Mentions légales et RGPD : que mettre sur quelle page ?

Beaucoup de sites affichent un lien unique « Mentions légales » censé tout couvrir. En pratique, deux obligations différentes s'y croisent : l'identification de l'éditeur du site, imposée par la loi pour la confiance dans l'économie numérique (LCEN), et l'information des personnes dont vous traitez les données, imposée par le règlement général sur la protection des données. Ce que l'on appelle couramment les mentions légales RGPD recouvre donc deux pages aux finalités distinctes, qui se complètent sans se remplacer.

Voici comment placer chaque information au bon endroit, sans page d'identification qui expédie la protection des données en trois lignes ni politique de confidentialité recopiée d'un modèle.

Mentions légales et informations RGPD : est-ce la même chose ?

Non. Les mentions légales disent qui édite et qui héberge le site, pour que le public et les autorités puissent identifier un responsable. Les informations RGPD disent ce que vous faites des données personnelles collectées, pour que chaque personne puisse comprendre et exercer ses droits.

La LCEN est une loi française qui vise tout éditeur d'un service de communication au public en ligne. Le RGPD est un règlement européen qui vise tout responsable de traitement de données personnelles. Dès qu'un site comporte un formulaire de contact ou une mesure d'audience, les deux régimes s'appliquent ensemble. Parler de mentions légales RGPD revient donc à organiser deux blocs d'information liés, et non à rédiger une seule page fourre-tout.

Que doivent contenir les mentions légales d'un site ?

Les informations d'identification figurent aujourd'hui à l'article 1-1 de la loi n° 2004-575 du 21 juin 2004. Depuis la loi n° 2024-449 du 21 mai 2024 (loi SREN), qui a restructuré la LCEN, elles ne figurent plus à l'ancien article 6, III, que citent encore de nombreux modèles. Leur contenu dépend de votre statut :

Seul un éditeur non professionnel peut se limiter à l'identité et à l'adresse de son hébergeur, après lui avoir transmis ses propres coordonnées. Pour une activité commerciale en ligne, les fiches du service public listent des mentions complémentaires, dont une adresse électronique et le numéro de TVA intracommunautaire : voir la fiche pour une société et celle pour un entrepreneur individuel.

Que prévoit l'article 13 du RGPD pour un site internet ?

L'article 13 du RGPD fixe la liste des informations à fournir quand vous collectez des données directement auprès de la personne, par exemple via un formulaire. Elles doivent être données au moment de la collecte, sous une forme concise, compréhensible et aisément accessible.

Le texte du règlement impose notamment les informations suivantes, que la CNIL rappelle dans ses fiches sur la transparence :

• l'identité et les coordonnées du responsable du traitement, et celles du délégué à la protection des données s'il en a été désigné un ;
• les finalités du traitement et leur base juridique, avec les intérêts légitimes poursuivis lorsque c'est cette base qui est retenue ;
• les destinataires des données et, le cas échéant, les transferts hors de l'Union européenne ;
• la durée de conservation ou les critères qui permettent de la fixer ;
• les droits de la personne, la possibilité de retirer son consentement et le droit d'introduire une réclamation auprès de la CNIL ;
• le caractère obligatoire ou facultatif des réponses et l'existence éventuelle d'une décision automatisée.

Ces éléments vont dans la politique de confidentialité, dont la rédaction est traitée dans notre guide sur la charte de confidentialité RGPD. Un bloc de mentions légales RGPD bien construit renvoie donc vers cette politique au lieu d'en résumer le contenu.

Où placer chaque information sur votre site ?

Pour organiser vos mentions légales RGPD, la règle pratique est simple : l'identification de l'éditeur va dans les mentions légales, l'information sur les traitements va dans la politique de confidentialité, et les traceurs relèvent d'un dispositif dédié. Le tableau ci-dessous résume cette répartition.

L'identité du responsable du traitement apparaît dans les deux pages : elle sert une fois à identifier l'éditeur, une autre fois à dire aux personnes à qui adresser leurs demandes. La CNIL recommande une information à plusieurs niveaux, avec l'essentiel près du formulaire et un lien vers le détail, comme le montrent ses exemples de mentions d'information. Pour les traceurs, reportez-vous à notre guide sur les cookies et traceurs.

Quelles sanctions en cas d'oubli ?

Les deux régimes sont sanctionnés séparément : le défaut d'identification relève du droit pénal, le défaut d'information des personnes relève des sanctions administratives prononcées par la CNIL.

Selon economie.gouv.fr, ne pas publier les mentions légales expose une personne physique à une amende de 75 000 € et à un an d'emprisonnement, et une personne morale à une amende de 375 000 €. Côté RGPD, l'article 83, paragraphe 5, prévoit pour une violation des droits des personnes, dont le droit à l'information, une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Vérifier ses mentions légales RGPD fait partie d'une démarche plus large de mise en conformité.

À retenir

• Mentions légales : identification de l'éditeur et de l'hébergeur (LCEN, art. 1-1 depuis la loi SREN).
• Informations RGPD : description de vos traitements (art. 13), dans la politique de confidentialité.
• Chaque formulaire porte une information courte et un lien vers la politique complète.
• Les cookies et traceurs relèvent d'un dispositif distinct.
• Les sanctions diffèrent : pénales pour la LCEN, administratives pour le RGPD.