Mon site est-il conforme ? Le quiz en 2 minutes, avec les amendes encourues

Le 16 octobre 2025, une société de vente à distance sur catalogue a reçu de la CNIL une amende de 3 000 € pour un seul grief : le consentement de ses visiteurs aux cookies. Son nom n’a pas été publié, car les décisions de la procédure simplifiée ne sont pas rendues publiques. Ce genre de manquement se constate en quelques secondes, avec les outils de développement de n’importe quel navigateur, et la CNIL agit souvent sur plainte : sur les 23 sanctions simplifiées prononcées entre janvier et début juillet 2026, 19 avaient pour origine une plainte.

Ce quiz pose les questions qu’un contrôleur se poserait en arrivant sur votre site. Il commence par quatre questions sur votre activité, pour ne vous interroger que sur ce qui vous concerne, puis passe en revue jusqu’à quatorze obligations. À la fin, vous obtenez un score, la liste de ce qui manque, la sanction maximale prévue par le texte pour chaque oubli et le guide qui explique comment corriger. Vos réponses restent dans votre navigateur.

Ce qu’il ne fait pas : lire vos pages. Il se fie à vos réponses, et une page de mentions légales qui existe mais oublie l’hébergeur passera pour conforme si vous répondez « Oui ». Les outils gratuits présentés plus bas comblent une partie de cet angle mort.

Quelles obligations légales un site internet doit-il respecter ?

Tout site professionnel doit identifier son éditeur et son hébergeur ; il ajoute des règles RGPD dès qu’il collecte des données ou dépose des traceurs, et des règles de consommation dès qu’il vend à des particuliers. Le tableau ci-dessous reprend les quatorze points du quiz, avec le texte qui les impose et la sanction maximale.

Pour les sanctions RGPD et cookies, le montant retenu est le plus élevé des deux : un plafond fixe ou un pourcentage du chiffre d’affaires annuel mondial. Les amendes du Code de la consommation sont des amendes administratives prononcées par la DGCCRF, celles de la LCEN des peines pénales prononcées par un juge. Pour les obligations qui dépassent le site, voyez les documents obligatoires d’une entreprise.

Quelles mentions légales faut-il sur un site internet ?

L’éditeur d’un site professionnel doit afficher son identité, son adresse, son téléphone, le nom du directeur de la publication et les coordonnées de son hébergeur ; une société ajoute son capital social et l’adresse de son siège, et toute entreprise immatriculée son numéro d’inscription au RCS ou, pour un artisan, au registre national des entreprises. C’est l’article 1-1 de la LCEN depuis la loi SREN du 21 mai 2024, et non plus l’ancien article 6-III.

Ce sont les trois premières obligations testées par le quiz : l’oubli est un délit, passible de prison, et il se constate d’un coup d’œil.

Le second alinéa du même article rend la société elle-même pénalement responsable : elle encourt une amende selon l’article 131-38 du Code pénal, soit le quintuple, d’où les 375 000 €, et une interdiction d’exercer l’activité en cause pour cinq ans au plus.

Attention à l’hébergeur : une coach qui a monté son site sur Wix doit citer Wix, avec son adresse et son téléphone, et non le bureau d’enregistrement de son nom de domaine. Une boutique Shopify cite Shopify. Le détail, statut par statut, avec un modèle commenté, est dans le guide sur les mentions légales d’un site internet, et le vérificateur de mentions légales gratuit contrôle votre page mention par mention.

Faut-il un bandeau cookies sur son site ?

Oui, dès que le site dépose un traceur qui n’est pas strictement nécessaire à son fonctionnement : statistiques non exemptées, pixels publicitaires, vidéos YouTube intégrées, boutons de partage. Ce n’est pas le bandeau que la loi impose, c’est le consentement préalable, et le bandeau est le moyen de le recueillir.

Le quiz en tire trois questions. Rien ne doit se déclencher avant le choix du visiteur. Refuser doit être aussi simple qu’accepter : la CNIL cite deux boutons « au même niveau et sur le même format », « Tout accepter » et « Tout refuser ». Enfin, une page doit expliquer les finalités, nommer les sociétés qui déposent des traceurs et permettre de retirer son consentement à tout moment.

Le plafond est celui du 7° du IV de l’article 20 de la loi Informatique et Libertés : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Le 1er septembre 2025, la CNIL l’a appliqué à SHEIN : 150 millions d’euros pour des traceurs déposés dès l’arrivée sur le site et un refus qui n’empêchait pas d’en déposer de nouveaux. Tout est détaillé dans le guide du bandeau cookies conforme CNIL.

Une politique de confidentialité est-elle obligatoire ?

Oui, dès que le site collecte une donnée personnelle, même un simple formulaire de contact : l’article 13 du RGPD impose d’informer la personne au moment de la collecte. C’est l’obligation la plus lourdement plafonnée du quiz, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial (RGPD, art. 83.5).

