Conformité des sites : les 8 obligations que presque personne ne respecte
En bref. Tout site professionnel accessible en France doit afficher des mentions légales complètes, informer ses visiteurs sur les données qu’il collecte, et ne déposer aucun traceur publicitaire avant d’avoir obtenu un consentement. L’absence de mentions légales conformes est un délit pénal puni d’un an d’emprisonnement et de 75 000 € d’amende. Les cookies sont le premier motif de sanction de la CNIL en France. La mise en conformité prend généralement quelques heures. Vérifiez votre site gratuitement en deux minutes.
Vous avez fait construire votre site il y a trois ans. Il tourne, il vous amène des clients, vous n’y touchez plus. Et vous n’avez jamais ouvert la page « mentions légales », celle que votre prestataire a remplie à la va-vite avant la mise en ligne, ou pas remplie du tout.
Vous n’êtes pas un cas isolé. Sur les sites de TPE et PME que nous analysons, la même poignée de manquements revient presque à chaque fois. Aucun n’est compliqué à corriger. Encore faut-il savoir qu’ils existent !
Voici ce que la loi française attend réellement d’un site professionnel en 2026, ce que vous risquez concrètement, et ce qui ne vous concerne probablement pas… parce qu’on vous vend beaucoup d’obligations imaginaires.
Pourquoi un site conforme n’est pas qu’une affaire de juriste
Au-delà des risques juridiques, il y a trois raisons très concrètes pour s’assurer de la conformité de votre site, qu’il soit un simple blog, une vitrine ou une boutique en ligne :
- Le litige. Un client mécontent, un concurrent, un ancien salarié : la plupart des sanctions ne viennent pas d’un contrôle spontané, mais d’une plainte ! Et la première chose que regarde celui qui veut vous nuire, c’est votre page de mentions légales.
- La confiance. Un site sans mentions légales, sans conditions de vente lisibles, avec un bandeau cookies qui force la main : c’est le genre de détail qui fait hésiter un prospect au moment de laisser ses coordonnées.
- Le référencement. Google et les intelligences artificielles qui répondent aujourd’hui à la place des moteurs cherchent des signaux de fiabilité : qui êtes-vous, où êtes-vous, depuis quand. Ces informations sont précisément celles que réclame la loi.
Les 8 obligations les plus souvent oubliées
1. Les mentions légales : la seule dont le non-respect est un délit pénal
C’est l’obligation la plus élémentaire, et la plus sévèrement sanctionnée sur le papier.
L’article 6 de la loi pour la confiance dans l’économie numérique (LCEN) impose à tout éditeur de site de s’identifier : dénomination sociale, forme juridique, adresse du siège, capital social, numéro RCS avec la ville du greffe, SIRET, numéro de TVA intracommunautaire, e-mail et téléphone, nom du directeur de la publication, et l’identité complète de l’hébergeur (nom, adresse, téléphone).
Ce que vous risquez : un an d’emprisonnement et 75 000 € d’amende pour le dirigeant, 375 000 € pour la société. Ce n’est pas une amende administrative, c’est un délit.
Dans les faits, personne ne va en prison pour une page incomplète. Mais c’est le premier levier qu’utilisera un adversaire dans un litige, et c’est aussi le plus simple à corriger : une heure de travail.
2. La politique de confidentialité… et surtout, sa sincérité
Dès qu’un formulaire de contact existe, vous collectez des données personnelles. Le RGPD vous impose d’expliquer pourquoi vous les collectez, sur quelle base juridique, combien de temps vous les gardez, qui d’autre y a accès, et comment exercer ses droits, sans oublier la possibilité de saisir la CNIL.
L’erreur la plus fréquente n’est pas l’absence de politique, mais la politique générique : un modèle copié en ligne, qui ne décrit aucun de vos traitements réels. En cas de contrôle, l’écart entre le document et la réalité saute aux yeux.
Ce que vous risquez : la CNIL dispose depuis 2022 d’une procédure de sanction simplifiée, plafonnée à 20 000 €, qu’elle utilise massivement sur les petites structures. Le plafond théorique de 20 millions d’euros ne vous concerne pas (méfiez-vous de qui l’agite pour vous vendre quelque chose…).
3. Les cookies : le point où le contrôle est réel, pas hypothétique
C’est ici que le discours change de nature. Pour les autres obligations, on parle d’un risque en cas de plainte. Pour les cookies, la CNIL fait tourner un robot qui inspecte en continu les bandeaux des sites français.
