Mentions légales, CGV, cookies : ce qu'un site doit afficher

Un site B2B doit afficher des mentions légales et une information sur les cookies. Les conditions générales de vente, elles, ne sont obligatoires qu’en cas de vente en ligne. La confusion entre ces trois documents coûte plus cher que leur rédaction.

Et un fait devrait faire douter de tout ce que vous lirez ailleurs sur ce sujet.

Le texte qui fonde les mentions légales d’un site professionnel a changé le 23 mai 2024. L’article 6-III de la loi pour la confiance dans l’économie numérique, que citent presque tous les guides accessibles en ligne, n’existe plus : la loi visant à sécuriser et réguler l’espace numérique a restructuré ce texte et déplacé l’obligation dans un nouvel article 1-1. Le contenu de l’obligation a peu bougé. La référence, elle, est périmée partout.

Ce n’est pas un détail d’érudition. C’est l’indice que la plupart des pages qui traitent de ce sujet se recopient les unes les autres sans jamais rouvrir le texte. Et quand on les rouvre, deux autres surprises apparaissent, dont l’une concerne directement toute entreprise qui vend à des entreprises.

Une précision avant d’entrer dans le détail : ce texte décrit l’état des textes au 31 juillet 2026, à partir de leur lecture directe. Il ne remplace pas l’avis d’un avocat sur votre situation, en particulier si votre activité est réglementée.

Les quatre blocs, et lesquels sont vraiment obligatoires

Un site professionnel affiche généralement quatre choses. Elles n’ont ni la même base légale, ni le même caractère obligatoire, et les confondre conduit à publier des documents inutiles tout en omettant ceux qui comptent.

Les mentions légales. Obligatoires pour tout éditeur professionnel d’un site, quel que soit son secteur, qu’il vende en ligne ou non. C’est le seul des quatre blocs dont l’absence est sanctionnée pénalement.

La politique de confidentialité. Obligatoire dès lors que vous traitez des données personnelles, ce qui est le cas à partir du premier formulaire de contact. Sa base est le règlement général sur la protection des données, pas la loi sur l’économie numérique.

La gestion des cookies. Obligatoire dès que des traceurs non strictement nécessaires sont déposés. Une exemption existe pour la mesure d’audience, mais elle est plus étroite qu’on ne le croit.

Les conditions générales de vente. C’est ici que se situe le contresens le plus répandu du B2B, et nous y consacrons une section entière.

Les mentions légales, avec la bonne référence

L’obligation figure désormais à l’article 1-1 de la loi du 21 juin 2004, créé par l’article 48 de la loi du 21 mai 2024 et entré en vigueur le 23 mai 2024. Le texte distingue deux situations.

Si vous exercez en nom propre, vous devez indiquer vos nom, prénoms, domicile et numéro de téléphone, ainsi que votre numéro d’inscription si vous êtes immatriculé. Le point qui surprend est le domicile : la loi demande bien une adresse personnelle si vous n’avez pas d’établissement distinct. Beaucoup d’indépendants choisissent pour cette raison une adresse de domiciliation, ce qui est une réponse légitime au problème.

Si vous exercez en société, vous devez indiquer la dénomination ou raison sociale, le siège social, le numéro de téléphone, le numéro d’inscription au registre du commerce et des sociétés ou au registre national des entreprises, le capital social et l’adresse du siège.

Dans les deux cas, deux mentions supplémentaires sont exigées. Le nom du directeur de la publication, qui est en pratique le représentant légal. Et surtout, le nom ou la dénomination, l’adresse et le numéro de téléphone de l’hébergeur du site, c’est-à-dire de l’entreprise chez qui vos fichiers sont stockés. Cette dernière mention est la plus souvent absente ou fausse, généralement parce que personne n’a demandé au prestataire où le site est réellement hébergé.

Si vous vendez en ligne, l’article 19 de la même loi ajoute des obligations propres au commerce électronique : identité et coordonnées, numéro d’identification à la taxe sur la valeur ajoutée, mention de l’autorisation si l’activité y est soumise, et référence aux règles professionnelles applicables si vous exercez une profession réglementée. Les prix affichés doivent l’être de manière claire et non ambiguë, en indiquant notamment s’ils incluent les taxes et les frais de livraison.

Les sanctions. L’article 1-2 prévoit un an d’emprisonnement et 75 000 euros d’amende, montant quintuplé pour une personne morale par l’effet des règles générales du code pénal. Il faut être honnête sur la portée réelle de ce risque : les poursuites pour simple défaut de mentions légales sont rares. Le vrai coût est ailleurs, et il est double. D’abord, l’absence d’identification affaiblit votre position dans tout litige où l’on cherche qui édite le site. Ensuite, elle produit une impression déplorable sur un acheteur professionnel qui vérifie à qui il a affaire avant d’engager une relation commerciale, ce qui est précisément le comportement d’un acheteur sérieux.

