime ;
• combien de temps elles sont gardées ;
• qui les reçoit : hébergeur, outil de lettre d'information, prestataire de paiement ;
• les éventuels transferts hors de l'Union européenne, par exemple vers des services américains ;
• les droits des personnes (accès, rectification, effacement, opposition…) et la possibilité de se plaindre à la CNIL.

Le générateur rédige chaque rubrique d'après ce que fait votre site. Il vous reste à vérifier qu'elle correspond à la réalité.

Cookies : quand faut-il un bandeau ?

Un cookie est un petit fichier déposé sur l'appareil du visiteur. La règle, précisée par la CNIL : les cookies indispensables au fonctionnement du site (panier, connexion, mémorisation du choix sur les cookies) sont libres. Tous les autres demandent l'accord préalable du visiteur.

Un bandeau est donc nécessaire si vous utilisez Google Analytics, des vidéos YouTube intégrées, une carte Google Maps ou des publications Facebook ou Instagram intégrées. Ce bandeau doit :

• s'afficher avant le dépôt des cookies ;
• proposer un bouton « Refuser » aussi visible que « Accepter » ;
• permettre de changer d'avis à tout moment.

Bonne nouvelle : une mesure d'audience bien réglée peut s'en passer. La CNIL l'accepte si les statistiques restent anonymes et réservées à votre usage, avec des cookies de 13 mois au plus et des données gardées 25 mois au plus. C'est le cas de Matomo configuré selon les recommandations de la CNIL, ou de Plausible, qui n'utilise pas de cookie.

Où publier les pages, et les limites d'un modèle

Créez deux pages, « Mentions légales » et « Politique de confidentialité », et placez un lien vers chacune dans le pied de page, pour qu'elles soient accessibles depuis toutes les pages du site. Une page cachée ou introuvable ne remplit pas l'obligation.

Mettez-les à jour dès que quelque chose change : nouveau président, nouvel hébergeur, ajout d'une lettre d'information ou d'une boutique.

Un modèle, même bien fait, ne remplace pas l'avis d'un professionnel du droit. Soyez particulièrement attentif si vous :

• vendez à des particuliers : il vous faut aussi des conditions générales de vente, que le générateur ne rédige pas, et un médiateur de la consommation ;
• traitez des données sensibles (santé, opinions, religion) ou beaucoup de données sur des mineurs.

Une fois vos pages en ligne, vérifiez le reste de votre site (vitesse, affichage sur téléphone, présence dans Google) avec le diagnostic complet d'un site.

À retenirTout site édité en France doit publier ses mentions légales, et une politique de confidentialité dès qu'il recueille des données. Un bandeau de cookies n'est nécessaire que pour les cookies non indispensables.

Les mots à connaître

LCEN

Loi pour la confiance dans l'économie numérique (2004). Elle impose notamment les mentions légales sur les sites édités en France.

Directeur de la publication

Personne responsable de ce qui est publié sur le site : en général le président d'une association, le gérant d'une société ou l'entrepreneur lui-même.

Hébergeur

Entreprise qui stocke votre site sur ses serveurs et le rend accessible sur Internet, par exemple OVHcloud, o2switch ou Hostinger.

RGPD

Règlement général sur la protection des données, en vigueur dans toute l'Union européenne depuis 2018. Il encadre l'utilisation des données personnelles.

Base légale

Raison qui autorise à utiliser des données personnelles : par exemple le consentement, un contrat, une obligation légale ou un intérêt légitime.

Cookie

Petit fichier déposé sur l'appareil du visiteur. S'il n'est pas indispensable au fonctionnement du site, il faut l'accord du visiteur avant de le déposer.

CNIL

Commission nationale de l'informatique et des libertés : l'autorité française qui contrôle le respect du RGPD et reçoit les plaintes.

Droit local (Alsace-Moselle)

Règles propres au Bas-Rhin, au Haut-Rhin et à la Moselle. Les associations y sont inscrites au registre du tribunal judiciaire, et non déclarées en préfecture.

