Obligations légales d'un site internet d'entreprise en 2026

Quelles sont les obligations légales d'un site internet d'entreprise en 2026 ? Quatre blocs : les mentions légales d'identification (tout site professionnel, sans exception), l'information RGPD dès que vous collectez une donnée, le consentement aux cookies non essentiels, et l'accessibilité numérique qui, contrairement à ce qu'on lit partout, ne concerne pas la majorité des TPE. Ce guide détaille ce qui s'applique vraiment à vous, ce qui ne s'applique pas, et ce que ça coûte de se mettre en règle.

« La plupart des articles sur ce sujet font peur pour vendre un audit. La réalité est plus simple : trois obligations concernent tout le monde, une quatrième ne concerne presque aucune TPE. Autant savoir laquelle. » Alexis Ferreira — Fondateur de Vistise

Le texte de référence a changé et personne ne l'a vu passer : l'article 6-III de la LCEN, cité par la quasi-totalité des modèles de mentions légales qui circulent en ligne, n'existe plus depuis le 23 mai 2024. Les obligations d'identification de l'éditeur figurent désormais à l'article 1-1 de la LCEN. Source : loi n° 2024-449 du 21 mai 2024, dite loi SREN

Les 4 obligations, classées par risque réel

Avant d'entrer dans le détail, voici la vue d'ensemble. Toutes ces obligations ne se valent pas : certaines visent tout le monde, d'autres presque personne.

La logique est simple : plus l'obligation est facile à vérifier depuis l'extérieur, plus le risque de contrôle est élevé. Les mentions légales se contrôlent en dix secondes depuis un navigateur. C'est exactement pour ça qu'elles arrivent en tête.

1. Les mentions légales : la seule obligation qui vise 100 % des sites pro

C'est la base, et c'est aussi ce qui manque le plus souvent. Toute personne qui édite un service de communication au public en ligne doit pouvoir être identifiée. Pas de seuil, pas d'exemption, pas de tolérance pour les petites structures.

Ce qui a changé en 2024

La loi SREN du 21 mai 2024 a restructuré entièrement la LCEN pour l'aligner sur le règlement européen sur les services numériques (DSA). Conséquence pratique : les obligations d'identification ont déménagé de l'article 6-III vers l'article 1-1, en vigueur depuis le 23 mai 2024. Le contenu de l'obligation n'a quasiment pas bougé, mais la référence juridique, si.

Pourquoi ça compte ? Parce que si vos mentions légales ont été copiées depuis un modèle en ligne, il y a de fortes chances qu'elles citent un article de loi qui n'existe plus. Ce n'est pas une infraction en soi, mais c'est le premier signal qu'une page n'a pas été mise à jour depuis des années.

La loi SREN a aussi ajouté une obligation : indiquer l'identité de la personne qui assure le stockage des données traitées dans le cadre de l'édition du service, même à titre gratuit. Autrement dit, votre hébergeur de site, mais aussi le service qui héberge votre base de données ou vos formulaires si ce n'est pas le même.

La liste exacte, selon votre statut

Pour tout le monde, six informations sont exigibles quel que soit votre statut. La liste officielle est publiée par service-public.fr.

Si vous êtes en entreprise individuelle ou micro-entreprise : ajoutez la mention « entrepreneur individuel » ou les initiales « EI ». Si vous n'êtes pas assujetti à la TVA, indiquez-le explicitement, avec la référence de l'exonération (par exemple l'article 293 B du CGI pour la franchise en base). Une ligne qui évite beaucoup de questions de la part de vos clients.

Si vous êtes en société : ajoutez la forme juridique (SARL, SAS, EURL), le montant du capital social, et le nom du directeur de la publication (généralement le représentant légal).

Si vous exercez une profession réglementée : ajoutez votre ordre professionnel ou votre autorité de tutelle, votre numéro d'inscription, et le cas échéant votre carte professionnelle. C'est le cas des avocats, dont le site doit aussi respecter le RIN, mais aussi des médecins, agents immobiliers, experts-comptables et architectes.

Ce qui est encouru

Le défaut d'identification de l'éditeur est puni de 1 an d'emprisonnement et 75 000 € d'amende pour une personne physique, et 375 000 € pour une personne morale (article 1-2 de la LCEN). Ce sont des maxima théoriques, jamais appliqués à une TPE qui a simplement oublié une ligne.

