Mentions légales obligatoires d'un site internet de PME
Un site professionnel doit permettre d’identifier son éditeur et son hébergeur, de façon facile, directe et permanente. Cette obligation vient de la loi pour la confiance dans l’économie numérique du 21 juin 2004. Elle vise toute entreprise qui publie un site, même une simple vitrine de trois pages sans formulaire ni vente en ligne.
Sur le terrain, la page manque rarement. Elle est le plus souvent incomplète, ou périmée depuis une migration d’hébergement que personne n’a répercutée. Voici ce que la loi exige réellement, statut par statut, et la vérification à passer avant chaque mise en ligne.
Ce que la loi impose, et à qui
L’article 6 de la loi pour la confiance dans l’économie numérique distingue deux régimes.
Un éditeur professionnel, entreprise individuelle ou société, doit publier son identité complète. Un éditeur non professionnel, un particulier qui tient un blog sans activité commerciale, peut se limiter à communiquer son identité à l’hébergeur et n’afficher publiquement que le nom de ce dernier. Toute entreprise, y compris une micro-entreprise, relève du premier régime.
La condition de forme compte autant que le contenu. L’accès doit être facile et permanent, ce qui exclut un lien accessible depuis la seule page d’accueil ou masqué dans un sous-menu. Le pied de page, présent sur toutes les pages, reste la solution retenue par la quasi-totalité des sites conformes.
Ces mentions se rédigent en français lorsque le site s’adresse au public français, en application de la loi Toubon de 1994. Une version anglaise peut coexister, elle ne remplace pas la version française.
Les mentions d’identification selon votre statut
Le bloc d’identification varie selon la forme juridique. Reprenez la liste qui correspond à votre situation.
Pour un entrepreneur individuel ou une micro-entreprise :
- nom et prénom ;
- adresse du domicile ou du siège d’activité ;
- adresse électronique et numéro de téléphone ;
- numéro SIREN ou SIRET ;
- pour un artisan, le numéro d’immatriculation au répertoire des métiers ;
- numéro de TVA intracommunautaire si vous y êtes assujetti.
Pour une société :
- dénomination sociale et forme juridique, en toutes lettres ;
- montant du capital social ;
- adresse du siège social ;
- numéro d’inscription au registre du commerce et des sociétés, avec la ville du greffe ;
- adresse électronique et numéro de téléphone ;
- numéro de TVA intracommunautaire.
Une erreur courante consiste à ne mentionner que le nom commercial. La dénomination sociale figurant au Kbis fait foi, le nom commercial venant en complément. Sur une structure alsacienne inscrite au registre tenu par le tribunal judiciaire, la mention du greffe compétent suit la même logique.
L’hébergeur, la mention la plus souvent oubliée
La loi impose de nommer l’hébergeur du site avec sa raison sociale, son adresse et son numéro de téléphone. Cette mention existe pour une raison précise : elle donne à un tiers qui s’estime lésé le moyen de saisir directement l’hébergeur en cas de contenu manifestement illicite.
Deux pièges reviennent constamment sur les sites de PME.
Le premier tient à la confusion entre l’hébergeur et l’agence. Si votre prestataire revend un hébergement, l’entité à mentionner reste celle qui héberge physiquement les données, sauf si l’agence assume elle-même ce rôle contractuellement.
Le second tient à l’obsolescence. Une migration vers un autre prestataire, un changement d’offre ou un rachat entre acteurs du marché rend la mention fausse du jour au lendemain. La page devient alors non conforme sans que personne ne s’en aperçoive. Le sujet mérite d’être traité en même temps que le choix technique, comme détaillé dans notre guide sur le nom de domaine et l’hébergement.
Directeur de la publication et professions réglementées
Le directeur de publication est la personne physique responsable du contenu éditorial. Dans une société, il s’agit du représentant légal, sauf désignation contraire. Son nom doit apparaître, accompagné le cas échéant de celui du responsable de la rédaction quand le site publie une activité éditoriale régulière.
Certaines activités ajoutent leurs propres obligations. Une profession réglementée doit indiquer son titre professionnel, l’État qui l’a délivré, l’ordre ou l’organisme professionnel auquel elle est inscrite, ainsi que les règles professionnelles applicables. Une activité soumise à autorisation mentionne le nom et l’adresse de l’autorité qui l’a délivrée.
Deux cas particuliers fréquents en Alsace
Une association loi 1901 qui édite un site suit le régime professionnel dès qu’elle exerce une activité économique. Elle indique alors sa dénomination, l’adresse de son siège, le nom de son représentant légal et, quand elle en dispose, son numéro SIREN. Les associations inscrites au registre des associations du tribunal judiciaire, régime propre au Bas-Rhin, au Haut-Rhin et à la Moselle, mentionnent ce registre plutôt que le registre national.
Deuxième cas : l’entrepreneur individuel qui travaille depuis son domicile. L’adresse à publier reste celle du siège déclaré, ce qui expose une adresse personnelle. La domiciliation commerciale ou l’adresse d’une société de domiciliation règle la question, à condition que l’adresse déclarée au registre corresponde à celle du site. Une divergence entre les deux se repère immédiatement lors d’une vérification.
Un site qui diffuse de la publicité pour des tiers, qui pratique l’affiliation ou qui publie des contenus sponsorisés doit également signaler ce caractère commercial. Cette exigence de transparence relève du code de la consommation autant que du bon sens éditorial.
Données personnelles et cookies : une page distincte
Les mentions légales identifient l’éditeur. La politique de confidentialité décrit les traitements de données. Confondre les deux documents produit une page bavarde et incomplète des deux côtés.
