# Documents juridiques obligatoires : le tableau selon votre activité (2026)

> Tout site professionnel doit afficher des mentions légales, et toute entreprise qui traite des données de clients doit informer les personnes (politique de confidentialité) et tenir un registre des traitements. Vendre en ligne à des particuliers ajoute l’information précontractuelle (CGV), le médiateur de la consommation et, depuis le 19 juin 2026, une fonctionnalité de rétractation. Dès le premier salarié s’ajoutent le document unique d’évaluation des risques, le registre unique du personnel et les affichages obligatoires ; le règlement intérieur vient douze mois après le seuil de 50 salariés.

Source : https://legalnest.io/guides/documents-obligatoires-entreprise/
Mis à jour le 7 octobre 2026. Vérifié avec les textes en vigueur au 07/10/2026.
Information générale, pas un conseil juridique personnalisé.

En octobre 2024, la CNIL a [annoncé](https://www.cnil.fr/fr/onze-nouvelles-sanctions-procedure-simplifiee) avoir sanctionné « deux sociétés de moins de 250 employés pour absence de registre des activités de traitement ». Pas une fuite de données : un document interne absent. On pense aux mentions légales parce qu’elles se voient, on oublie ce qui ne se voit pas, et la liste change selon que vous vendez à des particuliers, éditez un logiciel, facturez des entreprises ou embauchez. Voici la matrice complète, profil par profil, avec le texte qui fonde chaque case.

## Quels documents juridiques sont obligatoires pour une entreprise ?

Trois documents concernent presque toute entreprise qui a un site : mentions légales, politique de confidentialité et registre des traitements. Le reste dépend de l’activité : CGV, médiateur et rétractation en ligne pour la vente aux particuliers, DPA dès qu’un tiers traite des données pour le compte d’un autre, documents employeur dès le premier salarié.

Les quatre premières colonnes décrivent une entreprise sans salarié. La cinquième s’ajoute à votre profil dès la première embauche.

| Document | Site vitrine | E-commerce B2C | SaaS / logiciel B2B | Freelance ou prestataire B2B | Avec salariés (en plus) |
|---|---|---|---|---|---|
| Mentions légales | Obligatoire | Obligatoire | Obligatoire | Obligatoire (si site) | Selon activité |
| Politique de confidentialité | Obligatoire en pratique | Obligatoire | Obligatoire | Obligatoire en pratique | Information des salariés |
| Bandeau et politique de cookies | Selon cas | Selon cas | Selon cas | Selon cas | Selon activité |
| Registre des traitements | Obligatoire en pratique | Obligatoire | Obligatoire (deux registres) | Obligatoire en pratique | Obligatoire (paie, RH) |
| Contrat de sous-traitance (DPA) | Selon cas | Obligatoire | Obligatoire | Selon cas | Selon cas |
| CGV | Selon cas | Obligatoire en pratique | Recommandé, à communiquer sur demande | Recommandé, à communiquer sur demande | Selon activité |
| CGU | Non | Recommandé | Recommandé | Non | Selon activité |
| Médiateur de la consommation | Selon cas | Obligatoire | Non | Non | Selon activité |
| Fonctionnalité de rétractation | Non | Obligatoire | Non | Non | Selon activité |
| Document unique (DUERP) | Non | Non | Non | Non | Obligatoire |
| Registre unique du personnel | Non | Non | Non | Non | Obligatoire |
| Affichages obligatoires | Non | Non | Non | Non | Obligatoire |
| Règlement intérieur | Non | Non | Non | Non | À partir de 50 salariés |

**Comment lire les cases.** « Obligatoire » : un texte l’impose. « Obligatoire en pratique » : l’obligation dépend d’une condition que presque tout le monde remplit (collecter des données, traiter de façon non occasionnelle). « Selon cas » : elle dépend d’un fait expliqué plus bas. « Recommandé » : aucun texte ne l’impose, mais il protège.

Pour votre propre liste, le [diagnostic gratuit des obligations](https://app.legalnest.io/tools/obligations) part de votre SIREN (facultatif), de votre effectif et de quelques questions, et cite pour chaque ligne le texte qui la fonde.

