Mentions légales, cookies, CGV : ce qu’un site français doit afficher en 2026

En bref. Tout site professionnel français doit afficher des mentions légales complètes et une politique de confidentialité ; un site qui vend en ligne y ajoute des CGV ; un site qui dépose des traceurs non essentiels doit demander le consentement avec un refus aussi simple que l’acceptation. Les manquements aux mentions légales sont passibles de 75 000 € pour une personne physique et 375 000 € pour une société, et la CNIL sanctionne les cookies en procédure simplifiée jusqu’à 20 000 €, sans plafond de ce type pour les procédures ordinaires. La mise en conformité d’un site vitrine prend une demi-journée.

Les pages obligatoires selon votre situation

La liste dépend de ce que fait le site, pas de sa taille. Un site de trois pages qui prend des rendez-vous est soumis aux mêmes règles qu’un site de cinquante pages.

Page	Qui est concerné	Texte de référence
Mentions légales	Tout site professionnel, y compris un simple site vitrine	Loi pour la confiance dans l’économie numérique
Politique de confidentialité	Tout site qui collecte des données, même un simple formulaire de contact	RGPD, articles 13 et 14
Gestion des cookies	Tout site déposant des traceurs non strictement nécessaires	Article 82 de la loi Informatique et Libertés
CGV	Vente de biens ou de services en ligne	Code de la consommation
Médiateur de la consommation	Toute activité vendant à des particuliers	Code de la consommation, article L.616-1
Déclaration d’accessibilité	Secteur public et grandes entreprises ; services numériques concernés par les nouvelles obligations européennes	Réglementation accessibilité

Les CGU sont facultatives pour un site vitrine. Elles deviennent utiles dès qu’il existe des comptes utilisateurs, des contenus déposés par les visiteurs ou un espace client.

Ce que doivent contenir les mentions légales

Une page de trois lignes avec un nom et un e-mail ne suffit pas. Le contenu attendu, pour une société :

Dénomination sociale, forme juridique et montant du capital social
Adresse du siège social
Numéro d’immatriculation au RCS et ville du greffe, ou numéro SIREN
Numéro de TVA intracommunautaire si vous en avez un
Adresse e-mail et numéro de téléphone permettant un contact direct
Nom du directeur de la publication
Nom, raison sociale, adresse et téléphone de l’hébergeur du site

Un entrepreneur individuel indique ses nom et prénom, son adresse professionnelle, son numéro SIREN et, s’il est inscrit au répertoire des métiers, cette mention. Les professions réglementées ajoutent leur ordre professionnel, le titre et l’État qui l’a délivré, et les règles applicables. Une activité soumise à autorisation mentionne l’autorité qui l’a délivrée.

Le nom et l’adresse de l’hébergeur sont l’oubli le plus fréquent, y compris sur des sites récents réalisés par des professionnels. C’est aussi l’un des plus faciles à repérer pour un contrôleur : il suffit d’ouvrir la page.

Le bandeau cookies : ce qui est réellement sanctionné

Le principe tient en une phrase : aucun traceur non essentiel ne peut être déposé avant que l’internaute ait dit oui. Les erreurs constatées le plus souvent :

Dépôt avant consentement. Le script de mesure d’audience ou le pixel publicitaire se déclenche au chargement de la page, avant tout clic. Ouvrez les outils de développement de votre navigateur, onglet Application, et regardez les cookies présents avant d’avoir cliqué : c’est le test le plus rapide.
Refuser plus difficile qu’accepter. Un gros bouton « Tout accepter » face à un lien discret « Paramétrer » ne passe pas. Le refus doit être accessible au même niveau, avec le même effort visuel.
Absence de bouton refuser au premier niveau du bandeau.
Consentement non renouvelé. La CNIL recommande de redemander le consentement au bout d’environ six mois, et les cookies déposés ne devraient pas dépasser treize mois de durée de vie.
Poursuite de la navigation valant acceptation. Cette pratique n’est plus admise depuis plusieurs années, mais subsiste sur d’anciens sites.
Consentement impossible à retirer. Il faut un moyen permanent de revenir sur son choix, généralement un lien en pied de page.

Une exception mérite d’être connue : la mesure d’audience strictement nécessaire peut être exemptée de consentement si elle est limitée à la statistique anonyme, sans recoupement avec d’autres traitements ni transmission à des tiers, et si les données restent conservées un temps limité. Plusieurs solutions d’analyse se configurent dans ce cadre, ce qui permet de garder des statistiques fiables même quand une majorité de visiteurs refuse les cookies.

