Votre site internet est-il en règle ? Le guide de conformité pour une TPE

La conformité d'un site est un sujet qu'on repousse, parce qu'il n'apporte aucun client et qu'il semble réservé aux grandes entreprises. Cette seconde idée était à peu près vraie il y a cinq ans. Elle ne l'est plus.

Cet article passe en revue ce que la loi française exige réellement du site d'une TPE, avec les textes et les sanctions. Il dit aussi ce qu'elle n'exige pas, parce que la moitié du temps perdu sur ce sujet vient d'obligations imaginaires vendues par des prestataires pressés.

Pourquoi les petites structures ne sont plus hors radar

La CNIL a publié le 9 février 2026 son bilan des sanctions pour l'année 2025 : 83 sanctions prononcées, pour un montant total de 486 839 500 euros. Le chiffre spectaculaire vient de quelques dossiers de très grande ampleur, et ce n'est pas celui qui vous concerne.

Le chiffre qui vous concerne est le suivant : sur ces 83 sanctions, 67 ont été prononcées dans le cadre de la procédure simplifiée. Cette procédure, créée en 2022, traite les dossiers « ne présentant pas de difficulté juridique particulière ». Le président de la formation restreinte décide seul, et il peut prononcer un rappel à l'ordre, une injonction de mise en conformité « y compris sous astreinte d'un montant maximal de 100 € par jour de retard », et une « amende administrative d'un montant maximal de 20 000 € ».

Les trois premiers motifs sanctionnés en procédure simplifiée en 2025 sont instructifs, parce qu'aucun ne suppose de malveillance : 14 organismes pour une sécurisation insuffisante des données, avec des mots de passe faibles et des comptes partagés ; 14 pour n'avoir pas répondu aux demandes de la CNIL ; 14 pour n'avoir pas traité des demandes d'effacement, d'opposition ou d'accès.

Le deuxième motif mérite d'être souligné. Ne pas répondre à un courrier de la CNIL est en soi un manquement sanctionnable. Si vous ne devez retenir qu'une chose de cette section : un courrier de la CNIL se traite, même si vous n'avez pas encore la réponse de fond.

Les mentions légales, la page que tout le monde bâcle

C'est l'obligation la plus ancienne, la plus simple à satisfaire, et de très loin la plus sanctionnée sur le papier. Selon Service-Public.fr, tout site professionnel doit afficher, dans les conditions générales de vente ou dans une page dédiée :

• L'identité de l'entreprise : nom, prénom et adresse. Pour un entrepreneur individuel, y compris en micro-entreprise, les nom et prénom doivent être accompagnés de la mention « entrepreneur individuel » ou des initiales EI.
• Le numéro d'immatriculation au RCS.
• Un courriel et un numéro de téléphone pour contacter l'entreprise.
• Le numéro d'identification à la TVA.
• L'identité de l'hébergeur du site : nom ou dénomination sociale, adresse et numéro de téléphone.
• Pour une activité réglementée soumise à autorisation, le nom et l'adresse de l'autorité qui a délivré l'autorisation.

Les trois oublis les plus fréquents

L'hébergeur. C'est la mention qui manque presque toujours, parce que le dirigeant ne sait pas qui héberge son site. La réponse se trouve auprès de l'agence ou du prestataire qui l'a réalisé. Une page qui indique « hébergé par notre prestataire » ne satisfait pas l'obligation : il faut un nom, une adresse et un téléphone.

Le numéro de TVA intracommunautaire. Il est absent des sites de nombreuses entreprises qui en disposent pourtant. Il figure sur vos factures et se reconstitue à partir du SIREN.

La mention EI. Elle a été introduite avec le statut unique de l'entrepreneur individuel et beaucoup de sites créés avant n'ont jamais été mis à jour.

Le bandeau cookies : quand il est obligatoire, quand il ne l'est pas

Voici le point où le plus grand nombre de sites de TPE se trompent, dans les deux sens. Certains n'ont aucun bandeau alors qu'ils chargent un pixel publicitaire. D'autres affichent un bandeau agressif alors qu'ils n'ont rien à faire consentir.