## Sur quels textes repose chaque case du tableau ?

Chaque case repose sur un texte : LCEN, [RGPD](https://eur-lex.europa.eu/eli/reg/2016/679/oj), loi Informatique et Libertés, Code de la consommation, Code de commerce ou Code du travail.

| Document | Texte | Quand c’est obligatoire |
|---|---|---|
| Mentions légales | [LCEN, art. 1-1](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000049568614) | Tout site édité à titre professionnel |
| Politique de confidentialité | [RGPD, art. 13 et 14](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3) | Dès que vous collectez des données personnelles |
| Bandeau et politique de cookies | [Loi n° 78-17, art. 82](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978) | Dès qu’un traceur non exempté est déposé : consentement préalable et information |
| Registre des traitements | [RGPD, art. 30](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4) | Tout traitement non occasionnel, quelle que soit la taille |
| Contrat de sous-traitance (DPA) | [RGPD, art. 28](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4) | Dès qu’un prestataire traite des données pour vous, ou vous pour un client |
| CGV aux particuliers | [C. conso., L111-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044142438) et [L221-5](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000053310511) | Information précontractuelle, détaillée pour la vente à distance |
| CGV entre professionnels | [C. com., L441-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038414469) et [L441-10](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038414392) | Pas obligatoires ; à communiquer sur demande si elles existent ; mentions de paiement obligatoires |
| CGU | [C. civ., art. 1119](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032040866) | Aucun texte ne les impose ; opposables seulement si acceptées |
| Médiateur de la consommation | [C. conso., L612-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224805) et [L616-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224762) | Tout professionnel qui contracte avec des consommateurs |
| Fonctionnalité de rétractation | [C. conso., L221-21](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000053310520) | Contrats conclus à distance via une interface en ligne, depuis le 19 juin 2026 |
| DUERP | [C. trav., L4121-3-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043893919) et [R4121-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000023795562) | Dès le premier salarié |
| Registre unique du personnel | [C. trav., L1221-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000033971569) | Tout établissement qui emploie des salariés |
| Affichages obligatoires | [C. trav., D4711-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000018527636) et textes cités par [Entreprendre Service Public](https://entreprendre.service-public.gouv.fr/vosdroits/F23106) | Dès le premier salarié, liste enrichie à 11 puis 50 salariés |
| Règlement intérieur | [C. trav., L1311-2](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038610176) | 12 mois après avoir atteint 50 salariés |

Depuis la loi SREN de 2024, c’est l’article 1-1 de la LCEN, et non plus l’article 6, qui fonde les [mentions légales d’un site internet](/guides/mentions-legales-site-internet/).

## De quels documents ai-je besoin pour mon site internet ?

Un site vitrine qui ne vend rien a besoin de mentions légales, d’une politique de confidentialité dès qu’il a un formulaire ou une mesure d’audience, et d’un bandeau seulement s’il dépose des traceurs soumis au consentement. Chaque activité ajoutée (vente, comptes clients, embauche) apporte ses documents.

```mermaid
flowchart TD
  A["Vous avez un site professionnel"] --> B["Mentions légales, confidentialité, registre"]
  B --> C{"Traceurs non exemptés ?"}
  C -->|Oui| D["Bandeau et politique cookies"]
  C -->|Non| E{"Vente en ligne à des particuliers ?"}
  D --> E
  E -->|Oui| F["CGV, médiateur, rétractation en ligne"]
  E -->|Non| G{"Au moins un salarié ?"}
  F --> G
  G -->|Oui| H["DUERP, registre du personnel, affichages"]
  H --> I{"50 salariés depuis 12 mois ?"}
  I -->|Oui| J["Règlement intérieur"]
```

Prenons un plombier dont le site propose un formulaire de devis. Mentions légales : oui. Politique de confidentialité : oui, le formulaire collecte des données. Registre : oui, il gère un fichier clients. Bandeau : seulement s’il ajoute un traceur soumis au consentement, comme un pixel publicitaire ou un outil de mesure d’audience non exempté ([loi n° 78-17, art. 82](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978)) ; les règles sont dans notre guide du [bandeau cookies conforme CNIL](/guides/bandeau-cookies-cnil/). Médiateur : oui, car il travaille pour des particuliers ; l’obligation de l’[article L612-1 du Code de la consommation](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224805) ne dépend pas du site mais de la clientèle.