Module 2

Créer vos deux pages pas à pas

Ouvrir l'outil

Module 3

Cas pratiques

Une association de droit local à Colmar

Les Jardins de Clara, association inscrite au tribunal judiciaire de Colmar, refait son site exemple.fr. Camille Martin, sa présidente, choisit Association, coche la case du droit local et saisit « Vol. 42, folio 12 », relevé sur les documents d'inscription. Pas de numéro RNA : c'est normal.

Elle choisit Hostinger comme hébergeur. L'encadré « À compléter » lui rappelle le téléphone de l'hébergeur, qu'elle trouve dans les mentions légales de celui-ci. Comme le site intègre une vidéo YouTube, l'outil lui signale qu'un bandeau de cookies est nécessaire. Elle hésite : installer un bandeau, ou remplacer la vidéo par un simple lien vers YouTube. Elle choisit le lien, décoche la case, et l'outil indique qu'aucun bandeau n'est nécessaire.

Une micro-entrepreneuse qui vend en ligne

Léa Muller, couturière à Mulhouse, vend ses créations sur atelier-lea.exemple.fr. Elle choisit Entrepreneur individuel : son nom apparaît suivi de « EI ». Elle ne facture pas la TVA et coche TVA non applicable (franchise en base) : le document indique « TVA non applicable, article 293 B du Code général des impôts ».

Elle coche la vente en ligne avec paiement par Stripe, et la lettre d'information envoyée avec Brevo. La politique de confidentialité cite ces deux prestataires, et un transfert possible vers les États-Unis pour Stripe. L'outil lui rappelle qu'avant d'ouvrir sa boutique, elle doit aussi désigner un médiateur de la consommation et rédiger des conditions générales de vente.

Un blog personnel anonyme

Bernard raconte ses randonnées dans les Vosges sur un blog personnel, sans publicité ni vente. Il choisit Particulier et coche Rester anonyme : les mentions légales indiquent seulement que le site est édité par un particulier, et donnent les coordonnées de son hébergeur. L'outil lui rappelle qu'il doit tout de même avoir donné son nom, son adresse et son téléphone à cet hébergeur.

Il décoche Formulaire de contact, puisque son blog n'en a pas, et ne choisit aucune mesure d'audience. La politique de confidentialité précise alors que le site ne recueille aucune donnée personnelle, en dehors des journaux techniques du serveur. Pas de bandeau de cookies nécessaire.

Les erreurs à éviter

• Copier les mentions légales d'un autre site : les informations, l'hébergeur et les services utilisés ne sont pas les vôtres.
• Oublier le téléphone de l'hébergeur : la loi l'exige, au même titre que son nom et son adresse.
• Indiquer un numéro RNA pour une association de droit local : elle est identifiée par le tribunal judiciaire et son numéro d'inscription au registre.
• Intégrer des vidéos YouTube ou Google Analytics sans bandeau de cookies : ces services exigent l'accord préalable du visiteur.
• Publier puis oublier : un changement de président, d'hébergeur ou d'outil doit être reporté dans vos pages.

L'essentiel

• Tout site édité en France publie des mentions légales : qui l'édite, qui en est responsable, qui l'héberge.
• Le contenu dépend du statut : numéro RNA ou registre du tribunal pour une association, RCS et capital pour une société, mention « EI » pour un entrepreneur individuel.
• La politique de confidentialité explique quelles données sont recueillies, pourquoi, combien de temps, qui les reçoit et comment exercer ses droits.
• Un bandeau de cookies n'est nécessaire que pour les cookies non indispensables : Google Analytics, YouTube, Google Maps, réseaux sociaux.
• Le générateur fournit un modèle à relire, pas un conseil juridique ; la vente en ligne demande en plus des CGV et un médiateur.

Testez-vous

Trois ou quatre questions pour vérifier que tout est clair.