Un artisan sur trois a un site sans mentions légales complètes, et la plupart ne le savent même pas — leur prestataire ne leur en a jamais parlé. La loi française impose pourtant, depuis 2004, une liste précise d’informations obligatoires sur tout site professionnel, et le RGPD est venu ajouter sa propre couche depuis 2018. Entre les deux, beaucoup d’artisans ne savent plus ce qui est vraiment obligatoire pour leur site internet et ce qui relève du zèle d’agence qui facture une “mise en conformité RGPD” à 400€.
Je vais être honnête avec vous : la conformité d’un site vitrine d’artisan tient sur une page, pas sur un audit juridique de trois semaines. Voici ce qui doit vraiment s’y trouver — et ce qui peut attendre.
Mentions légales : la loi vous oblige, sans exception
C’est le point le plus mal compris : les mentions légales ne sont pas une option “si vous avez le temps”. Depuis la loi pour la confiance dans l’économie numérique (LCEN) de 2004, tout site professionnel — vitrine, e-commerce, page unique — doit afficher une page de mentions légales accessible en un clic, généralement via le pied de page. Un site de plombier avec trois pages et un formulaire de contact est concerné exactement comme un site e-commerce.
L’absence de mentions légales n’est pas une simple négligence esthétique. C’est une infraction pénale, prévue à l’article 6-VI de la LCEN, qui expose le responsable du site à une amende — jusqu’à 75 000€ pour une personne physique, même si dans la pratique les contrôles visent surtout les entreprises qui ont fait l’objet d’un signalement ou d’un litige commercial. Ce n’est pas ce qui va vous arriver demain, mais c’est la première chose qu’un client mécontent ou un concurrent regarde s’il cherche à vous mettre en difficulté.
Quand je crée un site vitrine pour un artisan, la page mentions légales fait partie du livrable de base — pas une option facturée à part. C’est dix minutes de travail une fois qu’on a les bonnes informations, et ça évite un vrai risque juridique pour zéro effort de votre côté.
Ce qu’il faut écrire, mot pour mot, dans vos mentions légales
Pour une micro-entreprise ou une entreprise individuelle — le statut de la majorité des artisans que je rencontre à Brest — la liste est courte et précise. Voici ce qui doit obligatoirement apparaître :
- Identité : nom et prénom de l’artisan, ou dénomination sociale si vous êtes en société
- Statut juridique : entreprise individuelle, micro-entreprise, EURL, SASU…
- Adresse : celle du siège de l’activité (l’adresse de votre atelier ou votre domicile professionnel)
- Numéros d’identification : SIREN et SIRET, avec le code APE
- Contact : email professionnel et numéro de téléphone
- TVA intracommunautaire : si vous y êtes assujetti (les micro-entrepreneurs en franchise de TVA doivent l’indiquer explicitement : “TVA non applicable, article 293 B du CGI”)
- Directeur de la publication : c’est vous, en tant que gérant — précisez-le
- Hébergeur du site : nom, adresse et téléphone de l’hébergeur (OVH, Cloudflare, ou tout autre prestataire technique)
Ce dernier point est celui que j’oublie de voir le plus souvent sur les sites que je reprends après une “agence” qui a disparu. L’hébergeur n’est pas votre prestataire web, c’est l’entreprise dont les serveurs font tourner physiquement le site — une information que votre développeur ou votre outil de création (WordPress, Wix, Shopify) peut toujours vous fournir.
Aucune de ces mentions n’a besoin d’être rédigée dans un jargon juridique. Une page claire, avec ces huit informations listées simplement, coche toutes les cases légales. Pas besoin d’un avocat à 300€ de l’heure pour ça. Ce sont d’ailleurs exactement les mêmes informations que je demande avant de démarrer un projet de site — SIRET, statut, coordonnées : autant les rassembler une fois pour toutes.
RGPD et politique de confidentialité : obligatoire dès que vous avez un formulaire de contact
Le RGPD (règlement général sur la protection des données), en vigueur depuis mai 2018, s’applique dès qu’un site collecte des données personnelles — nom, email, téléphone. Concrètement, si votre site a un formulaire de contact ou de devis, vous êtes concerné, quelle que soit la taille de votre activité. “Je suis juste un artisan, pas une multinationale” n’est pas une exemption reconnue par la loi.
Ce que le RGPD exige, dans les faits, tient en trois obligations pour un site artisan classique :
Une politique de confidentialité, distincte des mentions légales, qui explique quelles données vous collectez, pourquoi (répondre à une demande de devis, par exemple), combien de temps vous les conservez, et comment un visiteur peut demander leur suppression. Un an après le dernier contact reste une durée de conservation raisonnable pour des données de prospection commerciale.
Une information claire au niveau du formulaire lui-même : une phrase du type “Les informations recueillies sont utilisées pour répondre à votre demande et ne sont ni revendues ni transmises à des tiers” suffit dans la grande majorité des cas pour un artisan.
Une sécurisation minimale des données transmises — c’est-à-dire un site en HTTPS, pour que les informations tapées dans votre formulaire ne circulent pas en clair sur le réseau. Sans certificat SSL actif, vous êtes en infraction sur ce point précis, indépendamment de tout le reste.