Trois règles, souvent enfreintes ensemble :
- Aucun traceur publicitaire ou de mesure d’audience ne doit se déclencher avant le consentement. le Le manquement numéro un ? Google Analytics et le pixel Meta chargés dès l’arrivée du visiteur.
- Refuser doit être aussi simple qu’accepter. Un bouton « Tout accepter » bien visible et un refus caché derrière trois clics de réglages : non conforme.
- Le retrait du consentement doit rester accessible à tout moment.
Ce que vous risquez : jusqu’à 2 % du chiffre d’affaires. Les cookies représentent environ un tiers des décisions de sanction prononcées en France.
4. Les conditions générales de vente, si vous vendez en ligne
Un site marchand doit informer avant l’achat : caractéristiques du produit, prix TTC, frais de livraison, délais, moyens de paiement, et surtout le droit de rétractation de 14 jours, accompagné du formulaire type.
Le piège qui coûte le plus cher : si vous n’informez pas correctement sur la rétractation, le délai passe de 14 jours à douze mois. Aucune amende là-dedans, juste des retours que vous devrez accepter pendant un an.
Il faut aussi mentionner un médiateur de la consommation, et y avoir réellement adhéré. Beaucoup de sites citent un médiateur sans convention signée : la mention ne vaut alors rien.
5. Le bouton de rétractation en ligne (nouveauté 2026)
Depuis juin 2026, tout professionnel qui conclut des contrats à distance via une interface en ligne doit proposer une fonctionnalité permettant d’exercer la rétractation directement en ligne, accessible pendant toute la durée du délai.
C’est récent, et c’est l’obligation la moins appliquée du moment : presque aucun site de petite entreprise ne l’a mise en place.
6. Votre chatbot doit dire qu’il est une IA (nouveauté août 2026)
L’article 50 du règlement européen sur l’intelligence artificielle est entré en application. Si un assistant conversationnel répond à vos visiteurs, il doit indiquer clairement, dès le premier échange, qu’il s’agit d’une intelligence artificielle. Même chose pour un standard téléphonique automatisé, ou pour des visuels générés entièrement par IA (les simples retouches ne comptent pas).
Ce que vous risquez : jusqu’à 15 millions d’euros ou 3 % du chiffre d’affaires. Ces plafonds visent évidemment les grands acteurs, mais l’obligation, elle, s’applique à tout le monde.
7. Les images de votre site vous appartiennent-elles vraiment ?
Le risque financier le plus probable pour un site vitrine n’est ni la CNIL ni la DGCCRF : c’est la mise en demeure d’une banque d’images. Getty, l’AFP et quelques autres font tourner des outils de reconnaissance visuelle et facturent plusieurs milliers d’euros une photo utilisée sans licence.
Si vous ne pouvez pas produire la facture ou la licence d’une image de votre site, remplacez-la.
8. Un CMS non mis à jour est un manquement à la sécurité
Le RGPD impose de protéger les données que vous collectez. Un WordPress qui n’a pas été mis à jour depuis deux ans, avec des extensions abandonnées, constitue un manquement caractérisé à cette obligation. Et c’est la première cause de piratage des sites vitrines…
Et ce qui ne vous concerne probablement pas !
On tentera peut-être de vous vendre la régularisation de ces deux points, qui pourtant sont facultatifs.
- L’accessibilité numérique. Le règlement européen sur l’accessibilité s’applique depuis juin 2025 aux services destinés aux consommateurs. Mais il exempte les entreprises de moins de 10 salariés dont le chiffre d’affaires n’excède pas 2 millions d’euros. Si vous êtes artisan ou commerçant avec trois salariés, l’obligation ne vous vise pas. Rendre son site accessible reste une bonne idée, pour vos visiteurs comme pour votre référencement, mais personne ne peut vous l’imposer.
- Le lien vers la plateforme européenne de règlement des litiges. Vous en avez peut-être un dans vos CGV. Cette plateforme a définitivement fermé en juillet 2025. Ce lien mort ne vous expose à rien, mais il indique que vos documents juridiques n’ont pas été relus depuis plus d’un an… et c’est rarement le seul point à revoir.