Le cas où vous n'avez pas besoin de bandeau

La CNIL prévoit une exemption de consentement pour les outils de mesure d'audience, à conditions strictes. L'outil doit servir à « la seule mesure de l'audience du site ou de l'application », exclusivement pour le compte de l'éditeur, et produire « des données statistiques anonymes uniquement ».

S'y ajoutent les interdictions suivantes :

• ne pas croiser les données avec d'autres traitements ;
• ne pas transmettre les données non anonymes à des tiers ;
• ne pas permettre le suivi global de la navigation d'une personne sur différents sites ou applications ;
• ne pas utiliser un même identifiant à travers plusieurs sites.

La CNIL recommande par ailleurs d'informer les visiteurs dans la politique de confidentialité, de limiter la durée de vie des traceurs à treize mois et la conservation des données à vingt-cinq mois au maximum.

Ce qui déclenche l'obligation

À l'inverse, un bandeau conforme devient obligatoire dès que votre site dépose un traceur qui n'est pas strictement nécessaire au service. Les cas les plus courants sur un site de TPE sont un pixel publicitaire, une vidéo intégrée depuis une plateforme, une carte interactive tierce, un widget d'avis clients, ou un bouton de réseau social chargé directement par le réseau.

Le formulaire de contact est un traitement de données

Un formulaire qui collecte un nom, un téléphone et une description de chantier est un traitement de données personnelles. Cela n'impose pas une usine à gaz, mais quatre choses.

1. Informer au moment de la collecte : qui collecte, pourquoi, combien de temps les données sont conservées, et comment exercer ses droits. Une phrase sous le formulaire renvoyant vers la politique de confidentialité suffit.
2. Fixer une durée de conservation et s'y tenir. Un devis non signé n'a pas vocation à rester dix ans dans une boîte mail.
3. Tenir un registre des traitements. Le vôtre tient en une page : formulaire de contact, gestion des clients, éventuellement newsletter.
4. Savoir qui héberge et qui a accès. Votre hébergeur, votre outil d'emailing et votre logiciel de facturation sont des sous-traitants au sens du RGPD, avec un contrat qui doit le prévoir.

Le rappel du bilan CNIL vaut ici : le premier motif de sanction en procédure simplifiée est la sécurité insuffisante, avec des mots de passe faibles et des comptes partagés. Un compte administrateur de site partagé entre trois personnes avec le même mot de passe depuis 2019 est exactement le cas visé. La partie technique de ce sujet, mises à jour de sécurité et sauvegardes, fait partie de notre maintenance.

Les avis clients affichés sur votre site

Beaucoup de sites d'artisans et de restaurants recopient des avis sur leur page d'accueil. Dès lors que vous collectez, modérez ou diffusez des avis en ligne de consommateurs, l'article L111-7-2 du code de la consommation vous impose une information « loyale, claire et transparente sur les modalités de publication et de traitement des avis mis en ligne ». Cet article a été modifié par la loi du 21 mai 2024, dite loi SREN.

Le décret du 29 septembre 2017 précise ce qui doit être affiché à proximité des avis :

• l'existence ou non d'une procédure de contrôle des avis, et ses caractéristiques principales le cas échéant ;
• la date de publication de chaque avis, ainsi que celle de l'expérience de consommation ;
• les critères de classement des avis, parmi lesquels doit figurer le classement chronologique.

Dans une rubrique spécifique facilement accessible doivent également figurer l'existence ou non d'une contrepartie fournie en échange du dépôt d'avis, et le délai maximum de publication et de conservation d'un avis. Enfin, un consommateur dont l'avis n'est pas publié doit être informé des motifs du refus.

L'accessibilité : qui est vraiment concerné

C'est le sujet sur lequel circulent le plus d'approximations commerciales depuis un an, avec des courriers alarmistes envoyés à des entreprises qui ne sont pas concernées. Voici ce que dit la fiche pratique publiée par France Num, service de la Direction générale des entreprises.

« Depuis le 28 juin 2025, les sites e-commerce réalisés par les PME (sauf les microentreprises et TPE) doivent être accessibles aux personnes handicapées. » Cette obligation découle de la directive européenne 2019/882.