Les CGV en B2B : le contresens le plus répandu

Voici l’affirmation que vous lirez partout : les conditions générales de vente sont obligatoires sur un site professionnel. Elle est inexacte pour une entreprise qui vend à des entreprises.

L’article L441-1 du code de commerce énonce que toute personne exerçant des activités de production, de distribution ou de services qui établit des conditions générales de vente est tenue de les communiquer à tout acheteur qui en fait la demande pour une activité professionnelle, par tout moyen constituant un support durable.

Lisez la phrase deux fois. L’obligation porte sur la communication à qui les demande, pas sur la publication. Un site B2B sans page de CGV n’est pas en infraction, tant que l’entreprise est capable de les fournir quand un acheteur professionnel les réclame. Un courriel avec le document en pièce jointe satisfait à l’obligation.

Le manquement est sanctionné par une amende administrative dont le montant ne peut excéder 15 000 euros pour une personne physique et 75 000 euros pour une personne morale.

Deux conséquences pratiques, dans deux directions opposées.

Première conséquence : publier ses CGV reste souvent une bonne idée, mais pour des raisons commerciales et non juridiques. Cela évite une demande, pose le cadre tôt dans la relation, et évite les négociations tardives sur les délais de paiement ou les conditions de résiliation. C’est une décision d’entreprise, à prendre en connaissance de cause, et non une case à cocher.

Seconde conséquence, plus importante : l’obligation ne disparaît pas si vous ne publiez rien. Une entreprise qui n’a pas de conditions générales du tout se retrouve, en cas de litige, sans le socle sur lequel s’appuyer. Le même article précise que les conditions générales de vente constituent le socle unique de la négociation commerciale. Ne pas en avoir, c’est négocier sans plancher.

Le contraste avec la vente aux particuliers est net. En B2C, l’article L111-1 du code de la consommation impose de communiquer au consommateur, avant tout contrat, une liste détaillée d’informations : caractéristiques essentielles, prix, délais, garanties, médiation. S’y ajoute le droit de rétractation de quatorze jours pour les contrats à distance. Ces règles ne s’appliquent qu’aux relations avec un consommateur, c’est-à-dire une personne physique agissant en dehors de son activité professionnelle. Elles ne s’étendent pas à votre client entreprise.

Les cookies : ce qui exige un consentement

C’est le sujet où l’écart est le plus grand entre ce que font les sites et ce qu’exigent les textes, et où les sanctions sont les plus nombreuses.

Le principe : tout traceur qui n’est pas strictement nécessaire au fonctionnement du service exige un consentement préalable, libre, éclairé et spécifique. Sont strictement nécessaires, par exemple, le cookie qui retient le contenu d’un panier ou celui qui maintient une session ouverte.

Trois règles concrètes structurent la conformité d’un bandeau, et la première est celle qui déclenche l’essentiel des sanctions.

Refuser doit être aussi simple qu’accepter. Un bandeau qui propose un bouton « tout accepter » mais oblige à passer par « personnaliser » pour refuser n’est pas conforme. C’est le manquement le plus fréquemment sanctionné.

Rien ne se dépose avant le choix. Les traceurs soumis à consentement ne doivent pas être écrits avant que l’utilisateur n’ait agi. Beaucoup d’installations posent le marqueur au chargement de la page, avant même l’affichage du bandeau.

L’information doit être complète. Les finalités de chaque catégorie de traceurs et l’identité du responsable de traitement doivent être accessibles dès le premier niveau. Un bandeau qui dit seulement « ce site utilise des cookies pour améliorer votre expérience » n’informe de rien.

S’y ajoutent deux durées recommandées par la Commission nationale de l’informatique et des libertés : les traceurs eux-mêmes ne devraient pas dépasser treize mois, et le choix exprimé par l’utilisateur devrait être conservé au maximum six mois avant nouvelle sollicitation.

L’exemption de mesure d’audience mérite un paragraphe à elle seule, parce qu’elle est constamment invoquée à tort. Elle existe, mais elle est conditionnée : la finalité doit être strictement limitée à la mesure d’audience du site, les données doivent être rendues anonymes, elles ne doivent pas être recoupées avec d’autres traitements ni transmises à des tiers, et aucun suivi de la navigation entre plusieurs sites ne doit avoir lieu. Une installation standard d’un outil de mesure adossé à une régie publicitaire ne remplit généralement aucune de ces conditions, puisque son intérêt commercial est précisément le recoupement.

