Les mentions légales désignent l’ensemble des informations qu’un site internet doit obligatoirement afficher pour identifier ses responsables. Cette obligation, posée par la loi pour la confiance dans l’économie numérique (LCEN) du 21 juin 2004, concerne tous les sites web, qu’ils soient professionnels, associatifs ou personnels à vocation commerciale. La protection de la vie privée en ligne repose sur un second pilier réglementaire, le RGPD, qui encadre la collecte et le traitement des données personnelles des visiteurs.
Traceurs et directive ePrivacy : ce que la bannière cookies ne couvre pas
La plupart des sites affichent une bannière de consentement aux cookies. Cette interface ne reflète qu’une partie des obligations liées aux traceurs.
Les orientations du Comité européen de la protection des données sur l’article 5(3) de la directive ePrivacy englobent bien plus que les cookies classiques. Les pixels de suivi, identifiants uniques et mécanismes de suivi par liens entrent aussi dans le périmètre. Un audit de conformité limité à la seule bannière cookies laisse donc des angles morts.
Le contrôle porte aussi sur l’équilibre concret entre accepter et refuser les traceurs. La CNIL a infligé à Google une amende de 325 millions d’euros le 1er septembre 2025, dans une affaire où la procédure de refus des cookies était jugée plus contraignante que l’acceptation. Ce type de sanction montre que la conformité ne se limite pas à afficher un bandeau, mais exige une symétrie réelle entre les choix proposés à l’utilisateur.
Pour obtenir plus d’informations sur Secrets d’Hommes et leur politique de transparence, la page de mentions légales du site détaille les traceurs utilisés et les finalités associées.
Mentions légales obligatoires : contenu selon le statut de l’éditeur
Le contenu des mentions légales varie selon que l’éditeur du site est une personne physique ou morale, et selon la nature de son activité.
Pour une entreprise ou une association, les mentions doivent inclure :
- La raison sociale, l’adresse du siège, le numéro de téléphone et l’adresse e-mail de contact
- Le numéro d’inscription au registre du commerce et des sociétés (RCS) ou au répertoire des métiers, ainsi que le numéro de TVA intracommunautaire le cas échéant
- Le nom du directeur de la publication et les coordonnées de l’hébergeur du site (raison sociale, adresse, téléphone)
Les professions réglementées (avocats, médecins, experts-comptables) doivent ajouter la référence aux règles professionnelles applicables et l’autorité ayant délivré l’autorisation d’exercer. Les sites marchands complètent ces informations par leurs conditions générales de vente.
L’absence de mentions légales ou leur caractère incomplet expose l’éditeur à des sanctions pénales prévues par la LCEN.
RGPD et données personnelles : les obligations d’information envers les visiteurs
Le Règlement général sur la protection des données impose à tout site collectant des données personnelles (formulaire de contact, inscription à une newsletter, création de compte) d’informer clairement les personnes concernées.
Cette information doit préciser les finalités du traitement, la base juridique utilisée (consentement, intérêt légitime, exécution d’un contrat), les destinataires des données et la durée de conservation. Le visiteur doit aussi connaître ses droits : accès, rectification, effacement, portabilité et opposition.
Un point souvent négligé : effacer une donnée et la faire disparaître d’un moteur de recherche sont deux démarches distinctes. Le droit à l’effacement, prévu par l’article 17 du RGPD, oblige le responsable de traitement à supprimer les données. Le déréférencement auprès d’un moteur de recherche relève d’une demande séparée, adressée directement à l’opérateur du moteur. Les deux procédures ne produisent pas le même résultat et doivent parfois être menées en parallèle.
IA générative et vie privée : les recommandations récentes de la CNIL
L’essor des systèmes d’intelligence artificielle générative soulève des questions nouvelles en matière de protection de la vie privée en ligne. En février 2025, la CNIL a publié des recommandations sur l’application du RGPD aux systèmes d’IA.
Lorsqu’un modèle d’IA est entraîné avec des données personnelles susceptibles d’être mémorisées, les personnes concernées doivent en principe être informées de cette utilisation. La CNIL recommande aussi d’intégrer la protection de la vie privée dès la conception du système, selon le principe de privacy by design déjà inscrit dans le RGPD.
Cette dimension reste absente de la majorité des pages de mentions légales actuelles. Un site qui utilise un chatbot ou un outil d’IA traitant des données de visiteurs devrait pourtant mentionner ce traitement dans sa politique de confidentialité, en précisant les finalités et les garanties mises en place.
Consentement sur le web : ce qui distingue une conformité réelle d’un simple affichage
Afficher un formulaire de recueil du consentement ne suffit pas à respecter le RGPD. Le consentement doit être libre, spécifique, éclairé et univoque. Concrètement, cela signifie que les cases pré-cochées sont interdites et que le refus doit être aussi simple que l’acceptation.
Trois critères permettent d’évaluer la conformité réelle d’un dispositif de consentement :
- Le bouton de refus est visible au même niveau que le bouton d’acceptation, sans couleur atténuée ni libellé ambigu
- Chaque finalité de traitement peut être acceptée ou refusée individuellement, pas uniquement en bloc
- Le retrait du consentement est accessible à tout moment depuis une page clairement identifiée du site
La CNIL a multiplié les contrôles sur ces points. Les entreprises sanctionnées l’ont souvent été non pour l’absence totale de bannière, mais pour des mécanismes de consentement déséquilibrés rendant le refus plus laborieux que l’acceptation.
La conformité d’un site internet repose sur l’articulation entre mentions légales complètes, politique de confidentialité détaillée et dispositif de consentement équilibré. Ces trois couches ne fonctionnent pas de manière isolée : un site dont les mentions légales sont irréprochables mais dont la bannière cookies oriente vers l’acceptation reste exposé à une sanction.
