Site vitrine : quelles obligations légales en 2026 ?

« C'est juste un site vitrine, je ne vends rien dessus, je n'ai donc aucune obligation. » C'est sans doute la phrase la plus dangereuse que se répète un dirigeant de TPE. Parce qu'elle est fausse, et que l'erreur peut coûter cher.

Un site vitrine — une simple présentation de ton activité, sans paiement en ligne — reste un service de communication au public en ligne au sens de la loi. Il est donc soumis à des obligations précises. Un internaute mécontent, un concurrent, ou un contrôle de la CNIL suffit à transformer ton « petit site sans enjeu » en mise en demeure, puis en amende.

La bonne nouvelle : un site vitrine a moins d'obligations qu'un e-commerce. Encore faut-il savoir lesquelles s'appliquent vraiment — et lesquelles tu peux ignorer. C'est tout l'objet de cet article.

Si tu veux une réponse immédiate pour ton cas, tu peux analyser gratuitement la conformité de ton site avec Lumiq : en 30 secondes, tu obtiens un score et la liste des documents manquants.

Un site vitrine a-t-il vraiment des obligations légales ?

Oui. Trois textes s'appliquent à tout site accessible en France, qu'il vende ou non :

• la LCEN (loi pour la confiance dans l'économie numérique de 2004) → impose les mentions légales ;
• le RGPD et la loi Informatique et Libertés → s'appliquent dès que tu traites une donnée personnelle ;
• la directive ePrivacy transposée en droit français → encadre les cookies et traceurs.

Le point clé à comprendre : ces obligations ne dépendent pas de la présence d'une boutique. Elles dépendent de ce que ton site fait concrètement — affiche-t-il une identité d'éditeur ? collecte-t-il des données ? dépose-t-il des traceurs ?

Un site vitrine déclenche presque toujours les trois. Voyons-les une par une.

Obligation n°1 : les mentions légales (toujours obligatoires)

C'est l'obligation la plus universelle, et celle qu'on oublie le plus souvent. L'article 6-III de la LCEN impose à tout éditeur d'un site accessible au public d'afficher une série d'informations d'identification. Pas d'exception pour les sites vitrines.

Ce que tes mentions légales doivent contenir

Pour un professionnel, tu dois indiquer :

• la dénomination sociale (ou tes nom et prénom si tu es en entreprise individuelle / auto-entrepreneur) ;
• l'adresse du siège et un moyen de contact (email ou téléphone) ;
• le numéro RCS (ou RM pour les artisans) et le capital social le cas échéant ;
• le numéro de TVA intracommunautaire si tu y es assujetti ;
• le nom du directeur de la publication ;
• l'identité et les coordonnées de l'hébergeur (nom, adresse, téléphone) ;
• pour les professions réglementées (avocat, médecin, expert-comptable…), la référence aux règles professionnelles applicables.

Le risque si tu les oublies

Le défaut de mentions légales n'est pas une simple négligence administrative. La LCEN prévoit jusqu'à 1 an d'emprisonnement et 75 000 € d'amende pour une personne physique, et jusqu'à 375 000 € pour une personne morale (le quintuple, conformément au Code pénal).

En pratique, on n'envoie pas un dirigeant de TPE en prison pour un oubli. Mais ces montants sont réels, inscrits dans la loi, et constituent la base d'une éventuelle poursuite. Surtout, l'absence de mentions légales est le premier signal qui décrédibilise un site aux yeux d'un internaute — et le plus facile à repérer pour un concurrent qui voudrait te nuire.

→ C'est l'obligation la plus simple à corriger : quelques informations bien structurées sur une page dédiée, accessible depuis le pied de page de chaque page du site.

Obligation n°2 : le RGPD, dès le premier formulaire ou les analytics

Voici l'idée fausse la plus répandue : « Je ne collecte pas de données, donc le RGPD ne me concerne pas. » Or, un site vitrine collecte presque toujours des données personnelles sans que son propriétaire s'en rende compte.

Quand le RGPD s'applique à ton site vitrine

Le RGPD s'active dès qu'une donnée personnelle est traitée. Sur un site vitrine, c'est le cas si tu as :

• un formulaire de contact (nom, email, message = données personnelles) ;
• un formulaire de devis ou de rappel ;
• une inscription à une newsletter ;
• un outil d'analytics (Google Analytics, Matomo non anonymisé…) qui collecte des adresses IP ou des identifiants ;
• des boutons de réseaux sociaux ou une carte Google Maps intégrée qui pistent le visiteur.

Autrement dit : si ton site a ne serait-ce qu'un formulaire de contact, le RGPD s'applique. Point.

Ce que tu dois mettre en place

• Une politique de confidentialité claire, qui explique quelles données tu collectes, pourquoi, combien de temps tu les conserves et comment exercer ses droits (accès, rectification, suppression).
• Une base légale pour chaque traitement (généralement le consentement pour une newsletter, l'intérêt légitime ou le contrat pour un formulaire de contact).
• Le recueil du consentement explicite quand il est requis (cases à cocher non précochées).
• Le respect des droits des personnes : tu dois pouvoir répondre à une demande d'accès ou de suppression.
• La sécurisation des données (HTTPS, accès restreint à la boîte mail qui reçoit les messages).

Le risque RGPD

C'est le plus lourd de tous. Le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Pour une TPE, on ne parlera évidemment pas de 20 millions. Mais la CNIL a déjà sanctionné de petites structures par des amendes de plusieurs milliers à plusieurs dizaines de milliers d'euros, souvent à la suite d'un simple signalement d'internaute. Une absence de politique de confidentialité couplée à un formulaire actif est exactement le type de manquement qui déclenche une mise en demeure.

