Votre société possède un site internet, vitrine ou marchand, et personne n’a vérifié sa page de mentions légales depuis sa mise en ligne. Cette négligence expose pourtant le dirigeant à un an d’emprisonnement et à 75 000 euros d’amende, et la société elle-même à une amende cinq fois supérieure. Au-delà des mentions, le site qui vend en ligne doit afficher des conditions générales opposables, recueillir un consentement réel avant tout cookie non nécessaire et ne prospecter que des destinataires qui ont dit oui. Chaque manquement suit son régime : pénal pour les mentions, administratif pour l’information du consommateur et la prospection, civil pour le contrat conclu avec un site non conforme. Cet article décrit, à droit constant au 8 novembre 2026, ce que le site internet de votre entreprise doit afficher et comment le mettre en règle : d’abord les mentions légales et leurs sanctions, ensuite les conditions de vente, les cookies et la prospection. Chaque règle reprend le texte du code lu sur Légifrance pendant la rédaction, avec son lien officiel dans la phrase ou la suivante, et chaque décision citée a été relue en texte intégral pendant ce run.
I. Mentions légales du site internet : ce que votre société doit afficher et ce que risque le dirigeant
A. Mentions légales obligatoires : dénomination, capital, hébergeur et directeur de la publication
Les personnes dont l’activité est d’éditer un service de communication au public en ligne mettent à la disposition du public, dans un standard ouvert, une série d’informations fixée par l’article 1er-1 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, dont le texte a été relu sur Légifrance pour cet article (article 1er-1 de la loi n° 2004-575 du 21 juin 2004). Pour une société, le texte impose : « S’il s’agit de personnes morales, leur dénomination ou leur raison sociale et leur siège social, leur numéro de téléphone et, s’il s’agit d’entreprises assujetties aux formalités d’inscription au registre du commerce et des sociétés ou au registre national des entreprises en tant qu’entreprise du secteur des métiers et de l’artisanat, le numéro de leur inscription, leur capital social et l’adresse de leur siège social ». S’ajoutent le nom du directeur ou du codirecteur de la publication et, pour l’hébergement, « Le nom, la dénomination ou la raison sociale, l’adresse et le numéro de téléphone du fournisseur de services d’hébergement ». Concrètement, la page de mentions légales de votre société doit donc faire apparaître la dénomination exacte du Kbis, la forme juridique, le montant du capital social, l’adresse du siège, un numéro de téléphone et une adresse électronique de contact, le numéro d’inscription au registre, le nom du directeur de la publication et l’identité complète de l’hébergeur. Toute modification du capital, tout transfert de siège et tout changement de dirigeant imposent de mettre cette page à jour : une mention périmée équivaut à une mention manquante le jour d’un contrôle ou d’un litige.
Cette chaîne d’identification ne s’arrête pas à l’éditeur. L’hébergeur qui stocke votre site doit lui-même pouvoir identifier celui pour qui il stocke, et le juge peut lui ordonner de livrer ces données. Par ordonnance du 11 février 2025 (RG n° 2025R00013), le président du tribunal des activités économiques de Nanterre a ainsi ordonné à une société d’hébergement de communiquer aux demandeurs, pour identifier l’auteur de messages publiés sous pseudonyme sur son forum, « Son nom », « Son prénom », « Son adresse email », « La ou les adresse(s) IP utilisée(s) » (le cas échéant, sous la forme d’un « log des connexions ») (TAE de Nanterre, ordonnance de référé du 11 février 2025, RG n° 2025R00013). Le dirigeant retient l’enseignement pratique : choisir un hébergeur qui conserve les données de connexion, conserver lui-même les preuves de ses propres mentions et ne jamais publier sous anonymat un contenu qui engage la société.
La même page protège aussi les tiers nommés sur le site. Le même article 1er-1 dispose que « Toute personne nommée ou désignée dans un service de communication au public en ligne dispose d’un droit de réponse, sans préjudice des demandes de correction ou de suppression du message qu’elle peut adresser au service » (article 1er-1, III de la loi n° 2004-575 du 21 juin 2004). La demande « est présentée dans un délai de trois mois à compter de la mise à la disposition du public du message justifiant cette demande » et « Le directeur de la publication est tenu d’insérer dans les trois jours de leur réception les réponses de toute personne nommée ou désignée dans le service de communication au public en ligne, sous peine d’une amende de 3 750 euros ». Un témoignage client, une étude de cas ou un article qui cite un partenaire imposent donc une procédure interne : destinataire désigné des demandes, délai de trois jours tenu, texte inséré sans modification du sens.
