En 2024, la CNIL a prononcé 87 sanctions, dont 69 selon la procédure simplifiée. Parmi les organismes sanctionnés figurent notamment des petites structures et des professionnels libéraux, y compris des avocats. De nombreux dirigeants confondent encore les mentions légales imposées par la LCEN et les obligations d'information du RGPD, aboutissant à une page fourre-tout immédiatement identifiable comme non conforme. Face à ce constat, savoir précisément quoi rédiger, dans quel document et selon quel cadre juridique n'est plus une option, c'est une nécessité. CONNECT AVOCATS, cabinet intervenant sur toute la France dans le domaine du droit du numérique et de la conformité des entreprises, vous guide à travers ce tutoriel concret pour sécuriser vos mentions légales conformes au RGPD et éviter les erreurs les plus sanctionnées.
Ce qu'il faut retenir ;
L'erreur la plus répandue consiste à regrouper toutes les informations réglementaires dans une seule page. Or, trois cadres juridiques distincts imposent chacun un document séparé. La Loi pour la confiance dans l'économie numérique (LCEN) du 21 juin 2004, à travers son article 6-III, exige une page de mentions légales identifiant l'éditeur du site et son hébergeur. Le RGPD (Règlement UE 2016/679), via ses articles 13 et 14, impose une politique de confidentialité détaillant le traitement des données personnelles. Pour les entreprises ou cabinets qui souhaitent sécuriser l'ensemble de leur démarche, un accompagnement en protection des données personnelles permet de structurer chaque document en cohérence avec les exigences réglementaires. Enfin, la directive ePrivacy encadre la gestion des cookies et traceurs, nécessitant un bandeau de consentement dédié.
Ces trois sources de droit ne se substituent pas l'une à l'autre. Elles se cumulent. Concrètement, votre site doit comporter trois pages distinctes, chacune accessible depuis le pied de page : une page « Mentions légales », une page « Politique de confidentialité » et un module de gestion des cookies. Fusionner ces éléments dans un document unique est susceptible de constituer un signal de non-conformité que les outils automatisés de la CNIL détectent à grande échelle, sans qu'aucun agent ne visite manuellement votre site.
Pour une personne morale, la page de mentions légales doit obligatoirement contenir la dénomination sociale, la forme juridique, l'adresse du siège social, le montant du capital social, le numéro d'inscription au Registre du Commerce et des Sociétés (RCS), ainsi qu'un numéro de téléphone et une adresse e-mail de contact. Par ailleurs, si vous utilisez des images, illustrations, photographie, etc, vous devez faire figurer une mention relative à la propriété intellectuelle.
Un point souvent négligé : le directeur de la publication doit être nommément désigné. La jurisprudence de la Cour de cassation rappelle que cette qualité appartient de droit au représentant légal de la personne morale — gérant, président du directoire — quelles que soient les indications contraires figurant sur le site. Omettre cette mention ou l'attribuer à la mauvaise personne constitue l'une des erreurs les plus fréquemment relevées lors des contrôles.
Les coordonnées de l'hébergeur représentent un autre oubli classique. L'article 6-I-5 de la LCEN exige le nom ou la dénomination sociale, l'adresse physique et le numéro de téléphone de l'hébergeur. Indiquer simplement « hébergé par OVH » ne suffit pas. Vous devez renseigner l'adresse complète et les coordonnées permettant aux tiers de notifier un éventuel contenu illicite.
Au-delà de la sanction pénale, le TGI de Paris, dans une décision du 21 novembre 2017, a qualifié le défaut de mentions légales d'« acte de comportement déloyal », ouvrant la voie à des actions en responsabilité civile pouvant être soulevées par un concurrent ou un cocontractant dans le cadre d'un différend commercial.
Si vous exercez une profession réglementée, des mentions supplémentaires s'imposent. Pour les avocats, l'article 10.2 alinéa 1 du Règlement Intérieur National (RIN) impose à tout avocat de faire figurer sur son site sa qualité d'avocat, son barreau d'inscription, l'adresse professionnelle, les coordonnées de contact, la référence aux règles professionnelles applicables (le RIN lui-même) et, le cas échéant, l'appartenance à un réseau. L'article 10.5 du RIN exige également la déclaration du site auprès de l'Ordre — une obligation souvent ignorée qui constitue un manquement déontologique indépendant des exigences LCEN et RGPD.