Récapitulatif
| Obligation | Texte applicable | Sanction encourue |
|---|---|---|
| Mentions légales complètes | Art. 6 LCEN | 1 an d’emprisonnement, 75 000 € (375 000 € pour la société) |
| Information sur les données | Art. 12 à 14 RGPD | Sanction CNIL, procédure simplifiée jusqu’à 20 000 € |
| Consentement aux cookies | Art. 82 loi Informatique et Libertés | Jusqu’à 2 % du chiffre d’affaires |
| Information précontractuelle | Code de la consommation, art. L221-5 | Amende DGCCRF jusqu’à 15 000 € |
| Droit de rétractation | Art. L221-20 | Délai porté de 14 jours à 12 mois |
| Rétractation en ligne | Directive UE 2023/2673, depuis le 19/06/2026 | Sanctions administratives DGCCRF |
| Transparence des chatbots | Art. 50 du règlement IA, depuis le 02/08/2026 | Jusqu’à 15 M€ ou 3 % du CA |
| Sécurité des données | Art. 32 RGPD | Sanction CNIL, responsabilité en cas de fuite |
Combien de temps pour se mettre en règle ?
Moins que vous le pensez…
Rédiger des mentions légales complètes et une politique de confidentialité adaptée à vos traitements réels : une demi-journée. Reconfigurer un bandeau cookies pour qu’il bloque réellement les traceurs avant consentement : une à deux heures selon la solution utilisée. Ajouter une mention d’information sous vos formulaires : quelques minutes.
L’essentiel du travail consiste à savoir quoi corriger. C’est précisément ce que fait l’audit ci-dessous.
Vérifiez votre site gratuitement, en deux minutes !
Nous avons construit un outil qui analyse automatiquement votre site et vous envoie un rapport complet. Il vérifie notamment :
- la présence et la complétude de vos mentions légales, point par point
- votre politique de confidentialité et vos conditions générales
- les traceurs déposés avant consentement, et la conformité de votre bandeau
- vos formulaires, votre certificat HTTPS, la version de votre CMS
- vos liens morts, votre vitesse sur mobile, votre référencement
- si votre entreprise est citée par ChatGPT et les autres IA quand on cherche votre métier
Le rapport est gratuit, sans engagement, et il vous appartient : vous pouvez le confier à votre prestataire actuel, ou tout corriger vous-même.
[Lancer l’audit gratuit de mon site]
Questions fréquentes
Un site vitrine sans vente en ligne doit-il aussi être conforme ? Oui. Les mentions légales et l’information sur les données personnelles s’imposent à tout site professionnel, même sans boutique. Seules les obligations propres à la vente à distance ne s’appliquent qu’aux sites qui vendent : conditions générales de vente, droit de rétractation, médiateur de la consommation.
Est-ce que je risque vraiment un contrôle ? Pour une petite entreprise, un contrôle spontané reste peu probable, sauf enquête sectorielle de la DGCCRF. Les sanctions arrivent presque toujours après une plainte. L’exception, ce sont les cookies : la CNIL utilise un robot qui inspecte les bandeaux en continu, sans plainte préalable.
Mon prestataire a fait le site, la responsabilité est-elle la sienne ? Non. L’éditeur du site est responsable de son contenu, et l’éditeur c’est vous. Vous pouvez vous retourner contre votre prestataire, mais c’est votre entreprise que l’autorité ou le juge regardera en premier.
Les mentions légales et les CGV, c’est la même chose ? Non. Les mentions légales servent à vous identifier : qui édite le site, qui l’héberge. Les conditions générales de vente encadrent la relation commerciale : prix, livraison, rétractation, garanties. Un site vitrine a besoin des premières, pas forcément des secondes.
Puis-je copier les pages légales d’un autre site ? C’est le réflexe le plus répandu et le plus risqué. Le texte reproduit reste protégé par le droit d’auteur, et surtout il décrit une autre entreprise : capital, hébergeur, dirigeant, activité. Le document devient faux, donc inutile.
Combien coûte une mise en conformité ? Cela dépend de ce qu’il faut corriger. Des documents juridiques rédigés sur mesure représentent quelques centaines d’euros au maximum ; leur intégration dans le site et la reconfiguration du bandeau cookies, un peu plus. Commencez par l’audit : vous saurez ce qui vous manque avant de dépenser quoi que ce soit.
Cet article présente les principales obligations applicables aux sites Web professionnels en France. Il a une vocation informative et ne constitue pas une consultation juridique. Les sanctions indiquées sont les maximums prévus par les textes cités ; leur application relève de l’appréciation des autorités et des juridictions compétentes.