En pratique, ce que vous risquez vraiment : un contrôle de la DGCCRF, une mise en demeure, et une amende administrative si vous ne corrigez pas. Le risque commercial est plus immédiat : un prospect qui cherche à savoir à qui il a affaire et ne trouve rien referme l'onglet.

Les trois erreurs qu'on voit le plus souvent

1. Un lien enterré dans le footer d'une seule page. Les mentions légales doivent être accessibles depuis toutes les pages du site, y compris les pages d'atterrissage publicitaires.
2. Pas de téléphone. L'e-mail seul ne suffit pas. Un numéro doit permettre de vous joindre, même un numéro professionnel dédié.
3. Un hébergeur mentionné comme « OVH » sans adresse ni téléphone. Le texte demande les coordonnées complètes.

2. RGPD : dès que vous avez un formulaire de contact

Un site d'entreprise est soumis au RGPD dès qu'il collecte une donnée personnelle, sans seuil d'effectif ni de chiffre d'affaires. Un formulaire de contact qui demande un nom et un e-mail suffit à déclencher l'obligation : politique de confidentialité accessible, information au moment de la collecte, base légale identifiée, durée de conservation définie.

Beaucoup de dirigeants de TPE pensent que le RGPD est une affaire de grandes entreprises et de bases de données massives. C'est faux : le texte ne prévoit aucun seuil d'entrée.

Ce que votre site doit afficher

Une politique de confidentialité accessible, qui indique au minimum :

• Qui est responsable du traitement (vous, avec vos coordonnées)
• Quelles données sont collectées, précisément
• Pourquoi elles sont collectées (la finalité : répondre à une demande de devis, envoyer une newsletter)
• Sur quelle base légale (consentement, exécution d'un contrat, intérêt légitime)
• Combien de temps elles sont conservées
• Si elles sont transmises à des tiers, et lesquels
• Comment exercer ses droits : accès, rectification, suppression, opposition
• La possibilité de réclamer auprès de la CNIL

Et au moment de la collecte, une information courte et visible sous le formulaire, avec un lien vers la politique complète. Pas de case pré-cochée pour l'inscription à une newsletter : le consentement doit être un acte positif.

Le registre des traitements et son exemption en trompe-l'œil

Le RGPD prévoit une exemption de registre pour les organismes de moins de 250 salariés. Sur le papier, toutes les TPE sont concernées. En réalité, l'exemption ne joue que si les traitements sont occasionnels, ne portent pas sur des données sensibles, et ne présentent pas de risque pour les personnes.

Or un fichier client, des bulletins de paie, une liste de newsletter ou un système de vidéosurveillance ne sont jamais occasionnels : ce sont des traitements permanents. Pour la quasi-totalité des entreprises, y compris les plus petites, le registre est donc obligatoire.

La CNIL le dit elle-même à propos de cette dérogation : « cette dérogation est donc limitée à des cas très particuliers ». Bonne nouvelle : pour une TPE, le registre tient sur un tableau d'une page, et la CNIL en publie un modèle gratuit. Comptez une heure de travail, une fois.

Ce que la CNIL sanctionne réellement

La CNIL a industrialisé les sanctions visant les petites structures via sa procédure simplifiée, dont le plafond est de 20 000 €. En 2024, la majorité des sanctions prononcées l'ont été par cette voie. Les motifs récurrents ne sont pas exotiques : absence de politique de confidentialité, non-réponse à une demande de suppression, durées de conservation infinies, prospection sans consentement.

C'est précisément le profil d'une TPE qui a laissé son site vivre sa vie pendant cinq ans.

3. Cookies : le consentement, et les exceptions que personne ne connaît

L'article 82 de la loi Informatique et Libertés impose un consentement préalable avant de déposer ou lire un traceur sur le terminal d'un visiteur. Refuser doit être aussi simple qu'accepter : si votre bandeau a un gros bouton « Accepter » et un lien gris « Paramétrer » caché en dessous, il n'est pas conforme.

