Rédiger des mentions légales conformes : check-list pour les entreprises
Une direction générale ou une DSI qui lance un nouveau site, une application ou un service en ligne se heurte rapidement à une question en apparence simple : que doit-on écrire dans les mentions légales ? En pratique, rédiger des mentions légales conformes mobilise plusieurs branches du droit français – droit de la presse en ligne, Code de commerce, RGPD, droit de la consommation – et conditionne directement l'exposition de l'entreprise aux sanctions de la Commission nationale de l'informatique et des libertés (CNIL) comme aux mises en demeure de la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF).
Les mentions légales désignent, au sens du droit français, l'ensemble des informations d'identification et de contact que tout éditeur d'un service de communication au public en ligne est tenu de mettre à disposition du public, en application de la loi relative à la confiance dans l'économie numérique. À ce socle s'ajoutent, selon la nature du service, les obligations issues du RGPD et de la loi Informatique et Libertés, du Code de la consommation pour les sites marchands, et des dispositions du Code de commerce relatives aux sociétés commerciales. En cas de manquement, l'entreprise s'expose à des sanctions administratives et pénales dont l'étendue est déterminée par les textes applicables.
Ce guide présente la procédure pas-à-pas pour rédiger des mentions légales conformes : identification des prérequis, séquencement des étapes, check-list opérationnelle et principaux écueils à déjouer.
Pourquoi les mentions légales sont-elles une obligation juridique et non un simple usage ?
Les mentions légales constituent une obligation légale impérative, non une courtoisie. La loi pour la confiance dans l'économie numérique impose à tout éditeur de service en ligne de rendre accessibles, à tout moment, les informations permettant de l'identifier et de le contacter. Cette obligation s'applique aux personnes morales comme aux personnes physiques, qu'il s'agisse d'un site vitrine, d'une plateforme de vente, d'une application mobile ou d'un intranet accessible au public.
L'absence ou l'insuffisance de mentions légales n'est pas une simple irrégularité formelle. Dans notre pratique du droit du numérique, nous observons que les contrôles de la DGCCRF et les mises en demeure de la CNIL visent régulièrement des entreprises dont les mentions légales sont incomplètes ou obsolètes. L'entreprise concernée s'expose alors à une procédure d'injonction, parfois assortie d'une publication de la sanction – ce qui affecte directement la réputation commerciale.
Par ailleurs, des mentions légales incomplètes fragilisent l'ensemble de la documentation contractuelle du site. Une politique de confidentialité lacunaire, un renvoi erroné à l'hébergeur ou l'absence de désignation d'un responsable de traitement au sens du RGPD privent l'entreprise de la preuve qu'elle a satisfait à ses obligations d'information. En contentieux, ce défaut peut inverser la charge de la démonstration.
Quels sont les prérequis avant de rédiger des mentions légales conformes ?
Avant toute rédaction, l'entreprise doit réunir quatre catégories d'informations : son identité juridique complète, les coordonnées de son hébergeur, la cartographie de ses traitements de données personnelles et, le cas échéant, l'identité de son directeur de publication.
L'identité juridique comprend la dénomination sociale, la forme juridique, le montant du capital social, l'adresse du siège social, le numéro d'immatriculation au registre du commerce et des sociétés (RCS), et le numéro intracommunautaire de TVA lorsqu'il est applicable. Ces éléments figurent dans les actes de constitution et les statuts à jour – vérifiez qu'ils correspondent à l'extrait Kbis actuel.
Pour l'hébergeur, il faut disposer du nom ou de la dénomination sociale, de l'adresse et du numéro de téléphone. Ces informations figurent dans le contrat d'hébergement ou le contrat informatique conclu avec le prestataire. C'est un point que nous observons souvent négligé : l'entreprise connaît son prestataire cloud mais n'a pas consigné les informations exactes permettant de l'identifier au sens de la loi.