Le périmètre est précisé sans ambiguïté : sont soumises les PME de plus de 10 salariés dont le chiffre d'affaires ou le total du bilan dépasse 2 millions d'euros, dès lors qu'elles gèrent des services de commerce électronique destinés aux consommateurs. Un « service de commerce électronique » désigne les services fournis par voie électronique à la demande individuelle d'un consommateur en vue de conclure un contrat de consommation.

Pour les entreprises qui sont concernées, trois obligations s'ajoutent : rendre le service accessible, informer la DGCCRF en cas de non-conformité, et publier une page d'information sur l'accessibilité décrivant le service, la norme utilisée, les éventuelles exceptions et un moyen de contact en cas de difficulté d'utilisation.

Votre métier ajoute ses propres obligations

Le socle ci-dessus est commun à toutes les entreprises. Votre activité en ajoute, et elles se contrôlent sur le terrain bien plus souvent que le RGPD.

Pour la restauration, l'exemple le plus courant est l'information sur les allergènes. Les articles R412-12 à R412-16 du code de la consommation, issus du décret du 17 avril 2015, imposent que, dans les lieux où sont proposés des repas à consommer sur place, l'information soit portée à la connaissance du consommateur « sous forme écrite, de façon lisible et visible ». L'établissement peut afficher soit l'information elle-même, soit les modalités permettant d'y accéder, à condition que le consommateur puisse y accéder directement et librement. Une information donnée oralement par le serveur ne suffit pas.

Le réflexe à prendre pour les autres métiers est le même : chercher la fiche de votre activité sur Service-Public.fr avant de supposer. Les obligations d'affichage des prix, de mentions sur les documents commerciaux ou d'assurance obligatoire varient d'un secteur à l'autre, et un article générique ne peut pas les couvrir sans se tromper.

S'y ajoute, pour toutes les entreprises assujetties à la TVA, l'obligation de pouvoir recevoir ses factures fournisseurs au format électronique depuis le 1er septembre 2026. Elle ne concerne pas votre site, mais elle conditionne le choix de vos logiciels : le sujet est traité dans notre article sur les outils numériques d'un artisan du BTP et dans le guide complet de la facturation électronique.

Ce que coûte le fait de ne rien faire

Mais la sanction financière n'est pas le vrai risque pour une TPE. Le vrai risque est le litige avec un client qui découvre que votre site ne dit ni qui vous êtes ni comment vous joindre, et l'effet sur la confiance de quelqu'un qui compare trois entreprises avant d'appeler.

Le plan d'une demi-journée

1. Ouvrez votre page de mentions légales et comparez-la à la liste plus haut. Complétez l'hébergeur, le numéro de TVA et la mention EI si nécessaire. Une heure au plus.
2. Listez ce que votre site charge venant de l'extérieur : vidéo, carte, widget d'avis, pixel publicitaire. S'il n'y a rien, vous n'avez pas besoin de bandeau. S'il y a quelque chose, vérifiez que rien ne se charge avant le choix du visiteur.
3. Ajoutez une phrase sous votre formulaire de contact indiquant l'usage des données, la durée de conservation et le renvoi vers votre politique de confidentialité.
4. Écrivez votre registre des traitements sur une page. Formulaire, clients, newsletter. Datez-le.
5. Changez les mots de passe partagés de votre site et de vos outils, et donnez un compte par personne. C'est le premier motif de sanction, et c'est gratuit.
6. Vérifiez vos avis : soit vous renvoyez vers la fiche d'établissement, soit vous ajoutez les mentions exigées à proximité des avis recopiés.

Si vous préférez faire vérifier l'ensemble plutôt que de le passer en revue vous-même, notre audit gratuit regarde ces points en même temps que la partie technique et le référencement. Et si votre site date d'avant ces obligations, nos formules au mois incluent la mise à jour de ces pages.

Questions fréquentes

Écrit par

Youness Benakkaf

Co-fondateur, concepteur-développeur web · Niyya Agency

Il conçoit et code la totalité de ce que nous livrons. Pas d’équipe intermédiaire, pas de sous-traitance : ce que vous recevez, c’est lui qui l’a construit.

Qui sommes-nousLinkedIn