B. Mentions légales absentes ou fausses : un an d’emprisonnement et 75 000 euros d’amende
Omettre les mentions, les publier incomplètes ou les laisser fausses après un changement de siège ou de capital n’est pas une simple irrégularité administrative. L’article 1er-2 de la même loi dispose : « Est puni d’un an d’emprisonnement et de 75 000 euros d’amende le fait, pour une personne physique ou le dirigeant de droit ou de fait d’une personne morale dont l’activité est d’éditer un service de communication au public en ligne, de ne pas respecter les I et II de l’article 1er-1 » (article 1er-2 de la loi n° 2004-575 du 21 juin 2004). Le dirigeant de fait est visé au même titre que le dirigeant de droit : celui qui pilote réellement la société sans mandat apparent répond de la page de mentions comme le gérant ou le président inscrit au registre. La société, elle, n’échappe pas à la répression. Le même texte prévoit que « Les personnes morales peuvent être déclarées pénalement responsables des manquements aux mêmes I et II, dans les conditions prévues à l’article 121-2 du code pénal » et qu’« Elles encourent une peine d’amende, suivant les modalités prévues à l’article 131-38 du même code ». Or l’article 131-38 du code pénal dispose que « Le taux maximum de l’amende applicable aux personnes morales est égal au quintuple de celui prévu pour les personnes physiques par la loi qui réprime l’infraction » (article 131-38 du code pénal), soit, par le calcul que le texte impose, cinq fois 75 000 euros : 375 000 euros d’amende encourue pour la société. Le même article 1er-2 ajoute des peines complémentaires, dont l’interdiction d’exercer l’activité professionnelle à l’occasion de laquelle l’infraction a été commise : « L’interdiction mentionnée au 2° du même article 131-39 est prononcée pour une durée de cinq ans au plus et porte sur l’activité professionnelle dans l’exercice ou à l’occasion de laquelle l’infraction a été commise. » Un site vitrine négligé peut donc coûter au dirigeant son droit d’exercer pendant cinq ans.
Face à ce risque, la mise en conformité suit un ordre précis. D’abord, auditer la page existante ligne par ligne au regard de l’article 1er-1 : dénomination exacte, capital à jour, siège actuel, inscription au registre, téléphone et courriel qui répondent, directeur de la publication vivant et informé de son rôle, hébergeur identifié avec raison sociale et adresse. Ensuite, vérifier que les mentions figurent dans un standard ouvert, c’est-à-dire lisibles sans logiciel propriétaire ni inscription préalable, et accessibles depuis chaque page du site, le plus souvent par un lien de pied de page intitulé « mentions légales ». Enfin, dater la vérification et la renouveler à chaque événement de la vie sociale : augmentation ou réduction de capital, transfert de siège, changement de dirigeant, changement d’hébergeur. Le contentieux commercial offre un motif supplémentaire de rigueur : quand un litige naît d’un site, le contentieux commercial se joue aussi sur ces mentions, car l’identification exacte de l’éditeur conditionne l’assignation, la signification et l’exécution. Une société impossible à identifier depuis son propre site complique sa propre défense autant qu’elle aggrave sa position devant le tribunal.
II. Vendre en ligne en règle : CGV, cookies et prospection, ce que le dirigeant doit verrouiller
A. CGV communiquées et opposables : le socle unique entre professionnels et l’information du consommateur
Le site qui vend à des professionnels doit tenir ses conditions générales à disposition, mais la loi n’exige pas une remise en main propre. L’article L. 441-1 du code de commerce, relu sur Légifrance pour cet article (article L. 441-1 du code de commerce), dispose : « Toute personne exerçant des activités de production, de distribution ou de services qui établit des conditions générales de vente est tenue de les communiquer à tout acheteur qui en fait la demande pour une activité professionnelle. Cette communication s’effectue par tout moyen constituant un support durable. » Le même article ajoute que « Dès lors que les conditions générales de vente sont établies, elles constituent le socle unique de la négociation commerciale » et que « Tout manquement au II est passible d’une amende administrative dont le montant ne peut excéder 15 000 € pour une personne physique et 75 000 € pour une personne morale ». Une page CGV accessible et téléchargeable depuis le site satisfait donc l’obligation de communication, pourvu que le client professionnel puisse effectivement la conserver.