Combien coûte une non-conformité

Manquement	Sanction encourue
Mentions légales absentes ou incomplètes	Jusqu’à 75 000 € pour une personne physique, 375 000 € pour une société
Cookies déposés sans consentement	Procédure simplifiée : jusqu’à 20 000 €. Procédure ordinaire : montants nettement supérieurs, proportionnés au chiffre d’affaires
Manquement RGPD (information, sécurité, droits)	Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial
Absence de CGV en vente à distance	Amende administrative pouvant atteindre 15 000 € pour une personne physique et 75 000 € pour une société

Ces plafonds sont théoriques et les montants réellement prononcés contre de petites structures restent très inférieurs. Le risque concret pour une TPE est double : la procédure simplifiée de la CNIL, qui traite des dossiers standards sans audience et débouche sur des amendes de quelques milliers d’euros, et la mise en demeure publique, qui coûte surtout du temps et de la réputation. Les signalements viennent souvent d’un concurrent ou d’un visiteur agacé, pas d’un contrôle spontané.

Checklist de mise en conformité en une demi-journée

Générez ou reprenez vos mentions légales et vérifiez la présence des sept éléments listés plus haut, hébergeur compris.
Rédigez la politique de confidentialité : quelles données, pour quelle finalité, quelle base légale, combien de temps conservées, avec quels destinataires, et comment exercer ses droits.
Ajoutez sous chaque formulaire une phrase d’information courte renvoyant vers cette politique, avec une case à cocher non pré-cochée si vous inscrivez à une newsletter.
Installez une solution de gestion du consentement et testez le refus : rechargez la page et vérifiez qu’aucun traceur publicitaire ne se dépose.
Reliez cette solution à vos outils de mesure et de publicité pour que le refus soit réellement transmis.
Si vous vendez : rédigez des CGV couvrant le prix, les modalités de paiement, les délais de livraison, la garantie légale de conformité, le droit de rétractation de quatorze jours et son formulaire type, ainsi que les coordonnées du médiateur de la consommation.
Placez les liens vers toutes ces pages en pied de page, visibles sur chaque page du site, y compris sur mobile.
Notez la date de dernière mise à jour sur chaque page et reprogrammez une relecture dans douze mois.

Faire soi-même ou faire faire

Solution	Coût indicatif	Quand la choisir
Générateur en ligne gratuit	0 €	Site vitrine simple, sans vente ni données sensibles
Solution de consentement gratuite ou open source	0 € à quelques euros par mois	Petit site, peu de traceurs
Solution de consentement commerciale	environ 10 à 50 € par mois pour un site de TPE	Plusieurs outils publicitaires, besoin de preuve de consentement
Relecture par un avocat	environ 300 à 1 500 € en une fois	E-commerce, place de marché, données sensibles, abonnements

Un point de vigilance sur les textes copiés depuis un autre site : ils mentionnent souvent un hébergeur, une durée de conservation ou des sous-traitants qui ne sont pas les vôtres. Une politique de confidentialité fausse est plus risquée qu’une politique courte mais exacte.

Questions fréquentes

Un simple site vitrine sans formulaire doit-il des mentions légales ?

Oui. L’obligation porte sur l’activité professionnelle exercée en ligne, pas sur la collecte de données. Un site vitrine de trois pages doit afficher l’identité de l’éditeur, ses coordonnées, son numéro d’immatriculation et les coordonnées de son hébergeur. La politique de confidentialité, elle, devient obligatoire dès qu’une donnée est collectée, y compris via un formulaire de contact ou un outil de mesure d’audience.

Peut-on utiliser un générateur gratuit de mentions légales ?

Pour un site vitrine, oui, à condition de relire chaque champ et de compléter ce que le générateur laisse vide, notamment l’hébergeur et le directeur de la publication. Pour un site marchand, un abonnement ou une place de marché, la relecture par un juriste se justifie : les CGV engagent votre responsabilité contractuelle.

Que se passe-t-il si la majorité des visiteurs refuse les cookies ?

Vous perdez une partie de la mesure, généralement entre 20 % et 50 % du trafic selon le secteur. Deux réponses existent : configurer un outil de mesure d’audience dans le cadre exempté de consentement, ou accepter la perte et raisonner en tendances plutôt qu’en valeurs absolues. Contourner le refus par une empreinte numérique du navigateur n’est pas une option : c’est exactement ce que la réglementation vise.

Faut-il un bandeau cookies si le site n’a aucun outil de mesure ?

Non. Si le site ne dépose que des cookies strictement nécessaires à son fonctionnement, comme une session de connexion ou un panier, aucun consentement n’est requis. Il reste utile de le préciser dans une courte page dédiée, pour éviter qu’un visiteur ou un concurrent conclue à un oubli.