La cartographie des traitements conditionne la bonne rédaction de la politique de confidentialité, qui est distincte des mentions légales stricto sensu mais leur est souvent associée sur le même document. Il convient d'identifier : quelles données sont collectées, à quelle fin, sur quelle base légale au sens du RGPD, pour quelle durée de conservation, et vers quels destinataires (sous-traitants, partenaires, États tiers). La désignation d'un délégué à la protection des données (DPO), lorsqu'elle est obligatoire, doit également être connue avant la rédaction.
Votre projet numérique soulève des questions d'identification des obligations applicables ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des actes fondateurs, des flux de données et de la nature exacte du service en ligne. Un audit préalable permet d'éviter les omissions coûteuses.
Comment séquencer la rédaction des mentions légales : les étapes dans l'ordre
Rédiger des mentions légales conformes suit une logique de couches successives : du socle légal commun à tous les sites vers les obligations spécifiques à la nature du service.
Étape 1 – Identifier la catégorie d'éditeur. Un professionnel (personne morale ou physique exerçant une activité commerciale) est soumis à une obligation d'information complète. Un particulier peut demander à ne pas figurer nominativement dans les mentions, à condition de communiquer ses coordonnées à l'hébergeur qui joue alors un rôle d'intermédiaire d'identification. Pour les entreprises, cette distinction ne se pose généralement pas : le professionnel publie ses informations complètes.
Étape 2 – Rédiger le bloc d'identification de l'éditeur. Ce bloc mentionne la dénomination sociale, la forme juridique, le capital, le siège social, le RCS, le numéro de TVA intracommunautaire, le nom du directeur de publication (en règle générale le représentant légal ou la personne physique qu'il désigne) et ses coordonnées de contact – à minima une adresse électronique professionnelle.
Étape 3 – Rédiger le bloc d'identification de l'hébergeur. Dénomination, adresse, coordonnées téléphoniques. Si le site est hébergé sur une infrastructure multi-niveaux (CDN, cloud distribué), il est prudent d'indiquer le prestataire contractuel principal.
Étape 4 – Rédiger ou compléter la politique de confidentialité. Ce document traite : la finalité des traitements, la base légale au sens du RGPD, les catégories de données, la durée de conservation, les droits des personnes (accès, rectification, opposition, effacement, portabilité, limitation), les coordonnées du DPO si désigné, et les voies de réclamation auprès de la CNIL.
Étape 5 – Ajouter les mentions spécifiques selon la nature du service. Un site de vente en ligne (B2C) doit intégrer les informations précontractuelles issues du Code de la consommation (droit de rétractation, garanties légales). Un service destiné à des professionnels (B2B) doit prévoir des conditions générales de vente accessibles. Un service financier ou d'investissement appelle des mentions supplémentaires au regard des textes applicables aux prestataires de services d'investissement.
Étape 6 – Intégrer et rendre accessibles les mentions. Les mentions légales doivent être accessibles à partir de chaque page du site, généralement via un lien permanent placé dans le pied de page. L'accessibilité permanente est une condition de conformité : une page orpheline ou un fichier PDF non lié ne suffit pas.
Étape 7 – Dater et versionner le document. Chaque modification substantielle doit être datée. En cas de contrôle ou de litige, la chronologie des versions démontre la diligence de l'entreprise. Un historique simple (v1 – date, v2 – date, objet de la modification) est suffisant.
Quelle check-list opérationnelle pour valider la conformité ?
La check-list suivante permet à la direction ou à la DSI de s'assurer qu'aucun élément obligatoire n'est omis avant la mise en ligne ou lors d'un audit de conformité.
- Identité de l'éditeur : dénomination sociale, forme juridique, capital, siège social, RCS, TVA intracommunautaire.
- Directeur de publication : nom ou qualité, coordonnées.
- Hébergeur : dénomination, adresse, numéro de téléphone.
- Contact de l'éditeur : adresse électronique professionnelle et, selon les cas, numéro de téléphone.
- Politique de confidentialité : finalités, bases légales, durées de conservation, droits des personnes, coordonnées du DPO, voies de réclamation auprès de la CNIL.
- Gestion des cookies : bandeau d'information et outil de gestion du consentement conforme aux lignes directrices de la CNIL.