La jurisprudence récente précise comment ces conditions deviennent opposables. Le 22 janvier 2026, la cour d’appel de Douai a jugé, dans un litige entre une société cliente et son fournisseur de services télécoms, que « Ni l’article 1119 du code civil ni l’article L 441-1 du code de commerce n’imposent qu’il soit justifié, entre professionnels, d’une remise des conditions générales de vente applicables », et que « Seule leur communication, sur quelque support que ce soit, est exigée en application de l’article L. 441-1 du code de commerce », le texte ne prévoyant selon la cour qu’une sanction prononcée par l’administration en cas de manquement à l’obligation de communication (CA de Douai, 2e chambre section 2, 22 janvier 2026, RG n° 24/00745). En l’espèce, la cliente avait, « par la signature du présent bon de commande, accept[é] les conditions générales de ventes et particulières de services précisées ci-dessus, applicables dès signature du bon de commande » : la cour en déduit que le défaut d’acceptation invoqué après coup n’est pas établi, confirme le jugement et rejette la demande de réduction de la clause pénale. Le dirigeant qui achète en ligne retient la leçon miroir : signer un bon de commande qui renvoie aux CGV, c’est les accepter, y compris la clause pénale.
Le 6 octobre 2026, le tribunal de commerce de La Roche-sur-Yon a tranché le cas, fréquent sur les sites marchands entre professionnels, de l’acceptation par simple case à cocher : « Entre professionnel, une case cochée suffit à démontrer la prise de connaissance des conditions générales de vente dès lors que ces dernières sont accessibles », à condition que le processus contractuel du site permette réellement au client d’y accéder (TC de La Roche-sur-Yon, 6 octobre 2026, RG n° 2025006420). Le jugement condamne en outre le débiteur à « la somme de 40,00 € à titre d’indemnité de recouvrement telle que prévue à l’Article L.441-10 du Code de Commerce ». Ce montant de 40 euros n’est pas arbitraire : le décret d’application dispose que « Le montant de l’indemnité forfaitaire pour frais de recouvrement prévue au II de l’article L. 441-10 est fixé à 40 euros » (article D. 441-5 du code de commerce), et c’est l’article L. 441-10 lui-même qui impose aux conditions de vente de préciser les pénalités de retard et cette indemnité (article L. 441-10 du code de commerce). Des CGV muettes sur les pénalités et l’indemnité forfaitaire privent donc le créancier d’une arme automatique : faites-les figurer, avec le taux, dès la page du site.
Quand le site vend à des consommateurs, l’exigence change de nature : il faut informer avant que le client soit lié. L’article L. 111-1 du code de la consommation dispose : « Avant que le consommateur ne soit lié par un contrat à titre onéreux, le professionnel communique au consommateur, de manière lisible et compréhensible, les informations suivantes », au premier rang desquelles « Les informations relatives à l’identité du professionnel, à ses coordonnées postales, téléphoniques et électroniques et à ses activités, pour autant qu’elles ne ressortent pas du contexte » (article L. 111-1 du code de la consommation). Pour la vente en ligne, l’article L. 221-5 ajoute le contenu du contrat : « Préalablement à la conclusion d’un contrat de vente de biens ou de fourniture de services, de contenu numérique ou de services numériques, le professionnel fournit au consommateur, de manière lisible et compréhensible, les informations suivantes », dont « le prix », « La date à laquelle ou le délai dans lequel le professionnel s’engage à livrer le bien ou à fournir le service, le service numérique ou le contenu numérique », « Les informations relatives à son identité, à ses coordonnées postales, téléphoniques et électroniques, aux modalités de résiliation » et « aux modes de règlement des litiges » (article L. 221-5 du code de la consommation). Le manquement est sanctionné sans passer par le juge pénal : « Tout manquement aux obligations d’information précontractuelle mentionnées aux 1° à 4° et 6° de l’article L. 111-1 et aux articles L. 111-2 et L. 111-3 est passible d’une amende administrative dont le montant ne peut excéder 3 000 euros pour une personne physique et 15 000 euros pour une personne morale » (article L. 131-1 du code de la consommation). Un tunnel de commande qui masque l’identité du vendeur, le prix total ou les modalités de résiliation expose donc la société à 15 000 euros d’amende par manquement constaté, avant tout litige avec un client.
B. Cookies et e-mails commerciaux : le consentement préalable et ses preuves
Le bandeau cookies n’est pas un gadget : il conditionne la légalité de toute la mesure d’audience et de la publicité du site. L’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, relu sur Légifrance pour cet article (article 82 de la loi n° 78-17 du 6 janvier 1978), dispose : « Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant », d’abord « De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal », ensuite « Des moyens dont il dispose pour s’y opposer ». Puis le texte pose l’interdit : « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Seuls échappent au consentement les traceurs dont l’accès « a pour finalité exclusive de permettre ou faciliter la communication par voie électronique » ou est « strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur ». Un bouton « tout accepter » sans bouton « tout refuser » d’effet équivalent, un traceur publicitaire déposé avant le clic, une poursuite de navigation interprétée comme un oui : tout cela méconnaît le texte.