**Avec Legalnest** : Legalnest propose des modèles personnalisés par questionnaire pour les documents du site (mentions légales, politique de confidentialité, politique de cookies, CGU, CGV) et les documents RGPD (registre des traitements, DPA, procédure de violation de données, politique de conservation). Son **score de conformité** liste ce qui vous manque à partir de six questions : collecte de données, cookies, comptes utilisateurs, vente en ligne, sous-traitants, données sensibles ou à grande échelle. Il suit l’état de vos documents dans Legalnest ; il ne scanne pas votre site. [Voir les plans](/tarification/).

## Quels documents pour un site e-commerce qui vend à des particuliers ?

Une boutique en ligne cumule le socle de tout site et les règles de la vente à distance : CGV complètes, médiateur, fonctionnalité de rétractation en ligne et DPA avec ses prestataires (plateforme, paiement, e-mailing).

La micro-entrepreneuse qui vend des bougies sur Shopify n’échappe à aucune ligne. Ses CGV regroupent les informations que l’[article L221-5](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000053310511) impose avant la commande : identité, prix, délais, conditions de rétractation avec le formulaire type, garanties légales, médiateur. La fiche [Entreprendre Service Public sur les CGV](https://entreprendre.service-public.gouv.fr/vosdroits/F33527) les présente comme obligatoires face à des particuliers. Le détail est dans notre guide [CGV : obligatoires ou pas ?](/guides/cgv-obligatoires/).

Depuis le 19 juin 2026, l’[article L221-21](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000053310520) lui impose aussi une fonctionnalité gratuite pour se rétracter en ligne, et son information précontractuelle, en pratique ses CGV, doit en indiquer l’existence et l’emplacement ([L221-5, 7°](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000053310511)). Des CGV rédigées avant cette date sont incomplètes ; voyez notre guide du [bouton de rétractation](/guides/bouton-retractation/).

Les coordonnées du médiateur doivent être communiquées au consommateur ([art. L616-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224762)) : sur le site, dans les CGV et sur les bons de commande, précise [Entreprendre Service Public](https://entreprendre.service-public.gouv.fr/vosdroits/F33338).

## Quels documents pour un SaaS ou un logiciel vendu aux entreprises ?

Un éditeur SaaS B2B a besoin des mentions légales, de sa politique de confidentialité et de son registre, mais surtout d’un contrat de sous-traitance (DPA) à proposer à ses clients : il traite pour leur compte les données qu’ils chargent dans l’outil. Ses CGV ne sont pas imposées, mais si elles existent, il doit les communiquer à tout client qui les demande.

Le cœur du sujet est l’article 28 du RGPD :

**Ce que dit la loi**

> Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. […]
>
> Source : [RGPD, art. 28, paragraphe 3](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4)

L’éditeur d’un logiciel de planning pour PME occupe donc deux positions. Pour ses prospects et clients, il est responsable de traitement (registre de l’article 30, paragraphe 1). Pour les plannings des salariés de ses clients, il est sous-traitant : DPA avec chaque client et second registre des activités « effectuées pour le compte du responsable du traitement » (article 30, paragraphe 2, sur la [page du RGPD de la CNIL](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4)). Son hébergeur cloud est un sous-traitant ultérieur, qu’il ne peut recruter « sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement » (article 28, paragraphe 2) : d’où la liste annexée au DPA.

## Quels documents pour un freelance ou un prestataire B2B ?

Un freelance qui ne travaille que pour des entreprises a besoin de mentions légales s’il a un site, d’une information RGPD et d’un registre. Ses CGV sont facultatives, mais ses conditions de règlement contiennent les mentions de paiement, et un DPA s’impose s’il traite des données pour un client.