Le RIN encadre également le choix du nom de domaine : les noms de domaine évoquant un domaine du droit, une certification ou une qualité générique sont expressément interdits. Ainsi, des adresses comme « www.droit-famille-avocat.fr » ou « www.avocat-divorce-paris.fr » ne sont pas conformes. Le nom de domaine doit obligatoirement comporter le nom de l'avocat ou la dénomination du cabinet (en entier ou abrégé), éventuellement accompagné du mot « avocat ».
De même, toute mention de spécialisation sur le site d'un avocat doit correspondre à une certification officielle inscrite sur la liste du Conseil National des Barreaux (CNB). Mentionner une spécialisation non certifiée constitue un manquement déontologique sanctionnable par le Barreau. Pour désigner les domaines d'intervention sans certification, des formulations conformes existent : « intervient dans le domaine du », « compétent en », « accompagne les clients en matière de ».
À noter : Un nom de domaine non conforme au RIN constitue un manquement déontologique distinct des obligations LCEN et RGPD, sanctionnable directement par le Barreau. De même, l'utilisation abusive de termes suggérant une spécialisation non certifiée expose l'avocat à une procédure disciplinaire indépendante de toute question de conformité numérique. Il est recommandé de vérifier ces deux points avant même de s'attaquer à la rédaction des mentions légales.
La politique de confidentialité est le document central de vos mentions légales conformes au RGPD. L'article 13 du règlement européen impose de communiquer au moins neuf catégories d'informations au moment de la collecte des données. Une seule omission suffit juridiquement à rendre le document non conforme. Pour sécuriser cette rédaction, CONNECT AVOCATS propose un accompagnement adapté à chaque structure, de la TPE au cabinet d'avocats.
Commencez par indiquer l'identité et les coordonnées du responsable de traitement. Si un Délégué à la Protection des Données (DPO) a été désigné, ses coordonnées doivent également y figurer. Ensuite, pour chaque traitement, précisez la finalité exacte et la base légale explicite. Il ne suffit pas de mentionner globalement « consentement ». Par exemple : le formulaire de contact repose sur l'intérêt légitime, la newsletter sur le consentement, la facturation sur une obligation légale, Google Analytics sur le consentement. L'absence de base légale identifiée par traitement est le premier manquement retenu dans les sanctions CNIL.
Lorsque la base légale « intérêt légitime » est retenue pour un traitement, l'article 13.1.d du RGPD impose de ne pas se contenter de mentionner cette base légale, mais d'expliciter concrètement en quoi consiste cet intérêt légitime. Par exemple : « améliorer la qualité de nos services », « prévenir la fraude » ou « assurer la sécurité du réseau ». Une mention générique de type « base légale : intérêt légitime » sans justification est non conforme et constitue l'un des manquements les plus relevés en contrôle.
Exemple concret : Maître Aurélien Vasseur, avocat inscrit au barreau de Lyon, mentionnait dans sa politique de confidentialité la simple ligne « Base légale : intérêt légitime » pour son formulaire de contact, sans autre précision. Lors d'un contrôle de la CNIL en 2024, ce manquement a été relevé parmi d'autres. La formulation corrigée a été : « Base légale : intérêt légitime du cabinet à répondre aux demandes de renseignements juridiques adressées via le formulaire de contact, dans le cadre de sa mission de conseil. » Cette correction, apparemment mineure, a permis de régulariser un point qui, à lui seul, rendait l'intégralité du document non conforme.
Détaillez ensuite les durées de conservation par catégorie de données. Des formulations vagues comme « aussi longtemps que nécessaire » sont non conformes. Voici des exemples de références à appliquer :
La politique doit également mentionner les destinataires réels de vos données : hébergeur, outil CRM, logiciel de comptabilité SaaS, plateforme de prise de rendez-vous en ligne. Une liste nominative est recommandée ou, à défaut, une liste par catégories. Précisez l'existence éventuelle de transferts hors Union européenne. L’arrêt Österreichische Post de la Cour de justice de l’Union européenne (CJUE, 12 janvier 2023, C-154/21) a rappelé que, dans le cadre du droit d’accès prévu par l’article 15 du RGPD, une personne concernée peut demander à connaître l’identité des destinataires effectifs de ses données lorsque ceux-ci sont déterminables. Le responsable du traitement doit donc disposer d’un inventaire à jour de ses prestataires, sous-traitants et destinataires afin de pouvoir répondre précisément à ces demandes.
