RGPD et mentions légales : ce que votre site web de TPE doit respecter en 2026

« On a un petit site vitrine, ça ne doit pas nous concerner. » C'est l'une des phrases que l'on entend le plus souvent chez les indépendants et les TPE. Pourtant, dès qu'un site collecte une adresse email via un formulaire de contact, dépose un cookie de mesure d'audience ou affiche un bouton de réseau social, il est soumis au RGPD et à des obligations légales précises. Bonne nouvelle : se mettre en conformité est largement accessible, à condition de savoir où regarder.

Pourquoi la conformité concerne aussi les petites structures

La CNIL (la Commission nationale de l'informatique et des libertés) ne réserve pas ses contrôles aux grandes entreprises. Chaque année, une partie de ses mises en demeure vise des artisans, des commerçants ou des professions libérales dont le site web manque simplement de mentions légales ou affiche une bannière de cookies non conforme. Les sanctions financières existent, mais le risque le plus fréquent pour une TPE est plus discret : une mise en demeure publique, une perte de confiance des visiteurs, ou un signalement qui oblige à tout corriger dans l'urgence. Autant anticiper.

Les mentions légales : la base obligatoire

Toute personne qui édite un site professionnel en France doit publier une page de mentions légales, accessible depuis n'importe quelle page (en général via le pied de page). Elle doit notamment indiquer :

• le nom et la forme juridique de l'entreprise (y compris pour une micro-entreprise ou un statut d'auto-entrepreneur) ;
• l'adresse du siège et un moyen de contact (email ou téléphone) ;
• le numéro SIREN/SIRET et, selon l'activité, le numéro de TVA intracommunautaire ;
• le nom de l'hébergeur du site, avec son adresse et son contact.

Une page manquante ou incomplète est l'anomalie la plus simple à repérer pour un visiteur... ou pour un contrôle. C'est aussi la plus rapide à corriger : quelques lignes suffisent une fois les informations réunies.

Cookies et traceurs : ce que la CNIL attend concrètement

Dès qu'un site utilise Google Analytics, un pixel publicitaire, une vidéo YouTube intégrée ou un bouton de partage Facebook, il dépose potentiellement des cookies non essentiels sur le navigateur du visiteur. Les règles de la CNIL imposent alors :

• un bandeau de consentement qui apparaît avant tout dépôt de cookie non indispensable ;
• un vrai choix pour le visiteur : accepter, refuser ou personnaliser, sans case pré-cochée et sans bouton « refuser » caché ou grisé ;
• la possibilité de changer d'avis à tout moment, via un lien ou un bouton toujours accessible ;
• aucun cookie de mesure d'audience ou publicitaire déposé avant que le visiteur ait donné son accord.

Un bon réflexe consiste à utiliser un outil de gestion du consentement (il en existe des versions gratuites ou très abordables pour un petit site) plutôt qu'un bandeau codé à la main, qui est souvent la première chose qui devient non conforme quand les règles évoluent.

Formulaires de contact et données collectées

Un simple formulaire « nom, email, message » est une collecte de données personnelles au sens du RGPD. Trois bons réflexes suffisent la plupart du temps pour une TPE : ne demander que les champs réellement utiles au traitement de la demande, indiquer clairement à quoi serviront les données (répondre à la demande, recontacter, envoyer une newsletter...) juste sous le formulaire, et prévoir une case de consentement séparée si les données servent aussi à de la prospection commerciale. Les données doivent par ailleurs être conservées pour une durée limitée et cohérente avec leur usage, puis supprimées ou archivées.

Une politique de confidentialité, pas un copier-coller

En complément des mentions légales, une politique de confidentialité (ou politique de protection des données) détaille quelles données sont collectées, pourquoi, combien de temps elles sont conservées, qui y a accès (vous, votre hébergeur, un éventuel outil d'emailing) et comment un visiteur peut exercer ses droits : accès, rectification, suppression. Copier le modèle d'un confrère est tentant, mais dangereux : le document doit refléter ce que fait réellement votre site, pas un site générique. Une politique qui mentionne des traitements que vous n'effectuez pas — ou qui en oublie un que vous pratiquez — n'a aucune valeur de protection le jour où elle est lue de près.

Que risque concrètement une TPE non conforme ?

Dans l'immense majorité des cas concernant une petite structure, la CNIL commence par une mise en demeure : un courrier qui fixe un délai (souvent un à trois mois) pour corriger les manquements constatés, le plus souvent après un signalement ou un contrôle en ligne automatisé. L'amende financière reste rare pour une TPE de bonne foi qui corrige dans les délais. Le vrai coût est ailleurs : une mise en demeure peut être rendue publique, ce qui abîme la réputation d'une petite entreprise bien plus qu'une grande marque capable d'absorber l'incident. Mieux vaut donc corriger en amont que réagir dans l'urgence.

Check-list express à passer sur votre site

• Une page « Mentions légales » existe et est accessible depuis le pied de page de chaque page ;
• elle contient votre statut juridique, votre SIREN/SIRET et le nom de votre hébergeur ;
• un bandeau cookies propose un vrai choix avant tout traceur non essentiel ;
• une politique de confidentialité à jour décrit vos traitements réels ;
• vos formulaires précisent l'usage des données collectées ;
• une adresse email ou un formulaire permet d'exercer facilement ses droits RGPD.

La mise en conformité d'un site professionnel n'est pas une formalité à reléguer après le lancement : elle fait partie des fondations, au même titre que l'hébergement ou le nom de domaine. Chez ShiftyX, nous intégrons systématiquement les mentions légales, la gestion des cookies et une politique de confidentialité adaptée dès la création du site, puis nous les tenons à jour dans le cadre de la maintenance. Un doute sur la conformité de votre site actuel ? Un simple audit permet souvent de corriger l'essentiel en quelques heures.