Un développeur en SASU qui intervient sur la base clients d’une boutique en ligne est sous-traitant de cette boutique : le DPA de l’article 28 est obligatoire, que le client le propose ou non. Un consultant en stratégie qui ne touche aucune donnée de son client n’en a pas besoin.

L’[article L441-1 du Code de commerce](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038414469) oblige seulement à communiquer les CGV qui existent au client pro qui les demande. Joignez-les au devis et faites-les accepter, sinon elles n’ont pas d’effet ([C. civ., art. 1119](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032040866)).

## Quels documents sont obligatoires dès le premier salarié ?

Dès la première embauche : le document unique d’évaluation des risques professionnels (DUERP), le registre unique du personnel et les affichages obligatoires. Le règlement intérieur ne devient obligatoire qu’au terme de douze mois après le franchissement du seuil de cinquante salariés.

| Document | Dès 1 salarié | À partir de 11 salariés | À partir de 50 salariés | Source |
|---|---|---|---|---|
| DUERP | Établi, mis à jour à chaque changement important | Mise à jour au moins annuelle | Programme annuel de prévention | [R4121-2](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000045386446), [L4121-3-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043893919) |
| Registre unique du personnel | Ouvert dès l’embauche | Idem | Idem | [L1221-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000033971569), [fiche F1784](https://entreprendre.service-public.gouv.fr/vosdroits/F1784) |
| Affichages et informations obligatoires | À afficher : inspection du travail, médecin du travail, secours, consignes de sécurité et d’incendie, horaires collectifs, accès au DUERP ; par tout moyen : congés payés, harcèlement, discriminations | Affichage de la liste des membres du CSE | Par tout moyen : règlement intérieur, index égalité si pas de site internet, accord de participation | [D4711-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000018527636), [fiche F23106](https://entreprendre.service-public.gouv.fr/vosdroits/F23106) |
| Règlement intérieur | Non | Non | Oui, 12 mois après le seuil | [L1311-2](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038610176) |

**Le DUERP.** L’employeur y transcrit les résultats de l’évaluation des risques, avec un inventaire des risques par unité de travail ([art. R4121-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000023795562)). Il est dû dès le premier salarié ([fiche officielle](https://entreprendre.service-public.gouv.fr/vosdroits/F35360), vérifiée le 22 juillet 2026). Le document et ses versions antérieures se conservent quarante ans ([art. R4121-4](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000045386451)).

**Le registre unique du personnel.** Les salariés y sont inscrits dans l’ordre des embauches, « au moment de l’embauche et de façon indélébile », et les stagiaires dans une partie spécifique ([art. L1221-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000033971569)). Selon la [fiche officielle](https://entreprendre.service-public.gouv.fr/vosdroits/F1784), il peut être tenu sur support numérique, après consultation du CSE.

**Les affichages.** Certaines informations s’affichent, d’autres se communiquent « par tout moyen », par exemple sur l’intranet, selon la [fiche Entreprendre Service Public](https://entreprendre.service-public.gouv.fr/vosdroits/F23106) vérifiée le 8 juillet 2026.

**Le règlement intérieur.**

**Ce que dit la loi**

> L’établissement d’un règlement intérieur est obligatoire dans les entreprises ou établissements employant au moins cinquante salariés.
> 
> L’obligation prévue au premier alinéa s’applique au terme d’un délai de douze mois à compter de la date à laquelle le seuil de cinquante salariés a été atteint, conformément à l’article L. 2312-2. […]
>
> Source : [Code du travail, art. L1311-2](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038610176)

Il est soumis à l’avis du CSE, communiqué à l’inspecteur du travail en même temps qu’il fait l’objet des mesures de publicité, et entre en vigueur au moins un mois après ces formalités ([art. L1321-4](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000054140230)). Dans sa version en vigueur depuis le 28 mai 2026, cet article ne prévoit plus de dépôt au greffe du conseil de prud’hommes.

Les salariés sont aussi des personnes dont vous traitez les données : la paie et la gestion du personnel entrent dans votre registre, comme l’explique notre guide du [registre des traitements RGPD](/guides/registre-traitements-rgpd/).