Contrairement aux mentions légales, la politique de confidentialité n’est pas fixe : elle doit refléter ce que votre site fait réellement. Si vous ajoutez un outil de prise de rendez-vous en ligne ou un chat, elle doit être mise à jour en conséquence.
Bandeau de cookies : obligatoire ou pas selon ce que vous utilisez
C’est la question qui revient le plus souvent, et la réponse surprend toujours : un site vitrine d’artisan simple, sans Google Analytics ni pixel Facebook, n’a pas besoin de bandeau de cookies. Les cookies dits “strictement nécessaires” — ceux qui font fonctionner un panier e-commerce ou mémorisent une session — sont exemptés de consentement par la CNIL.
Le bandeau devient obligatoire dès que le site dépose des cookies de mesure d’audience non exemptés (Google Analytics dans sa configuration standard), des cookies publicitaires, ou des boutons de partage réseaux sociaux qui traquent la navigation avant même que le visiteur clique dessus. Depuis les recommandations CNIL de 2020, refuser les cookies doit être aussi simple qu’accepter — un bouton “Tout refuser” à côté du bouton “Tout accepter”, pas caché dans un sous-menu à trois clics.
Concrètement pour un artisan : si votre site n’utilise que des outils de mesure “sans cookies” (Plausible, Matomo en configuration anonymisée, ou pas d’outil du tout), vous pouvez légalement vous passer de bandeau. Dès que vous installez Google Analytics dans sa version classique, le bandeau devient obligatoire — et mal fait, il peut vous coûter plus cher en abandon de visiteurs qu’en risque juridique : un bandeau intrusif qui bloque toute la page fait fuir autant de prospects qu’un formulaire de contact cassé.
Ce qui n’est pas obligatoire, mais que je mets quand même
Ce que je trouve souvent quand je reprends un site après une grande agence, c’est l’inverse du problème : des pages “Conditions générales de vente” de quinze paragraphes copiées-collées d’un site e-commerce, sur un simple site vitrine de menuisier qui ne vend rien en ligne. Les CGV ne sont obligatoires que si votre site permet une transaction directe — paiement en ligne, réservation avec engagement financier. Un site qui affiche vos services et pousse vers un devis par téléphone n’en a pas besoin.
Ce que je recommande quand même, même sans obligation stricte : une page “Politique de confidentialité” séparée et lisible, même minimaliste. Elle rassure un visiteur qui hésite à remplir un formulaire — la conjointe d’un artisan qui gère souvent la communication du couple y est particulièrement sensible, à raison. Et une mention claire de durée de conservation des devis demandés, qui évite toute ambiguïté si un client redemande un jour ce qu’il a bien pu vous transmettre trois ans plus tôt.
Ce que risque un artisan qui n’a rien mis en ligne
Pour la grande majorité des artisans, le vrai risque n’est pas une descente de la CNIL — l’organisme cible en priorité les grandes entreprises et les cas de fuite de données massive. Il y a deux scénarios bien plus probables et déjà vus sur le terrain :
Un client mécontent, en litige avec vous pour une prestation, découvre que votre site n’a pas de mentions légales et s’en sert comme argument de mauvaise foi dans un dossier — ça ne gagne pas le litige à sa place, mais ça n’aide pas votre crédibilité. Ou bien un signalement anonyme, souvent d’un concurrent, déclenche une mise en demeure de la CNIL : dans l’immense majorité des cas contre des petites structures, ça s’arrête là, avec un délai pour se mettre en conformité. Les amendes réelles contre des artisans individuels restent rares, mais la mise en demeure elle-même — publique dans certains cas — reste désagréable pour une image de marque locale.
Le vrai coût, en pratique, c’est souvent invisible : un visiteur qui cherche vos mentions légales avant de vous confier ses coordonnées, ne les trouve pas, et referme l’onglet. C’est la version silencieuse du problème — vous ne saurez jamais que ce client potentiel existait.
FAQ — RGPD et mentions légales pour artisans
Un auto-entrepreneur doit-il avoir des mentions légales sur son site ?
Oui, sans exception. Le statut de micro-entrepreneur ou d’entreprise individuelle ne dispense de rien : la LCEN s’applique à tout site professionnel, quelle que soit la taille de l’activité derrière.
Faut-il un DPO (délégué à la protection des données) pour un site d’artisan ?
Non. Le DPO n’est obligatoire que pour les organismes publics ou les entreprises qui traitent des données à grande échelle ou des données sensibles (santé, par exemple). Un artisan qui collecte des demandes de devis via un formulaire n’a aucune obligation de désigner un DPO.
Mon site WordPress ou Wix génère-t-il automatiquement les mentions légales ?
Non, ou rarement correctement. Certains constructeurs de sites proposent un générateur automatique, mais il reprend des champs génériques qui manquent souvent votre SIRET exact ou le nom réel de votre hébergeur. Une maintenance régulière du site inclut normalement une vérification de ces informations, qui changent parfois sans que vous y pensiez — un changement d’hébergeur, par exemple.