La politique de confidentialité doit également préciser si la fourniture de chaque donnée est obligatoire ou facultative, ainsi que les conséquences d’un refus. Cette information suppose une collecte limitée aux seules données nécessaires à la finalité poursuivie, conformément au principe de minimisation des données prévu par le RGPD.
Enfin, détaillez les droits des personnes concernées : accès, rectification, effacement, opposition, portabilité et limitation du traitement. N'oubliez surtout pas de mentionner le droit d'introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07) — cette mention obligatoire est l'une des plus fréquemment absentes des politiques de confidentialité.
L'article 14 du RGPD s'applique lorsque les données ne sont pas collectées directement auprès de la personne mais proviennent d'une source tierce — achat de base de données, enrichissement de fichiers, transmission par un partenaire commercial. Il impose deux obligations supplémentaires absentes de l'article 13 : mentionner explicitement la source des données dans la politique de confidentialité, et informer la personne concernée dans un délai maximal d'un mois à compter de l'obtention des données. Toute omission de ces deux points rend le document non conforme au même titre qu'une absence totale de politique. Ce cas de figure concerne notamment les cabinets ou entreprises qui enrichissent leurs fichiers clients ou achètent des listes de prospects.
Le CEPD (Comité européen de la protection des données) recommande une approche dite « en couches ». Au point de collecte — sous un formulaire de contact, par exemple — affichez un premier niveau d'information : identité du responsable de traitement, finalité principale, base légale et lien vers la politique complète. La politique de confidentialité constitue le second niveau, accessible en un clic. Le CEPD précise qu'un renvoi générique vers la politique de confidentialité globale est insuffisant si elle ne couvre pas spécifiquement le traitement déclenché par le formulaire concerné. Chaque point de collecte (formulaire de contact, formulaire de prise de rendez-vous, inscription à la newsletter) doit ainsi comporter son propre premier niveau de mention, mentionnant au minimum l'identité du responsable, la finalité spécifique et la base légale du traitement en cause, avec un lien vers la politique complète. L'article 12 du RGPD exige par ailleurs que l'information soit « concise, transparente, compréhensible et aisément accessible ». Rédigez en français, avec des phrases courtes et des titres explicites. Une politique incompréhensible par un utilisateur moyen peut être considérée comme non conforme au principe de transparence.
Conseil : Pour chaque formulaire de votre site, rédigez un micro-texte dédié placé immédiatement sous les champs de saisie. Par exemple, sous un formulaire de prise de rendez-vous : « Responsable du traitement : [Dénomination du cabinet]. Finalité : traitement de votre demande de rendez-vous. Base légale : intérêt légitime du cabinet à organiser ses consultations. Pour en savoir plus, consultez notre Politique de confidentialité [lien]. » Cette approche vous met en conformité avec la recommandation du CEPD et sécurise chaque point de collecte indépendamment.
Le bandeau cookies doit proposer dès le premier écran un bouton « Accepter » et un bouton « Refuser » d'égale visibilité, conformément à la délibération CNIL n° 2020-091. Un simple message informatif sans option de refus immédiat est non conforme. Les amendes en procédure simplifiée vont djusqu'à 20 000 euros.
L'erreur la plus sanctionnée concerne le chargement de scripts avant le consentement. Des traceurs soumis au consentement préalable, comme certains usages de Google Analytics, Meta Pixel ou des balises déclenchées via Google Tag Manager, qui se chargent avant que l’utilisateur ait accepté, peuvent constituer un manquement aux règles applicables aux cookies et traceurs. Un premier contrôle peut être effectué depuis le navigateur : ouvrez les outils de développement (F12), accédez à l’onglet « Réseau », rechargez la page sans interagir avec le bandeau cookies et analysez les requêtes effectuées. La présence de requêtes vers des outils publicitaires ou analytiques non exemptés avant consentement constitue un signal d’alerte nécessitant une vérification.