## Quelle différence entre un document obligatoire et un document recommandé ?

Un document est obligatoire quand un texte l’impose ; il est recommandé quand aucun texte ne l’exige mais qu’il vous protège en cas de litige. Les CGV entre professionnels et les CGU en sont les deux exemples types.

| Situation | Statut | Ce que la loi exige vraiment |
|---|---|---|
| CGV entre professionnels | Recommandé | Les communiquer sur demande si elles existent (L441-1) ; mentions de paiement dans les conditions de règlement (L441-10) |
| CGU | Recommandé | Rien, mais sans acceptation elles ne vous protègent pas (C. civ., 1119) |
| DPA avec un grand prestataire | Obligatoire | Un contrat conforme à l’article 28 ; les conditions standard du prestataire en tiennent souvent lieu, encore faut-il les avoir vérifiées |

Et le registre n’est pas facultatif sous 250 salariés. La CNIL est explicite : doivent y figurer « les traitements non occasionnels (exemple : gestion de la paie, gestion des clients/prospects et des fournisseurs, etc.) », selon [sa page consacrée au registre](https://www.cnil.fr/fr/RGDP-le-registre-des-activites-de-traitement).

## Que risque-t-on sans ces documents ?

De 750 € par salarié pour un registre du personnel absent à un an d’emprisonnement et 75 000 € d’amende pour un éditeur de site non identifié, et jusqu’à 4 % du chiffre d’affaires mondial en matière de RGPD. Ce sont des plafonds, pas des tarifs.

| Manquement | Texte | Plafond personne physique | Plafond société |
|---|---|---|---|
| Éditeur du site non identifié | [LCEN, art. 1-2](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000049568616) | 1 an d’emprisonnement et 75 000 € | 375 000 € |
| Information de la vente à distance (CGV B2C) | [C. conso., L242-10](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044563241) | 15 000 € | 75 000 € |
| Fonctionnalité de rétractation absente | [C. conso., L242-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044563232) | 15 000 € | 75 000 € |
| Coordonnées du médiateur non communiquées | [C. conso., L641-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224624) | 3 000 € | 15 000 € |
| CGV non communiquées à un acheteur pro | [C. com., L441-1, IV](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038414469) | 15 000 € | 75 000 € |
| Pénalités et indemnité absentes des conditions de règlement | [C. com., L441-16](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043750778) | 75 000 € | 2 000 000 € |
| Information des personnes (RGPD, art. 13 et 14) | [RGPD, art. 83.5](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8) | 20 M€ ou 4 % du CA mondial | 20 M€ ou 4 % du CA mondial |
| Registre ou DPA (RGPD, art. 28 et 30) | [RGPD, art. 83.4](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8) | 10 M€ ou 2 % du CA mondial | 10 M€ ou 2 % du CA mondial |
| Traceurs sans consentement | [Loi n° 78-17, art. 20](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037822794) | 10 M€ ou 2 % du CA mondial | 10 M€ ou 2 % du CA mondial |
| DUERP absent ou pas à jour | [C. trav., R4741-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000018527390) | 1 500 € (3 000 € en récidive) | 7 500 € (15 000 € en récidive) |
| Registre unique du personnel | [C. trav., R1227-7](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000030422217) | 750 € par salarié concerné | 3 750 € par salarié concerné |
| Règlement intérieur | [C. trav., R1323-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037899552) | 750 € | 3 750 € |

Pour une société, l’amende pénale de la LCEN est quintuplée ([C. pénal, 131-38](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417334)). Les contraventions de 4e et 5e classe sont plafonnées à 750 € et 1 500 € ([C. pénal, 131-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417259)), quintuplées pour une société ([131-41](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417342)) ; la récidive pour le DUERP suit la [fiche officielle](https://entreprendre.service-public.gouv.fr/vosdroits/F35360). Pour le RGPD et les traceurs, le plafond retenu est le plus élevé des deux montants. La CNIL peut aussi passer par une procédure simplifiée, dont l’amende ne dépasse pas 20 000 €, ou 100 000 € si le chiffre d’affaires annuel mondial dépasse 50 millions d’euros ([loi n° 78-17, art. 22-1](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000054142442)) : c’est par elle que sont passées les deux sanctions pour absence de registre citées plus haut. Voyez notre panorama des [sanctions de la CNIL](/guides/sanctions-cnil/).