Ce qui est exempté de consentement

Tous les cookies ne nécessitent pas de bandeau. Sont exemptés ceux qui sont strictement nécessaires au service :

• Panier d'achat sur une boutique en ligne
• Session d'authentification pour un espace client
• Mémorisation du choix de langue
• Mémorisation du refus des cookies eux-mêmes
• Équilibrage de charge et sécurité

Le cas de la mesure d'audience

C'est le point qui coûte le plus cher en méconnaissance. Un outil de mesure d'audience peut être exempté de consentement, mais à trois conditions cumulatives strictes définies par la CNIL :

1. Il sert exclusivement à mesurer l'audience du site
2. Il produit uniquement des données statistiques anonymes
3. Il sert uniquement l'intérêt de l'éditeur du site

Sont explicitement exclus : le recoupement avec d'autres traitements, la transmission de données non anonymisées à des tiers, et le suivi de la navigation d'une personne à travers plusieurs sites via un identifiant partagé.

Concrètement : Google Analytics ne remplit pas ces conditions. Il faut donc un bandeau avec consentement préalable, et le script ne doit se charger qu'après acceptation. Certains outils européens conçus pour l'exemption permettent de s'en passer, mais il faut vérifier leur configuration précise, pas seulement leur argument commercial.

La CNIL recommande par ailleurs de limiter la durée de vie des traceurs à 13 mois et la conservation des données collectées à 25 mois maximum.

Comment on fait chez Vistise : le bandeau de consentement de vistise.fr stocke le choix du visiteur pendant 13 mois, exactement la durée recommandée par la CNIL, et le script Google Analytics n'est chargé qu'après acceptation explicite. C'est intégré de base, pas facturé en option.

4. Accessibilité : pourquoi ça ne vous concerne probablement pas

La majorité des TPE françaises ne sont pas soumises à l'obligation d'accessibilité numérique. Deux conditions cumulatives doivent être réunies : fournir un service en ligne visé par la réglementation (commerce électronique, banque, transport, livres numériques, télécommunications) et dépasser 10 salariés ou 2 millions d'euros de chiffre d'affaires. Un site vitrine sans vente en ligne ne remplit aucune des deux.

C'est le sujet sur lequel circule le plus de désinformation depuis 2025, souvent relayée par des acteurs qui vendent des audits d'accessibilité. Reprenons calmement.

Il existe deux régimes distincts en France.

Régime 1 : le secteur public et les très grandes entreprises

L'article 47 de la loi du 11 février 2005 impose l'accessibilité aux services publics, aux organismes délégataires de service public, et aux entreprises privées dont le chiffre d'affaires en France dépasse 250 millions d'euros. Le référentiel applicable est le RGAA. Si vous lisez cet article, ce régime ne vous concerne pas.

Régime 2 : l'European Accessibility Act, applicable depuis juin 2025

La directive (UE) 2019/882, transposée en droit français par la loi n° 2023-171 du 9 mars 2023 et l'ordonnance n° 2023-859 du 6 septembre 2023, s'applique depuis le 28 juin 2025. Elle vise les opérateurs privés. Et c'est là que les articles alarmistes s'arrêtent.

Deux filtres se cumulent :

Filtre 1 — la catégorie de service. L'EAA ne vise pas « tous les sites web ». Elle vise des services précis fournis aux consommateurs : commerce électronique, services bancaires, transport de voyageurs, livres numériques, télécommunications, services de médias audiovisuels. Un site vitrine qui ne vend rien en ligne n'entre dans aucune de ces catégories.

Filtre 2 — le seuil de microentreprise. Même pour les services visés, les entreprises de moins de 10 salariés dont le chiffre d'affaires annuel ou le total du bilan est inférieur à 2 millions d'euros sont exemptées des obligations d'accessibilité pour les services. L'exemption est automatique : aucune déclaration à faire.

Le tableau de décision

Attention : l'exemption n'est pas acquise à vie. Si votre boutique passe de 8 à 12 salariés, ou franchit les 2 millions d'euros, vous entrez dans le champ. Les entreprises concernées s'exposent à des sanctions administratives lourdes, pouvant s'accompagner d'une astreinte journalière.

Pourquoi le faire quand même

Ne pas être légalement obligé n'est pas une raison de faire un site inaccessible. Les critères d'accessibilité recoupent très largement ce qui fait un bon site tout court :

• Contrastes suffisants : lisible au soleil sur un téléphone, pas seulement par une personne malvoyante
• Textes alternatifs sur les images : c'est aussi ce que Google lit pour comprendre vos visuels
• Structure de titres cohérente : c'est la colonne vertébrale de votre référencement naturel
• Navigation au clavier, zones cliquables assez grandes : la moitié de vos visiteurs sont sur mobile, souvent debout, souvent pressés

Autrement dit, l'accessibilité bien faite ne coûte presque rien quand elle est pensée dès la conception, et elle sert votre visibilité. Elle coûte cher quand il faut rattraper un site existant.