La bonne question à poser à votre prestataire n’est donc pas « faut-il un bandeau », mais « cet outil est-il paramétré dans les conditions de l’exemption, et pouvez-vous me le démontrer ». La réponse détermine tout le reste.

La politique de confidentialité

Sa base est le règlement européen, et son contenu est en grande partie fixé par ses articles 13 et 14.

L’article 13 vise les données collectées directement auprès de la personne, ce qui couvre le formulaire de contact. Il impose d’indiquer l’identité et les coordonnées du responsable de traitement, celles du délégué à la protection des données s’il en existe un, les finalités poursuivies et la base juridique de chaque traitement, les destinataires des données, les éventuels transferts hors de l’Union, la durée de conservation, l’existence des droits d’accès, de rectification, d’effacement et d’opposition, le droit de retirer un consentement, le droit d’introduire une réclamation auprès de l’autorité de contrôle, le caractère obligatoire ou facultatif de la fourniture des données, et l’existence éventuelle d’une décision automatisée.

L’article 14 vise les données obtenues indirectement, cas fréquent en B2B : achat de fichiers, enrichissement, données issues d’un partenaire. Il reprend les mêmes exigences et ajoute l’obligation d’indiquer la source des données, ainsi qu’un délai : l’information doit être fournie dans un délai raisonnable et au plus tard un mois après l’obtention.

Ce point est le plus souvent négligé par les entreprises qui pratiquent la prospection à froid. Un fichier acheté ou constitué par extraction alimente un traitement, et les personnes concernées doivent être informées de son existence et de son origine.

Deux remarques de rédaction. Une politique de confidentialité recopiée d’un autre site est presque toujours fausse, parce qu’elle décrit des traitements qui ne sont pas les vôtres et omet ceux qui le sont. Et un document illisible ne satisfait pas à l’obligation : le règlement exige une information concise, transparente, compréhensible et aisément accessible.

Ce sujet croise directement celui du consentement recueilli sur vos formulaires, que nous traitons en détail dans ce que dit vraiment la CNIL sur le consentement d’un formulaire B2B.

En B2B, l’adresse professionnelle est une donnée personnelle

C’est la confusion la plus coûteuse du sujet, parce qu’elle conduit des entreprises entières à se croire hors champ.

Une adresse de la forme prénom.nom@entreprise.fr identifie une personne physique. Elle est donc une donnée personnelle, et son traitement relève du règlement européen exactement comme celui d’une adresse personnelle. Le fait qu’elle serve dans un cadre professionnel ne change rien à sa nature. Il en va de même du nom associé à une fonction, du numéro de ligne directe, et du profil sur un réseau professionnel.

L’idée que le B2B échapperait au règlement vient d’un glissement : certaines règles de prospection, elles, distinguent effectivement le professionnel du consommateur. Mais cette distinction porte sur les conditions du démarchage, pas sur l’application du règlement. Le traitement, lui, est soumis dans les deux cas.

Trois conséquences pratiques en découlent, et elles sont plus légères qu’on ne le craint.

Le registre des activités de traitement. L’article 30 du règlement en dispense les organisations de moins de 250 salariés, ce dont beaucoup de PME se réclament. L’exception tombe pourtant dans trois situations, dont l’une est presque toujours réunie : si le traitement n’est pas occasionnel. Or un fichier client, une base de prospects et une liste de diffusion sont par nature permanents. L’exception ne joue donc pratiquement jamais pour une entreprise qui prospecte. La bonne nouvelle est qu’un registre de PME est un tableau d’une dizaine de lignes, pas un dossier.

Le sort des données quand quelqu’un le demande. Un contact professionnel peut demander l’accès à ses données, leur rectification, leur effacement, ou s’opposer à leur traitement à des fins de prospection. Il faut être en mesure de répondre, ce qui suppose de savoir où sont ces données. C’est cette question, et non le formalisme documentaire, qui révèle l’état réel d’une organisation.

La provenance des fichiers. Si vos contacts viennent d’un achat, d’un extracteur ou d’un partenaire, l’article 14 impose de le dire aux personnes concernées, avec la source, dans le mois suivant l’obtention. C’est l’obligation la moins respectée du B2B français, et c’est aussi celle qui se règle le plus simplement : une phrase dans le premier message envoyé.

Vos outils traitent des données pour vous, et cela s’écrit

Dernier bloc, invisible sur le site mais bien réel : la chaîne des prestataires qui traitent vos données.