## Quelles sont les erreurs les plus fréquentes ?

Les plus courantes : se croire trop petit pour le registre ou le DUERP, citer un article périmé, copier les CGV d’un concurrent, publier un bandeau sans refus et vendre un SaaS sans DPA.

**Six erreurs qui reviennent**

**« Je suis trop petit pour le registre. »** L’exemption de l’article 30.5 tombe dès qu’un traitement n’est pas occasionnel : votre fichier clients suffit.

**« Conformément à l’article 6-III de la LCEN… »** C’est l’article 1-1 depuis la loi SREN : la page n’a pas été relue depuis 2024.

**Les CGV d’un concurrent.** Elles citent son médiateur, ses exclusions de rétractation, et datent souvent d’avant le 19 juin 2026.

**Le bandeau sans bouton de refus.** La CNIL exige qu’il soit [aussi facile de refuser que d’accepter](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/FAQ) les traceurs.

**Le SaaS sans DPA.** L’article 28 exige un contrat entre vos clients et vous : sans lui, ni eux ni vous n’êtes en règle.

**Le DUERP « quand on sera plus grands ».** Il est dû dès le premier salarié.

Pour voir où en sont les boutiques en ligne, consultez notre [étude sur la conformité des sites e-commerce en 2026](/guides/etude-conformite-sites-ecommerce-2026/).

## Quelle checklist suivre selon mon activité ?

Cochez la liste de votre profil, puis celle de l’employeur si vous avez un salarié. Pour vérifier ce que voit un visiteur, lancez l’[audit gratuit de votre site](https://app.legalnest.io/tools/website-audit) ou le [quiz de conformité](/guides/quiz-conformite-site/).

**Site vitrine**

- [ ] **Mentions légales** à jour (LCEN, art. 1-1), accessibles depuis chaque page
- [ ] **Politique de confidentialité** dès qu’un formulaire, une newsletter ou une mesure d’audience collecte des données
- [ ] **Bandeau** avec bouton de refus si un traceur non exempté est déposé
- [ ] **Registre des traitements** : contacts, devis, clients
- [ ] **Médiateur de la consommation** si vous travaillez pour des particuliers

**E-commerce B2C**

- [ ] **Mentions légales** à jour (LCEN, art. 1-1)
- [ ] **CGV** reprenant l’information de l’article L221-5, acceptées avant le paiement
- [ ] **Fonctionnalité de rétractation** en ligne et son emplacement indiqué dans les CGV
- [ ] Coordonnées du **médiateur** sur le site, dans les CGV et les bons de commande
- [ ] Politique de confidentialité, bandeau et politique de cookies si traceurs
- [ ] Registre des traitements et **DPA** avec la plateforme, le paiement et l’e-mailing

**SaaS ou logiciel B2B**

- [ ] Mentions légales et politique de confidentialité
- [ ] **DPA** proposé à chaque client, avec la liste de vos sous-traitants ultérieurs
- [ ] **Deux registres** : responsable de traitement et sous-traitant (art. 30.1 et 30.2)
- [ ] **CGU** pour les comptes, CGV ou conditions d’abonnement communicables sur demande
- [ ] Pénalités de retard et **indemnité de 40 €** ([art. D441-5](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043197457)) dans les conditions de règlement

**Freelance ou prestataire B2B**

- [ ] Mentions légales si vous avez un site
- [ ] Politique de confidentialité si vous collectez des données de prospects
- [ ] Registre des traitements : clients, prospects, facturation
- [ ] **DPA** dès que vous traitez des données personnelles pour un client
- [ ] Conditions générales jointes au devis et acceptées, avec les mentions de paiement