- Conditions générales : CGV si site marchand, CGU si accès à un service.
- Accessibilité permanente : lien dans le pied de page de chaque page du site.
- Versionnage : date de dernière mise à jour et historique des modifications.
- Cohérence avec les contrats informatiques : vérification que les informations hébergeur et sous-traitant correspondent aux contrats en vigueur.
Dans notre pratique de la conformité numérique, nous accompagnons régulièrement des entreprises qui avaient rempli la majorité des items mais omis le versionnage ou la désignation du directeur de publication. Ces oublis, mineurs en apparence, suffisent à caractériser un manquement en cas de contrôle.
Illustration – PME en transformation numérique (Bordeaux, printemps 2025)
Nous avons accompagné une PME du secteur des services professionnels, basée à Bordeaux, qui lançait un portail client en ligne. L'audit préalable a révélé l'absence de désignation d'hébergeur dans les mentions légales et une politique de confidentialité qui ne distinguait pas les bases légales de chaque traitement. La mise en conformité a permis à l'entreprise de déposer son dossier de qualification auprès d'un donneur d'ordre public sans risque de rejet pour vice de forme.
Quelles sont les erreurs fréquentes dans la rédaction des mentions légales et comment les éviter ?
Les erreurs les plus courantes ne concernent pas l'omission totale des mentions légales – les éditeurs savent qu'elles sont obligatoires – mais leur inexactitude, leur obsolescence ou leur incohérence avec les pratiques réelles de l'entreprise.
Erreur 1 – Copier les mentions légales d'un autre site. Cette pratique, fréquente dans les projets lancés rapidement, génère deux risques : des informations erronées (dénomination, capital, hébergeur qui ne correspondent pas) et un risque de reproduction sans autorisation de contenus protégés. Les dispositions du Code de la propriété intellectuelle sur la défense contre la contrefaçon peuvent trouver à s'appliquer même pour des textes fonctionnels.
Erreur 2 – Ne pas mettre à jour les mentions lors d'une modification structurelle. Changement de siège social, modification du capital, changement d'hébergeur, désignation d'un nouveau DPO : chacun de ces événements rend les mentions légales inexactes. Un processus interne doit associer les mises à jour juridiques aux mises à jour du site.
Erreur 3 – Confondre mentions légales et politique de confidentialité. Les deux documents ont des fondements légaux distincts. Les mentions légales procèdent de la loi pour la confiance dans l'économie numérique ; la politique de confidentialité découle du RGPD et de la loi Informatique et Libertés. Les réunir dans un seul document est admis, à condition que les deux ensembles d'informations soient clairement identifiables.
Erreur 4 – Omettre les sous-traitants de traitement. Lorsque l'entreprise recourt à des prestataires qui traitent des données personnelles pour son compte (hébergeur cloud, outil de CRM, plateforme d'emailing), elle doit les mentionner comme sous-traitants dans sa politique de confidentialité et conclure avec eux un contrat de traitement conforme aux exigences du RGPD. Le guide sur l'encadrement du traitement de données par un sous-traitant détaille cette procédure.
Erreur 5 – Négliger la gestion des cookies. Le bandeau de cookies et l'outil de gestion du consentement font partie intégrante du dispositif d'information. Les lignes directrices et recommandations de la CNIL précisent les modalités d'un consentement valable. Un bandeau qui ne permet pas de refuser aussi facilement qu'accepter ne satisfait pas aux exigences.
Une démarche antérieure a produit un résultat défavorable lors d'un audit ou d'une mise en demeure ?
Si une démarche antérieure a produit un résultat défavorable, un second regard permet d'identifier les leviers restants. Un audit des mentions légales et de la politique de confidentialité permet de localiser les manquements résiduels et de préparer une réponse documentée à l'autorité de contrôle.
Comment traiter les particularités des services numériques complexes ?
Les services numériques multi-couches – plateformes de place de marché, applications mobiles, services SaaS à destination de professionnels – soulèvent des difficultés spécifiques que la rédaction standard ne couvre pas suffisamment.