Votre hébergeur, votre outil d’emailing, votre logiciel de relation client, votre agence quand elle accède à vos formulaires : tous sont des sous-traitants au sens du règlement. L’article 28 exige un contrat écrit, y compris sous forme électronique, entre vous et chacun d’eux. Ce contrat doit notamment prévoir que le sous-traitant ne traite les données que sur instruction documentée de votre part, que les personnes autorisées s’engagent à la confidentialité, qu’il prend les mesures de sécurité requises, qu’il supprime les données au terme de la prestation, et qu’il met à votre disposition les informations nécessaires pour démontrer le respect de ses obligations.

En pratique, les grands éditeurs proposent tous un tel document, souvent appelé accord de traitement des données, qu’il suffit d’accepter et de conserver. Le trou se situe presque toujours ailleurs : chez le petit prestataire, l’agence, le développeur indépendant, celui avec qui la relation est ancienne et le contrat mince. C’est précisément celui qui détient les accès les plus larges.

Deux clauses méritent une attention particulière, parce qu’elles se révèlent tard. La suppression en fin de contrat : un prestataire qui conserve vos données de formulaires après la fin de la relation n’est pas seulement gênant commercialement, il est en infraction. Et la localisation des données : le règlement n’impose pas en soi un hébergement en Europe, mais les transferts hors de l’Union obéissent à un régime particulier qu’il faut connaître avant de choisir un outil, pas après. Si votre prestataire héberge chez un fournisseur non européen, la question se pose au moment du choix.

Un dernier point, souvent négligé, qui relie ce sujet au précédent : les marqueurs tiers déposés par vos propres outils. Un site qui charge une régie publicitaire, une carte, une police de caractères distante ou une vidéo intégrée fait souvent partir des données vers ces services dès le chargement de la page, avant tout consentement. La liste réelle de ce qui se charge sur votre site est rarement celle que vous imaginez, et elle se vérifie en une inspection.

Ce qu’on vous vendra et qui ne vous concerne pas

Une partie de la prestation de conformité proposée aux PME porte sur des obligations qui ne s’appliquent pas à elles. Voici les trois cas les plus fréquents, avec le texte qui permet de le vérifier.

L’accessibilité au sens du référentiel français. L’obligation issue de la loi de 2005 vise en priorité les organismes publics et les personnes privées chargées d’une mission de service public. Son extension aux entreprises privées ordinaires ne joue qu’au-delà d’un seuil fixé par l’article 2 du décret du 24 juillet 2019 : un chiffre d’affaires annuel moyen de 250 millions d’euros calculé sur les trois derniers exercices clos. Les seuils de dix millions d’euros ou de vingt salariés qui circulent sur de nombreux sites ne figurent dans aucun texte. Attention toutefois à ne pas en tirer la mauvaise conclusion : la réglementation européenne applicable depuis juin 2025 suit une logique différente et vise certains services destinés aux consommateurs, ce qui mérite vérification si vous vendez en ligne à des particuliers. Et surtout, l’obligation légale n’est pas le seul argument : un site inaccessible exclut des utilisateurs réels, y compris des acheteurs.

Le médiateur de la consommation. L’article L616-1 du code de la consommation impose au professionnel de communiquer les coordonnées d’un médiateur au consommateur. Une entreprise dont la clientèle est exclusivement professionnelle n’entre pas dans le champ. Voir cette mention dans des mentions légales B2B n’est pas une faute, mais c’est le signe d’un document recopié.

L’écoconception des services numériques. Le référentiel existe, il est utile, et il n’oblige légalement aucune entreprise privée. Le seul texte contraignant en la matière vise les grandes communes.

Un principe général vaut mieux qu’une liste : demandez toujours le texte, l’article et le seuil. Une obligation réelle se prouve en une ligne. Une obligation vendue ne se prouve pas.

Les sanctions réelles, et pourquoi vous n’en entendez jamais parler

Les chiffres qui circulent sur les sanctions donnent une image faussée du risque, pour une raison mécanique qui mérite d’être expliquée.

En 2025, la Commission nationale de l’informatique et des libertés a prononcé 83 sanctions, pour un montant cumulé de 486 839 500 euros. Vingt et une visaient des manquements relatifs aux cookies. Les deux plus lourdes, de 325 et 150 millions d’euros, portaient précisément sur ce sujet.

Ces montants ne vous concernent pas, et c’est là que se situe le malentendu. Sur ces 83 sanctions, 67 relèvent de la procédure simplifiée. Or cette procédure obéit à deux règles qui changent tout : une sanction simplifiée ne peut pas excéder 20 000 euros, et la Commission ne peut pas divulguer le nom de l’organisme sanctionné.