À noter : La CNIL a adopté le 18 décembre 2025 la délibération n° 2025-131, publiée au Journal officiel du 18 janvier 2026, modifiant la recommandation n° 2020-092 relative aux cookies et autres traceurs afin d’encadrer le consentement multi-terminaux dans les environnements authentifiés. Pour les sites vitrines d’avocats ou de PME dépourvus d’espace client ou de compte utilisateur, cette évolution n’introduit pas de nouvelle obligation spécifique : les règles générales relatives au consentement aux cookies restent applicables, notamment l’absence de dépôt de traceurs soumis au consentement avant celui-ci et la possibilité de refuser aussi simplement qu’accepter.
Ne jamais utiliser un modèle générique copié-collé sans l'adapter à votre situation réelle. Un document type non personnalisé démontre l'absence de démarche effective de conformité et aggrave la situation en cas de contrôle. Vos sous-traitants effectifs, votre hébergeur réel, les types de données que vous collectez : tout doit correspondre à la réalité de votre activité.
Toute évolution significative de l’environnement numérique susceptible de modifier les traitements de données (nouvel outil CRM, nouveau prestataire, formulaire, chatbot, outil marketing, nouvelle finalité…) doit faire l’objet d’une analyse et, le cas échéant, d’une mise à jour documentée des éléments de conformité. Il est recommandé de conserver un historique daté des versions des documents concernés. Lorsque les informations fournies aux personnes deviennent inexactes ou incomplètes, notamment en cas de nouvelle finalité, de nouveaux destinataires ou de modification substantielle du traitement, les personnes concernées doivent être informées dans les conditions prévues par le RGPD.
Le cadre des sanctions rappelle l'urgence d'agir. L'article 83.5 du RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. L'article 6-VI de la LCEN sanctionne le défaut de mentions légales de 375 000 euros pour les personnes morales. La procédure simplifiée de la CNIL permet de prononcer une amende jusqu'à 20 000 euros en quelques semaines seulement. Sur les 259 décisions rendues par la CNIL en 2025, 143 étaient des mises en demeure — une mesure intermédiaire qui, si elle n'est pas une amende, impose un délai de mise en conformité contraignant dont le non-respect peut déclencher une procédure de sanction. Le coût d'une mise en conformité sous astreinte est souvent supérieur à celui d'une mise en conformité anticipée, en raison des délais très courts imposés et des ressources (avocat, prestataires) à mobiliser en urgence.
L'horizon 2026 renforce cette pression : le CEPD a annoncé en octobre 2025 une action coordonnée de 25 autorités européennes portant sur la transparence et les obligations d'information (articles 12 à 14 du RGPD), couvrant notamment les formulaires de collecte et les interfaces de consentement. Le coût d'une mise en conformité anticipée est systématiquement inférieur à celui d'une mise en conformité en urgence après mise en demeure.
Conseil : Programmez un audit trimestriel de votre site à l'aide d'un calendrier récurrent : vérifiez la correspondance entre vos sous-traitants réels et ceux listés dans votre politique, contrôlez le bon blocage des traceurs avant consentement (test F12 décrit plus haut), et assurez-vous que chaque formulaire comporte son premier niveau d'information conforme. Documentez chaque vérification : en cas de contrôle, cette traçabilité appuie votre démarche active de conformité et constitue un élément pouvant être pris en compte par la CNIL.
Face à la complexité de ces obligations croisées — LCEN, RGPD, directive ePrivacy, déontologie professionnelle — un audit personnalisé reste la démarche la plus sûre. CONNECT AVOCATS accompagne les entreprises et les professionnels libéraux sur toute la France dans leur mise en conformité numérique, de la rédaction de leurs documents obligatoires à la sécurisation globale de leur activité en ligne. Le cabinet intervient aussi bien en conseil préventif qu'en réponse à une mise en demeure, avec une approche rigoureuse et confidentielle adaptée à chaque situation. Si vous souhaitez vérifier la conformité de votre site ou anticiper les contrôles à venir, n'hésitez pas à solliciter l'équipe de CONNECT AVOCATS pour un accompagnement sur mesure.