**Employeur, en plus de votre profil**

- [ ] **DUERP** établi dès le premier salarié, mis à jour au moins chaque année à partir de 11 salariés
- [ ] **Registre unique du personnel** ouvert à la première embauche
- [ ] **Affichages** : médecin du travail, inspection du travail, secours, consignes de sécurité et d’incendie, horaires collectifs, accès au DUERP ; congés payés, harcèlement et discriminations communiqués par tout moyen
- [ ] Paie et gestion du personnel inscrites au **registre des traitements**
- [ ] **Règlement intérieur** au terme de 12 mois après le seuil de 50 salariés

Pour une liste à votre mesure, lancez le [diagnostic des obligations](https://app.legalnest.io/tools/obligations) ; les autres [outils gratuits](/outils/) contrôlent vos mentions légales et vos cookies.

## Questions fréquentes

### Quels documents juridiques sont obligatoires pour un site internet professionnel ?

Tout site professionnel doit afficher des mentions légales identifiant l’éditeur, le directeur de la publication et l’hébergeur (article 1-1 de la LCEN). Dès qu’il collecte des données (formulaire, mesure d’audience, comptes), il lui faut une politique de confidentialité au sens des articles 13 et 14 du RGPD. Le bandeau cookies n’est requis que pour des traceurs non exemptés, et les CGV, le médiateur et la fonctionnalité de rétractation dès qu’on vend en ligne à des particuliers.

### Un auto-entrepreneur doit-il avoir des documents juridiques sur son site ?

Oui : les textes visent le professionnel, quel que soit son statut. Un micro-entrepreneur doit afficher des mentions légales, informer les personnes dont il collecte les données et, en pratique, tenir un registre des traitements, puisque la gestion de ses clients n’est pas un traitement occasionnel. S’il vend en ligne à des particuliers, il lui faut aussi des CGV complètes, un médiateur de la consommation et une fonctionnalité de rétractation.

### Les CGU sont-elles obligatoires ?

Aucun texte n’impose un document intitulé « CGU ». Elles restent fortement recommandées dès que des utilisateurs créent un compte ou publient des contenus, car ce sont elles qui fixent les règles d’accès, de suspension et de responsabilité. Comme toutes conditions générales, elles ne s’appliquent que si l’utilisateur en a eu connaissance et les a acceptées (article 1119 du Code civil).

### Quels documents sont obligatoires dès le premier salarié ?

Dès la première embauche, l’employeur doit établir le document unique d’évaluation des risques professionnels, ouvrir le registre unique du personnel et procéder aux affichages obligatoires (inspection du travail, médecin du travail, secours, consignes de sécurité, horaires collectifs, entre autres). Le document unique est mis à jour au moins une fois par an à partir de onze salariés et conservé quarante ans. Le règlement intérieur ne devient obligatoire qu’au terme de douze mois après le franchissement du seuil de cinquante salariés.

### Les CGV sont-elles obligatoires entre professionnels ?

Non. Le Code de commerce oblige seulement celui qui a établi des CGV à les communiquer à tout acheteur professionnel qui les demande, sur un support durable (article L441-1). En revanche, les conditions de règlement doivent mentionner le taux des pénalités de retard et l’indemnité forfaitaire pour frais de recouvrement (article L441-10), sous peine d’une amende administrative plafonnée à 2 millions d’euros pour une société.

### Le registre des traitements RGPD est-il obligatoire pour une petite entreprise ?

Presque toujours. L’article 30.5 du RGPD dispense les structures de moins de 250 salariés, mais seulement pour des traitements occasionnels, sans risque et sans données sensibles ; la gestion des clients, des prospects ou de la paie suffit à faire tomber l’exemption. La CNIL a annoncé en octobre 2024 avoir sanctionné deux sociétés de moins de 250 salariés pour absence de registre.