Autrement dit, les seules sanctions dont vous entendez parler sont celles des très grandes entreprises, parce que ce sont les seules qui soient publiques. Les dizaines de sanctions prononcées chaque année contre des organisations ordinaires existent, mais elles sont anonymes. Il en résulte une perception faussée dans les deux sens : le risque paraît à la fois immense, à cause des montants médiatisés, et théorique, parce qu’on ne connaît personne à qui c’est arrivé.

Les manquements sanctionnés en procédure simplifiée sont d’une banalité instructive. Un bandeau qui permet d’accepter en un clic mais impose de passer par « personnaliser » pour refuser. Une information incomplète sur les finalités des traceurs et sur l’identité du responsable de traitement. Des cookies déposés avant toute action de l’utilisateur. Aucun de ces trois cas ne demande une expertise pour être corrigé, et aucun ne relève de l’interprétation.

Où placer tout cela

La règle générale est celle d’un accès facile, direct et permanent. En pratique, cela veut dire le pied de page, présent sur toutes les pages du site.

Trois liens suffisent dans la grande majorité des cas : mentions légales, politique de confidentialité, gestion des cookies. Les CGV s’y ajoutent si vous choisissez de les publier.

Deux points d’attention souvent manqués. Le lien de gestion des cookies doit permettre de revenir sur un choix déjà exprimé : un consentement doit pouvoir être retiré aussi simplement qu’il a été donné, ce qui suppose un point d’entrée permanent et non un bandeau qui disparaît définitivement au premier clic. Et ces pages doivent rester accessibles depuis les pages de destination de vos campagnes publicitaires, qui sont parfois construites sans pied de page pour ne pas distraire le visiteur. Une page de destination sans mentions légales est un cas fréquent, et c’est aussi celui que les plateformes publicitaires vérifient.

Dernier conseil, d’ordre pratique. Ces pages vieillissent mal parce que rien ne signale leur péremption : un changement de siège social, un nouvel hébergeur, un outil de mesure ajouté, un nouveau traitement de données. Une relecture annuelle, inscrite au calendrier, coûte une heure et suffit à maintenir l’ensemble à jour.

Pour savoir où ce point se situe dans le parcours d’un visiteur, tunnel de conversion B2B en donne la vue d’ensemble.

Un point voisin, souvent confondu avec une obligation : l’accessibilité numérique ne s’impose aux entreprises privées qu’à partir de 250 millions d’euros de chiffre d’affaires. Ce que cela change concrètement pour un formulaire est traité dans formulaire de contact B2B.

En bref

• La référence a changé. Depuis le 23 mai 2024, les mentions légales reposent sur l’article 1-1 de la loi pour la confiance dans l’économie numérique, et non plus sur son article 6-III que citent encore la plupart des guides.
• Les CGV ne sont pas obligatoires sur un site B2B. La loi impose de les communiquer à tout acheteur professionnel qui en fait la demande, pas de les publier. Les publier reste souvent un bon choix commercial, ce n’est pas une contrainte légale.
• Ne pas avoir de CGV du tout est un autre problème : elles constituent le socle unique de la négociation commerciale, et leur absence prive de plancher en cas de litige.
• La mention la plus souvent absente est celle de l’hébergeur, généralement parce que personne n’a demandé au prestataire où le site est réellement hébergé.
• L’exemption cookies pour la mesure d’audience est étroite : finalité strictement limitée, pas de recoupement, pas de transmission à des tiers, pas de suivi entre sites. Une installation standard d’outil publicitaire ne la remplit pas.
• Trois obligations vendues aux PME ne les concernent pas : le référentiel d’accessibilité en dessous de 250 millions d’euros de chiffre d’affaires, le médiateur de la consommation en B2B pur, et l’écoconception qui n’oblige aucune entreprise privée.
• Les sanctions qui vous concernent sont anonymes. Sur 83 sanctions prononcées en 2025, 67 relèvent d’une procédure simplifiée plafonnée à 20 000 euros dans laquelle le nom de l’organisme n’est pas divulgué. C’est pourquoi vous n’en entendez jamais parler.

Si vous préparez une refonte, c’est le meilleur moment pour reprendre ces pages : elles se construisent en même temps que le reste, à partir de la réalité de vos traitements plutôt que d’un modèle recopié. Nous intervenons sur le site et sur l’inventaire de ce qui s’y charge réellement ; la rédaction et la validation des textes juridiques reviennent à un avocat, et c’est le bon investissement si votre activité est réglementée. Parlons de votre projet, ou découvrez notre approche de la création de site web B2B.