Les mentions légales identifient l’éditeur du site. Elles sont obligatoires pour tout site professionnel dès sa mise en ligne, quel que soit le statut juridique, et doivent rester accessibles depuis chaque page.

La politique de confidentialité ne se confond pas avec les mentions légales, même si les deux sont souvent regroupées par commodité sur une même page. Elle devient obligatoire dès qu’un site collecte une donnée personnelle — un formulaire de contact, une inscription à une newsletter, ou même un simple outil de mesure d’audience comme Google Analytics suffisent à déclencher l’obligation.

Une donnée personnelle, au sens du RGPD, couvre tout ce qui permet d’identifier quelqu’un directement ou indirectement : un nom, un e-mail, un numéro de téléphone, une adresse IP.

Tout cookie non strictement nécessaire au fonctionnement du site exige un consentement explicite avant d’être déposé. Cette règle concerne les cookies publicitaires, ceux des réseaux sociaux, et la plupart des outils de mesure d’audience.

Le consentement doit être libre, spécifique, éclairé et sans ambiguïté. Concrètement, cela veut dire qu’un visiteur doit pouvoir refuser aussi facilement qu’accepter, et qu’aucun cookie non essentiel ne se dépose avant qu’il ait fait son choix.

Certaines obligations, souvent citées en même temps que le RGPD, ne s’appliquent qu’à des situations précises et pas à un site vitrine standard.

Contrairement aux quatre points précédents, le registre des traitements ne se publie pas sur le site. C’est un document interne, qui liste les données personnelles traitées, leur finalité, et les mesures prises pour les protéger.

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle est applicable. C’est un texte à part du RGPD, qui porte sur la transparence des contenus produits ou modifiés par IA, et non sur les données personnelles. Il s’applique sans seuil de taille ni d’effectif : un site tenu par une seule personne relève du même texte qu’un grand groupe.

Concrètement, trois situations déclenchent l’obligation sur un site professionnel : un chatbot ou un assistant conversationnel doit s’identifier comme tel dès le premier message, une image ou une vidéo générée par IA doit être signalée comme telle, et un texte à visée informative généré par IA doit être annoncé au public.

Les contenus déjà publiés avant le 2 août 2026 n’ont pas à être signalés rétroactivement. En revanche, tout contenu généré par IA publié après cette date doit respecter la règle, même s’il avait été préparé avant.

Sur la question plus large de la place de l’IA dans la création d’un site — textes, images, code — voir Créer son site avec ou sans IA : le pour et le contre.

Le RGAA, référentiel qui impose l’accessibilité d’un site aux personnes en situation de handicap, s’applique au secteur public et aux entreprises privées dont le chiffre d’affaires dépasse 250 millions d’euros en France. Un site vitrine standard n’entre pas dans ce périmètre.

Un second texte est venu compléter ce cadre : l’European Accessibility Act, entré en application le 28 juin 2025. Il abaisse le seuil pour certaines entreprises privées qui vendent un service numérique à des particuliers, e-commerce en tête, dès qu’elles dépassent 10 salariés ou 2 millions d’euros de chiffre d’affaires.

Un site vitrine qui met en avant des avis clients — Google, ou une section dédiée sur le site — est concerné par une obligation depuis 2023 : préciser si ces avis sont vérifiés, et selon quelle méthode de vérification.