Si vous vendez en ligne : les obligations supplémentaires

Une boutique en ligne ajoute une couche d'obligations issues du code de la consommation, indépendamment de tout ce qui précède.

L'absence de CGV pour une vente à des particuliers est sanctionnée jusqu'à 3 000 € pour une personne physique. Le défaut de fonctionnalité de résiliation en ligne pour les contrats par abonnement peut atteindre 15 000 €.

Si vous préparez une boutique, ces points sont à traiter en même temps que le catalogue, pas après. Notre guide complet de création d'un site e-commerce détaille la partie technique.

La checklist de conformité

À passer en revue une fois, puis à revérifier chaque année.

Combien ça coûte de se mettre en règle

Trois cas de figure, avec des ordres de grandeur réels.

Vous avez un site existant non conforme. Un prestataire facture généralement entre 300 € et 800 € pour reprendre les pages légales, ajouter un bandeau cookies fonctionnel et conditionner les scripts. Un avocat spécialisé pour des CGV sur mesure démarre plutôt vers 500 €. Si votre site est sous WordPress avec cinq plugins qui déposent chacun leurs traceurs, comptez plus : c'est le coût caché de l'empilement d'extensions, un des problèmes structurels de WordPress.

Vous le faites vous-même. C'est parfaitement faisable pour les mentions légales et la politique de confidentialité : la CNIL et le site service-public.fr publient des modèles gratuits. Comptez une demi-journée. La partie technique du bandeau cookies est plus délicate, parce que le piège n'est pas le bandeau lui-même mais le blocage effectif des scripts avant consentement.

Vous créez un nouveau site. C'est le cas le plus simple, à condition que ce soit prévu dès le départ. Chez Vistise, les pages légales, la politique de confidentialité, le bandeau de consentement conforme et le chargement conditionnel des scripts d'analyse sont inclus dans toutes les offres, de l'offre One-Page à 490 € à l'e-commerce à 1 490 €. Pas en option, pas en supplément.

Ce n'est pas de la générosité : c'est la seule façon honnête de livrer un site professionnel. Un site qui n'est pas conforme n'est pas fini.

Ce qu'il faut retenir

1. Les mentions légales concernent tout le monde, sans seuil ni exemption. C'est aussi le plus rapide à corriger.
2. Le RGPD se déclenche au premier formulaire. L'exemption de registre pour les moins de 250 salariés ne s'applique quasiment jamais en pratique.
3. Le consentement cookies est obligatoire dès Google Analytics. L'exemption de mesure d'audience existe mais ses conditions sont strictes.
4. L'accessibilité ne concerne probablement pas votre TPE. Vérifiez vos deux filtres plutôt que de payer un audit par précaution, et faites-la quand même correctement à la conception, parce qu'elle sert votre référencement.
5. Une boutique en ligne ajoute une couche complète d'obligations consuméristes à traiter dès la conception.

Le vrai risque, pour une TPE, n'est presque jamais la sanction maximale théorique. C'est la mise en demeure qui tombe au mauvais moment, et le prospect qui referme l'onglet parce qu'il ne trouve pas à qui il a affaire.

Sources officielles

Toutes les affirmations de cet article sont vérifiables sur les textes et publications suivants :

Alexis Ferreira, fondateur de Vistise, développeur web depuis 2016, spécialiste des sites React sur mesure pour TPE/PME. Voir le profil LinkedIn →

Vous avez un site et vous ne savez pas où vous en êtes ? Envoyez-moi l'adresse. Je vous dis en quelques lignes ce qui manque et ce qui est en règle, gratuitement, même si vous ne travaillez pas avec moi.

Faire vérifier mon site → contact gratuit

Réponse sous 24h. Sans engagement, sans carte bancaire.

Cet article présente le cadre applicable en France à la date de publication et ne constitue pas un conseil juridique personnalisé. Pour une situation particulière, notamment en profession réglementée ou en vente en ligne, rapprochez-vous d'un professionnel du droit.