Politique de confidentialité et mentions légales : ce que la loi exige vraiment

Deux pages, souvent reléguées en pied de site, concentrent une part importante du risque RGPD : les mentions légales et la politique de confidentialité. On les confond fréquemment ; elles répondent pourtant à deux logiques juridiques distinctes. Voici ce que la loi exige réellement en 2026 — et comment vérifier que vos pages sont à la hauteur.

Deux documents, deux fondements

Les mentions légales relèvent de la loi pour la confiance dans l’économie numérique (LCEN). Depuis la loi SREN de 2024, l’obligation figure à l’article 1-1 de la LCEN (et non plus à l’ancien article 6 III). Elles servent à identifier qui édite et qui héberge le site.

La politique de confidentialité relève du RGPD (articles 12 à 14). Elle informe les personnes sur les traitements de leurs données : qui, pourquoi, sur quelle base, pour combien de temps, avec quels droits.

Ce sont deux documents distincts. La bonne pratique : deux liens séparés en pied de page, présents sur tout le site.

Ce que doivent contenir les mentions légales

Pour une personne morale : dénomination sociale, forme juridique, adresse du siège, capital social, numéro RCS et ville d’immatriculation, SIREN/SIRET, numéro de TVA intracommunautaire, coordonnées de contact, et le directeur de la publication. Pour un entrepreneur individuel : nom, adresse, et la mention « entrepreneur individuel » ou « EI ».

Dans tous les cas, l’hébergeur doit être identifié : nom, adresse et téléphone. Pour une activité B2C de e-commerce, s’ajoutent les CGV, le droit de rétractation de 14 jours, les garanties légales et, le cas échéant, le médiateur de la consommation.

Ce que doit contenir la politique de confidentialité

Le RGPD impose une information concise, transparente, compréhensible et aisément accessible. Concrètement, la politique doit préciser :

• l’identité et les coordonnées du responsable de traitement (et du DPO s’il est désigné) ;
• les finalités de chaque traitement et leur base légale (consentement, contrat, intérêt légitime, obligation légale) ;
• les destinataires et sous-traitants, et les éventuels transferts hors-UE avec leurs garanties ;
• les durées de conservation par catégorie de données ;
• les six droits des personnes — accès, rectification, effacement, limitation, opposition, portabilité — et un moyen concret de les exercer ;
• le droit de réclamation auprès de la CNIL.

L’erreur la plus fréquente : lister les droits sans moyen de les exercer

Énumérer les droits ne suffit pas. La CNIL attend un canal réel — une adresse email dédiée, un formulaire ou une adresse postale — permettant d’exercer ces droits. Et l’organisme doit répondre dans un délai d’un mois (prolongeable de deux mois pour les demandes complexes, avec information préalable).

Pensez aussi à la notice de premier niveau : sur chaque formulaire de collecte, une mention courte (finalité, base légale, droits) avec un lien vers la politique complète. La CNIL publie des exemples de mentions d’information réutilisables.

Observable vs back-office

Un scan vérifie facilement la présence et l’accessibilité des pages, et la présence d’un lien de politique près des formulaires. En revanche, la complétude réelle du contenu (toutes les mentions de l’article 13, l’exactitude du SIREN, la réalité du canal d’exercice des droits) demande une lecture humaine — c’est du back-office, signalé « à vérifier ».

Notre Audit RGPD repère la présence des pages obligatoires et des liens, source chaque point sur l’article applicable du RGPD ou de la LCEN, et liste séparément ce qui doit être audité manuellement.

⚠️ Article informatif — ni avis juridique, ni certification, ni substitut à un DPO. Pour la rédaction de vos pages, faites-vous accompagner.

À lire aussi : Bandeau cookies conforme à la CNIL · Les transferts hors-UE qui exposent votre site · Audit RGPD.