## Sources

- [Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, art. 1-1](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000049568614) (Légifrance)
- [Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, art. 1-2](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000049568616) (Légifrance)
- [Code de la consommation, art. L111-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044142438) (Légifrance)
- [Code de la consommation, art. L221-5](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000053310511) (Légifrance)
- [Code de la consommation, art. L221-21](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000053310520) (Légifrance)
- [Code de la consommation, art. L242-10](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044563241) (Légifrance)
- [Code de la consommation, art. L242-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044563232) (Légifrance)
- [Code de la consommation, art. L612-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224805) (Légifrance)
- [Code de la consommation, art. L616-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224762) (Légifrance)
- [Code de la consommation, art. L641-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032224624) (Légifrance)
- [Code de commerce, art. L441-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038414469) (Légifrance)
- [Code de commerce, art. L441-10](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038414392) (Légifrance)
- [Code de commerce, art. L441-16](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043750778) (Légifrance)
- [Code de commerce, art. D441-5](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043197457) (Légifrance)
- [Code civil, art. 1119](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000032040866) (Légifrance)
- [Règlement (UE) 2016/679 (RGPD), art. 12 à 14 : transparence et informations à fournir](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3) (CNIL)
- [Règlement (UE) 2016/679 (RGPD), art. 28 et 30 : sous-traitant et registre des activités de traitement](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4) (CNIL)
- [Règlement (UE) 2016/679 (RGPD), art. 83 : amendes administratives](https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre8) (CNIL)
- [Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016](https://eur-lex.europa.eu/eli/reg/2016/679/oj) (EUR-Lex)
- [Le registre des activités de traitement](https://www.cnil.fr/fr/RGDP-le-registre-des-activites-de-traitement) (CNIL)
- [La CNIL a prononcé ces trois derniers mois onze nouvelles sanctions dans le cadre de la procédure simplifiée](https://www.cnil.fr/fr/onze-nouvelles-sanctions-procedure-simplifiee) (CNIL)
- [Questions-réponses sur les lignes directrices modificatives et la recommandation « cookies et autres traceurs » de la CNIL](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/FAQ) (CNIL)
- [Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, art. 82](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037813978) (Légifrance)
- [Loi n° 78-17 du 6 janvier 1978, art. 20 (mesures correctrices et plafonds d’amende)](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037822794) (Légifrance)
- [Loi n° 78-17 du 6 janvier 1978, art. 22-1 (procédure simplifiée), version en vigueur depuis le 28 mai 2026](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000054142442) (Légifrance)
- [Code du travail, art. L4121-3-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043893919) (Légifrance)
- [Code du travail, art. R4121-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000023795562) (Légifrance)
- [Code du travail, art. R4121-2](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000045386446) (Légifrance)
- [Code du travail, art. R4121-4](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000045386451) (Légifrance)
- [Code du travail, art. R4741-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000018527390) (Légifrance)
- [Code du travail, art. L1221-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000033971569) (Légifrance)
- [Code du travail, art. R1227-7](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000030422217) (Légifrance)
- [Code du travail, art. D4711-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000018527636) (Légifrance)
- [Code du travail, art. L1311-2](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000038610176) (Légifrance)
- [Code du travail, art. L1321-4 (version en vigueur depuis le 28 mai 2026)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000054140230) (Légifrance)
- [Code du travail, art. R1323-1](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037899552) (Légifrance)
- [Code pénal, art. 131-13](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417259) (Légifrance)
- [Code pénal, art. 131-38](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417334) (Légifrance)
- [Code pénal, art. 131-41](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000006417342) (Légifrance)
- [Document unique d’évaluation des risques professionnels (DUERP)](https://entreprendre.service-public.gouv.fr/vosdroits/F35360) (Entreprendre Service Public)
- [Registre unique du personnel](https://entreprendre.service-public.gouv.fr/vosdroits/F1784) (Entreprendre Service Public)
- [Quelles sont les obligations d’affichage dans une entreprise ?](https://entreprendre.service-public.gouv.fr/vosdroits/F23106) (Entreprendre Service Public)
- [Conditions générales de vente (CGV)](https://entreprendre.service-public.gouv.fr/vosdroits/F33527) (Entreprendre Service Public)
- [Médiation des litiges de la consommation](https://entreprendre.service-public.gouv.fr/vosdroits/F33338) (Entreprendre Service Public)