Obligation n°3 : les cookies, seulement si tu déposes des traceurs

Le bandeau cookies n'est pas systématiquement obligatoire — contrairement à ce que beaucoup croient. Tout dépend de ce que ton site dépose réellement sur le navigateur du visiteur.

Quand le bandeau cookies est obligatoire

Tu dois recueillir le consentement avant tout dépôt si ton site utilise des traceurs non essentiels :

• cookies de mesure d'audience non exemptés (Google Analytics standard, par exemple) ;
• cookies publicitaires ou de retargeting ;
• traceurs des réseaux sociaux (boutons « like », pixels Meta…) ;
• vidéos YouTube/Vimeo intégrées qui déposent des cookies au chargement ;
• carte Google Maps intégrée.

Quand tu n'en as PAS besoin

Si ton site vitrine est « propre » — uniquement des cookies strictement nécessaires à son fonctionnement (session, préférence de langue, panier inexistant ici) — alors aucun bandeau de consentement n'est requis. Un site vitrine purement statique, sans analytics ni embed externe, peut donc parfaitement se passer de bandeau cookies.

C'est un cas fréquent et souvent mal géré : beaucoup de sites affichent un bandeau cookies inutile… tout en oubliant leurs mentions légales ou leur politique de confidentialité, qui, elles, sont vraiment obligatoires.

Les règles du consentement (si bandeau requis)

• Le consentement doit être libre, spécifique, éclairé et univoque.
• Refuser doit être aussi simple qu'accepter (un bouton « Tout refuser » au même niveau que « Tout accepter »).
• Aucun traceur non essentiel ne doit être déposé avant le clic de consentement.
• Le choix doit pouvoir être modifié à tout moment.

Le non-respect des règles cookies relève du RGPD et de la loi Informatique et Libertés : la CNIL peut sanctionner sur le même fondement, avec des amendes qui se chiffrent en milliers d'euros pour les plus petites structures.

Ce dont tu n'as PAS besoin sur un site vitrine

Autant être clair : un site vitrine sans vente n'a pas à se charger de documents qui ne le concernent pas.

• Pas besoin de CGV (conditions générales de vente). Les CGV encadrent une transaction commerciale. Tant que tu ne vends rien en ligne — ni produit, ni service payant, ni abonnement, ni paiement sur le site — elles ne s'appliquent pas. Un formulaire de contact ou un devis envoyé par email ne constitue pas une vente en ligne.
• Pas besoin de CGU obligatoires. Les conditions générales d'utilisation ne sont pas imposées par la loi pour un site vitrine classique. Elles deviennent utiles s'il y a un espace membre, un service interactif ou du contenu généré par les utilisateurs.
• Pas de droit de rétractation à afficher, puisqu'il n'y a pas d'achat à distance.
• Pas d'obligation de médiateur de la consommation au titre des ventes, là encore faute de transaction.

→ La nuance importante : dès que tu ajoutes un bouton de paiement, une prise de rendez-vous payante ou une boutique, ton site change de catégorie. Il devient un site marchand, et les CGV redeviennent obligatoires. Le statut « vitrine » se perd à la première vente.

Récapitulatif : la checklist du site vitrine conforme

Pour un site vitrine professionnel sans vente, voici ce qui doit être en place :

• Mentions légales complètes et accessibles depuis chaque page → obligatoire, toujours.
• Politique de confidentialité RGPD → obligatoire dès un formulaire ou des analytics.
• Consentement et registre des traitements pour tes données collectées → obligatoire dès collecte.
• Bandeau cookies conforme → obligatoire uniquement si traceurs non essentiels.
• HTTPS actif sur tout le site → indispensable pour la sécurité des données.
• CGV / CGU → non requises tant qu'il n'y a pas de vente.

Tu n'es pas sûr de ce que ton site dépose réellement, ni de ce qui te manque ? Lumiq analyse ton site en 30 secondes et te donne un score de conformité avec la liste exacte des documents à générer — sans avocat, sans jargon.

Questions fréquentes

Un site vitrine personnel (non professionnel) a-t-il les mêmes obligations ?

Les obligations s'allègent pour un particulier qui n'exerce pas d'activité professionnelle : tu peux te limiter à indiquer le nom du directeur de la publication et les coordonnées de l'hébergeur, sans dévoiler ton adresse personnelle. En revanche, dès que ton site sert une activité professionnelle ou génère des revenus (même indirects), tu repasses dans le régime complet des mentions légales et du RGPD.

J'ai juste un formulaire de contact, dois-je vraiment me préoccuper du RGPD ?

Oui. Un formulaire de contact collecte au minimum un nom et un email, qui sont des données personnelles. Tu dois donc informer le visiteur de l'usage de ces données (politique de confidentialité), définir une durée de conservation et lui permettre d'exercer ses droits. C'est l'un des manquements les plus fréquemment signalés à la CNIL sur les sites vitrines.

Si mon site n'a aucun cookie ni analytics, dois-je quand même afficher un bandeau ?

Non. Le bandeau de consentement n'est exigé que si tu déposes des traceurs non essentiels. Un site vitrine statique, sans mesure d'audience ni contenu externe (vidéos, cartes, réseaux sociaux), n'a pas besoin de bandeau cookies. Tu restes en revanche soumis aux mentions légales et, dès un formulaire, au RGPD.

Quelle est l'obligation la plus risquée à négliger ?

Le RGPD, sans hésiter. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires, et la CNIL agit le plus souvent sur signalement — y compris contre de petites structures. L'absence de mentions légales (jusqu'à 375 000 €) est le manquement le plus visible, mais c'est le RGPD qui expose au risque financier le plus lourd. Les deux se corrigent en quelques heures avec les bons documents.