Pour une place de marché, les mentions légales doivent identifier l'éditeur de la plateforme, mais aussi préciser le rôle des vendeurs tiers et les responsabilités respectives. Les dispositions du règlement européen sur les services numériques (Digital Services Act) ajoutent des obligations de transparence supplémentaires pour les plateformes dépassant certains seuils d'activité, déterminés par les textes européens.
Pour une application mobile, les mentions légales doivent figurer dans l'application elle-même et dans la fiche de présentation sur les stores, avec une accessibilité permanente depuis l'interface principale. Le contrat informatique conclu avec le développeur doit prévoir explicitement la fourniture des informations d'hébergement et la maintenance du bloc légal lors des mises à jour de l'application.
Pour un service SaaS B2B, les conditions générales d'utilisation (CGU) et les conditions générales de vente (CGV) sont souvent plus importantes que les mentions légales stricto sensu, mais ces dernières doivent subsister et rester exactes. Une pratique courante consiste à rédiger un document unique structuré en parties distinctes : mentions légales, CGU/CGV, politique de confidentialité – chaque partie clairement délimitée et identifiée.
Dans notre accompagnement des directions juridiques et des DSI, nous observons que les projets de refonte applicative sont le moment le plus propice pour remettre à plat l'ensemble de la documentation légale. Attendre la mise en production pour traiter ces questions génère des délais et des corrections coûteuses.
Matrice de décision : quelle approche selon la nature du service ?
La complexité de la documentation légale varie selon le type de service. Voici un repère pratique :
Situation A – Site vitrine sans collecte de données. Instrument : mentions légales socle (éditeur + hébergeur + directeur de publication). Délai de mise en conformité : court, dès lors que les informations sont réunies. Niveau de risque résiduel : faible si les mentions sont exactes et accessibles.
Situation B – Site avec formulaire de contact ou newsletter. Instrument : mentions légales socle + politique de confidentialité complète + gestion du consentement cookies. Délai : plus étendu, nécessite un audit des traitements. Niveau de risque résiduel : modéré si les bases légales et durées de conservation sont correctement documentées.
Situation C – Site marchand ou plateforme (B2C). Instrument : mentions légales + politique de confidentialité + CGV + droit de rétractation + gestion des cookies + dispositif de règlement des litiges. Délai : significatif, implique une coordination entre la direction juridique, la DSI et le service commercial. Niveau de risque résiduel : élevé en cas d'omission, compte tenu des contrôles DGCCRF et des droits d'action des consommateurs.
Situation D – Application mobile ou service SaaS B2B. Instrument : l'ensemble ci-dessus, adapté à l'interface mobile et aux contrats informatiques spécifiques, avec attention particulière aux flux de données vers des sous-traitants et aux éventuels transferts hors Union européenne. Délai : à anticiper dès la phase de conception (privacy by design). Niveau de risque résiduel : élevé si la cartographie des traitements est incomplète.
Mise en place d'un dispositif d'alerte interne et de veille légale
La conformité des mentions légales n'est pas un état figé : c'est un processus continu. Les textes évoluent, la CNIL publie régulièrement des lignes directrices et des recommandations, et la jurisprudence des juridictions françaises précise les contours des obligations.
Un dispositif de veille légale interne efficace comporte trois volets. Le premier est un calendrier de révision annuelle des mentions légales, associé aux audits de conformité RGPD. Le deuxième est une procédure d'alerte interne déclenchée par tout événement susceptible d'affecter les informations publiées : changement de siège, fusion, changement d'hébergeur, désignation ou départ d'un DPO. Le troisième est une désignation claire des responsabilités : qui valide les modifications, qui les met en ligne, qui conserve les versions antérieures.
Pour les entreprises soumises à d'autres obligations de conformité (dispositif d'alerte interne au sens de la loi Sapin II, par exemple), il est utile d'articuler ces procédures. Le guide sur la mise en place d'un dispositif d'alerte interne détaille les bonnes pratiques en la matière.