Dès qu’un formulaire de contact existe, un traitement de données personnelles est en cours. Le RGPD impose alors d’informer sur la finalité, la base légale, la durée de conservation, les destinataires et les droits des personnes, avec le contact du responsable de traitement.
Les cookies obéissent à un régime propre. La CNIL retient une règle de symétrie : refuser doit être aussi simple qu’accepter, ce qui condamne les bandeaux qui n’offrent qu’un bouton de consentement. Les cookies strictement nécessaires au fonctionnement du site échappent au consentement, ceux de mesure d’audience non exemptée et de publicité y sont soumis. Les sanctions prévues par le RGPD atteignent 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements les plus graves, un plafond conçu pour les grands acteurs mais dont la CNIL décline des versions proportionnées pour les petites structures. Notre article sur le RGPD pour un site de TPE détaille la mise en conformité pas à pas.
CGV, CGU et résiliation en trois clics
Un site vitrine n’a pas besoin de conditions générales. Dès qu’une transaction devient possible, elles s’imposent, avec le détail des prix, des modalités de paiement et de livraison, du droit de rétractation et des garanties légales.
Les conditions générales d’utilisation ne sont pas obligatoires en tant que telles, mais deviennent utiles dès qu’un espace client, un forum ou un dépôt de contenu existe.
Une obligation plus récente concerne les abonnements. Depuis le 1er juin 2023, tout professionnel qui offre la possibilité de conclure des contrats par voie électronique doit proposer une résiliation en ligne accessible en trois étapes maximum : information, identification, confirmation. La fonctionnalité doit être gratuite, directe et accessible de façon permanente. Le manquement expose à une amende administrative pouvant atteindre 15 000 euros pour une personne physique et 75 000 euros pour une personne morale.
Cette règle vise bien plus d’entreprises qu’on ne le croit : salles de sport, médias en ligne, services informatiques et prestations récurrentes entrent dans son champ.
Propriété intellectuelle et crédits
Aucun texte n’impose de clause de propriété intellectuelle, mais son absence complique les recours en cas de reprise de vos contenus. Une formulation courte suffit : rappel de la protection des textes, images et éléments graphiques, et interdiction de reproduction sans autorisation.
Les crédits comptent tout autant. Une photographie achetée sous licence, une police de caractères ou une illustration libre de droits imposent souvent une attribution précise. Cette mention se place dans les mentions légales ou dans un bloc de crédits dédié.
Une remarque d’expérience : sur les sites de PME, les visuels proviennent fréquemment d’une recherche d’images sans vérification de licence. C’est le poste de risque le plus concret, bien avant les sanctions pénales de la loi.
Ce que vous risquez réellement
Le défaut de mentions légales constitue un délit. La loi pour la confiance dans l’économie numérique prévoit un an d’emprisonnement et 75 000 euros d’amende pour la personne physique ou le dirigeant concerné, montant porté à 375 000 euros pour la personne morale.
Ces peines maximales ne reflètent pas la pratique judiciaire courante pour une PME, où les contentieux naissent le plus souvent d’un litige commercial ou d’une plainte de concurrent. Le risque opérationnel est ailleurs.
Une page incomplète fragilise votre position en cas de litige, complique une action contre une reprise de contenu et alimente le doute chez un prospect qui vérifie l’existence de l’entreprise avant de signer. Sur un marché local, ce dernier point pèse davantage que la menace pénale.
La checklist à passer avant la mise en ligne
Reprenez ces points un par un, page ouverte à côté du Kbis.
- Dénomination sociale exacte, forme juridique, capital social et adresse du siège.
- Numéro RCS avec la ville du greffe, SIREN ou SIRET, numéro de TVA intracommunautaire si applicable.
- Adresse électronique et numéro de téléphone joignables, testés depuis un poste extérieur.
- Nom du directeur de la publication.
- Hébergeur : raison sociale, adresse postale complète, téléphone, vérifiés après toute migration.
- Lien en pied de page, présent sur toutes les pages, libellé explicite.
- Politique de confidentialité distincte, bandeau cookies avec refus aussi accessible que l’acceptation.
- Conditions générales et fonctionnalité de résiliation si le site vend ou gère des abonnements.
Une vérification annuelle, calée sur la revue comptable, suffit à maintenir la page à jour. Les mêmes réflexes s’appliquent aux autres obligations qui pèsent désormais sur un site professionnel, à commencer par l’accessibilité numérique.
Les oublis les plus fréquents sur les sites de PME
Cinq défauts reviennent dans presque tous les audits menés sur des sites vitrines existants.
Le capital social absent, ou celui de la création alors qu’une augmentation est intervenue depuis. Le numéro de TVA intracommunautaire manquant chez une entreprise pourtant assujettie. L’hébergeur périmé après un changement de prestataire. Le directeur de la publication oublié, ou attribué à une personne qui a quitté l’entreprise. Le bandeau cookies posé par un module installé une fois puis jamais reconfiguré, qui dépose des traceurs avant tout consentement.
Chacun de ces points se corrige en moins d’une heure. Aucun ne se corrige tout seul.
Prochaine étape : ouvrez votre page de mentions légales et votre extrait Kbis côte à côte, corrigez les écarts ligne à ligne, puis inscrivez cette vérification dans le calendrier annuel de votre entreprise. Le sujet se traite en une matinée, une fois par an, et se prépare dès la conception du site comme le rappelle notre guide sur la création d’un site vitrine professionnel.