Le risque n’est pas théorique et il frappe aussi entre professionnels. Le 7 mai 2026, la cour d’appel de Douai a annulé le contrat par lequel une société avait fait créer son site par une agence web, au motif que le site collectait illégalement des données personnelles : « Dans ce contexte, la cour estime que le contrat conclu le 2 mars 2021 est nul pour erreur sur une qualité essentielle du site internet objet du contrat liant les parties, sans qu’il soit besoin de se pencher sur les autres moyens d’annulation de ce contrat soulevés par l’appelante » (CA de Douai, 2e chambre section 2, 7 mai 2026, RG n° 22/05075). Pour statuer, la cour rappelle d’abord le devoir d’information du code civil : « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant », et que « le manquement à ce devoir d’information peut entraîner l’annulation du contrat dans les conditions prévues aux articles 1130 et suivants » (article 1112-1 du code civil). Elle relève ensuite que la Commission nationale de l’informatique et des libertés « a donné aux responsables jusqu’au 31 mars 2021 pour mettre les sites concernés en conformité » et définit le cookie comme « un petit fichier informatique, un traceur, déposé et lu par exemple lors de la consultation d’un site internet ». Moralité pour le dirigeant qui commande un site : exiger du prestataire une attestation écrite de conformité traceurs, conserver le procès-verbal de recette qui la mentionne et refuser toute livraison dont le bandeau ne propose pas un refus effectif. À défaut, c’est le prix du site qui se trouve anéanti, avec les frais irrépétibles en sus : dans cette affaire, l’agence a été condamnée aux dépens et à verser 4 000 euros au titre de l’article 700 du code de procédure civile.
La prospection suit la même logique du oui préalable. L’article L. 34-5 du code des postes et des communications électroniques, relu sur Légifrance (article L. 34-5 du code des postes et des communications électroniques), dispose : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Les manquements « sont sanctionnés par une amende administrative, prononcée par l’autorité administrative chargée de la concurrence et de la consommation dans les conditions prévues au chapitre II du titre II du livre V du code de la consommation, dont le montant ne peut excéder 75 000 € pour une personne physique et 375 000 € pour une personne morale ». Le pénal n’est pas loin quand la base d’adresses elle-même est illicite : le 14 mars 2006, la chambre criminelle de la Cour de cassation a jugé « déloyal le fait de recueillir, à leur insu, des adresses électroniques personnelles de personnes physiques sur l’espace public d’internet, ce procédé faisant obstacle à leur droit d’opposition », et rejeté le pourvoi du prévenu condamné à 3 000 euros d’amende pour collecte frauduleuse (Cass. crim., 14 mars 2006, n° 05-83.423). Acheter un fichier d’adresses raclé sur le web expose donc à la fois l’amende administrative et la condamnation pénale : ne prospecter que des contacts dont le consentement est prouvé, tracé et conservé.
Dernier verrou du tunnel de vente : la sortie d’abonnement. Lorsqu’un contrat a été conclu par voie électronique, ou que le professionnel offre au jour de la résiliation la possibilité de conclure par voie électronique, l’article L. 215-1-1 du code de la consommation impose une résiliation en ligne : « la résiliation est rendue possible selon cette modalité », le professionnel « met à la disposition du consommateur une fonctionnalité gratuite permettant d’accomplir, par voie électronique, la notification et les démarches nécessaires à la résiliation du contrat » et, le consommateur notifié, il « lui confirme la réception de la notification et l’informe, sur un support durable et dans des délais raisonnables, de la date à laquelle le contrat prend fin et des effets de la résiliation » (article L. 215-1-1 du code de la consommation). Le bouton de résiliation doit être aussi accessible que le bouton de souscription, et chaque résiliation doit laisser une trace datée des deux côtés.
Conclusion
Le site internet de votre société doit afficher l’identité complète de l’éditeur et de l’hébergeur sous peine d’un an d’emprisonnement et de 75 000 euros d’amende pour le dirigeant, 375 000 euros pour la société. Il doit communiquer des conditions générales opposables, informer le consommateur avant qu’il soit lié et sanctionner le retard de paiement de ses clients professionnels. Il ne doit déposer aucun traceur non nécessaire sans consentement préalable prouvé, ne prospecter que des destinataires consentants et offrir une résiliation électronique aussi simple que la souscription. Chacun de ces points se vérifie en une heure : page de mentions à jour, CGV accessibles et cochées, bandeau cookies avec refus effectif, base de prospection opt-in, bouton de résiliation fonctionnel. À droit constant au 8 novembre 2026, c’est cette vérification qui sépare le site vitrine du site à risque.