Illustration – ETI du secteur technologique (Île-de-France, hiver 2025–2026)
Nous avons accompagné une ETI technologique en Île-de-France qui avait fait l'objet d'un signalement de la CNIL relatif à l'insuffisance de sa politique de confidentialité. L'intervention a porté sur la reconstitution de la cartographie des traitements, la révision complète des documents légaux publiés en ligne et la mise en place d'un processus interne de révision annuelle. La réponse documentée adressée à la CNIL a permis de clore la procédure de questionnement sans suite formelle.
Domaines liés
- Défense contre la contrefaçon de marque – protection des actifs immatériels et signaux d'abus en ligne
- Encadrer le traitement de données par un sous-traitant – contrats de traitement conformes au RGPD et audit des flux
FAQ – Rédiger des mentions légales conformes
1. Quelles sont les erreurs fréquentes à éviter ?
Les erreurs les plus fréquentes sont : copier les mentions légales d'un autre site (risque d'inexactitude et de contrefaçon), ne pas mettre à jour les mentions lors de modifications structurelles de l'entreprise, confondre mentions légales et politique de confidentialité, omettre l'identification des sous-traitants de traitement de données, et négliger la gestion du consentement aux cookies. Chacune de ces omissions est susceptible de caractériser un manquement aux obligations légales, contrôlable par la CNIL ou la DGCCRF.
2. Quels documents sont nécessaires ?
La rédaction des mentions légales nécessite : l'extrait Kbis à jour (dénomination, capital, siège, RCS), le numéro de TVA intracommunautaire, le contrat informatique ou d'hébergement mentionnant les coordonnées de l'hébergeur, le registre des activités de traitement (ou a minima la cartographie des traitements de données), et, selon la nature du service, les contrats de sous-traitance de données personnelles et les conditions générales de vente ou d'utilisation déjà rédigées. Ces documents permettent de garantir la cohérence entre les informations publiées et la réalité juridique et contractuelle de l'entreprise.
3. Quand se faire accompagner par un avocat ?
Un accompagnement par un avocat spécialisé en droit du numérique est opportun dans quatre situations : lors du lancement d'un nouveau service en ligne impliquant une collecte de données personnelles, lors d'une refonte structurelle du site ou de l'application, après réception d'une mise en demeure ou d'un questionnement d'une autorité de contrôle (CNIL, DGCCRF), et lors d'opérations de fusion ou d'acquisition qui entraînent une modification des entités responsables de traitement. Un audit préalable permet d'identifier les manquements avant qu'ils ne soient sanctionnés.
4. La procédure et les étapes diffèrent-elles pour une application mobile et un site web ?
La procédure et les étapes sont comparables dans leur logique, mais l'application mobile soulève des contraintes supplémentaires : les mentions légales doivent être accessibles directement depuis l'interface de l'application (et non seulement sur un site web associé), la gestion du consentement aux cookies ou aux traceurs doit s'adapter aux systèmes d'exploitation mobiles, et le contrat informatique avec le développeur doit explicitement prévoir la mise à jour du bloc légal lors de chaque version. La fiche de présentation sur les stores (App Store, Google Play) doit également renvoyer vers une politique de confidentialité à jour.
5. Les mentions légales doivent-elles être rédigées en français ?
Pour tout site ou service destiné à un public français ou hébergé par une entité soumise au droit français, les mentions légales doivent être rédigées en français, conformément aux dispositions de la loi relative à l'emploi de la langue française. Un site multilingue peut proposer des versions dans d'autres langues, à condition que la version française soit toujours disponible et accessible. L'omission de la version française peut constituer une infraction aux obligations légales, indépendamment des autres manquements.
Vernay & Lestang – Avocats d'affaires · Paris
Vernay & Lestang conseille les directions générales, les directions juridiques et les DSI sur les enjeux de droit du numérique, de protection des données et de conformité en ligne. Dans ce domaine, le cabinet conduit des audits de documentation légale, structure les politiques de confidentialité et les contrats informatiques, et assiste ses clients lors des procédures devant la CNIL et la DGCCRF. Les honoraires sont définis après analyse du dossier.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données et de conformité.
Voir le profil · Publié le 1 avril 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.