La politique doit dire qui traite les données, pourquoi et sur quelle base légale, à qui elles sont transmises, combien de temps elles sont gardées, et comment exercer ses droits, y compris en saisissant la CNIL. Un consultant en SASU qui ne collecte que des demandes de devis par formulaire est concerné au même titre qu’une boutique en ligne. Le contenu attendu, rubrique par rubrique, est dans le guide sur la politique de confidentialité.

Le HTTPS est-il obligatoire pour un site internet ?

Aucun texte ne nomme le HTTPS, mais l’article 32 du RGPD impose une sécurité adaptée au risque, et la CNIL demande de rendre TLS obligatoire « pour toutes les pages de votre site ». Un formulaire qui transmet des données en clair expose donc à un manquement à l’obligation de sécurité.

Le plafond est celui de l’article 83.4 du RGPD : 10 millions d’euros ou 2 % du chiffre d’affaires mondial. Le « défaut de sécurité des données » revient souvent dans la liste des sanctions simplifiées publiée par la CNIL, généralement à côté d’autres griefs. Vérifiez que toutes les pages, pas seulement la page de paiement, redirigent vers HTTPS : c’est aussi l’un des points de l’audit gratuit présenté plus bas.

Faut-il un registre RGPD quand on est une petite entreprise ?

Oui dans la plupart des cas : la dispense prévue pour les organismes de moins de 250 salariés ne couvre pas les traitements réguliers, et la CNIL cite elle-même la gestion des clients et des prospects parmi les traitements « non occasionnels » à inscrire.

Le registre ne se voit pas sur le site, mais il doit être mis à la disposition de la CNIL sur demande (RGPD, art. 30.4). Son absence relève du plafond de l’article 83.4 du RGPD (10 millions d’euros ou 2 % du chiffre d’affaires mondial). Une boutique avec un fichier clients, une newsletter et un salarié a déjà trois ou quatre traitements à décrire : le guide du registre des traitements RGPD donne des exemples remplis.

Que doit afficher un site e-commerce avant la commande ?

Avant que le client paie, le site doit lui donner les informations de l’article L221-5 du Code de la consommation (dont les garanties légales et le médiateur), lui présenter un récapitulatif de la commande et le faire valider par un bouton « commande avec obligation de paiement » ou une formule analogue. Les CGV sont le support normal de ces informations.

Le quiz en vérifie quatre points :

• CGV consultables avant la commande. Placez un lien depuis le panier ou la page de paiement, pas seulement en pied de page : le client doit pouvoir les lire avant de valider. Le manquement aux informations de l’article L221-5 est passible d’une amende administrative de 15 000 € pour une personne physique et 75 000 € pour une personne morale (art. L242-10).
• Récapitulatif et bouton de commande. L’article L221-14 impose de rappeler les caractéristiques et le prix avant la commande, et une mention « claire et lisible » sur le bouton de validation. Même plafond.
• Garanties légales. Le 5° de l’article L221-5 vise les garanties légales : garantie de conformité et vices cachés. Même plafond.
• Médiateur. Le professionnel doit indiquer ses coordonnées « de manière visible et lisible sur son site internet » et dans ses CGV (art. R616-1), avec l’adresse du site du médiateur. L’oubli est plafonné à 3 000 € pour une personne physique et 15 000 € pour une personne morale (art. L641-1).

Ces obligations ne valent que face à des particuliers : un graphiste qui ne facture que des entreprises n’a pas de médiateur à afficher. Ce qui change entre clients pros et particuliers est expliqué dans le guide sur les CGV obligatoires.

Le bouton de rétractation est-il obligatoire en 2026 ?

Oui : depuis le 19 juin 2026, un professionnel qui conclut des contrats à distance avec des consommateurs au moyen d’une interface en ligne doit leur proposer une fonction pour se rétracter gratuitement (art. L221-21). Elle est libellée « renoncer au contrat ici » ou d’une formule analogue sans ambiguïté, et la validation passe par « confirmer la rétractation » ou une formule équivalente (art. D. 221-5).

C’est l’obligation la plus récente du quiz. Son absence est passible d’une amende administrative de 15 000 € pour une personne physique et 75 000 € pour une personne morale (art. L242-13). Les informations précontractuelles, en pratique vos CGV, doivent en outre indiquer l’existence et l’emplacement de cette fonction (art. L221-5, 7°). Le guide du bouton de rétractation détaille les étapes imposées et les solutions sur Shopify et WooCommerce.

Plafond légal ou amende réelle : que risque vraiment une petite entreprise ?

Les montants du quiz sont des maximums prévus par les textes, pas des estimations. Pour les dossiers simples, la CNIL peut recourir à la procédure simplifiée, où l’amende est plafonnée à 20 000 € (loi Informatique et Libertés, art. 22-1).

Ce plafond passe à 100 000 € quand le chiffre d’affaires annuel mondial dépasse 50 millions d’euros, et la décision n’est pas rendue publique. La CNIL l’emploie quand « l’affaire ne présente pas de difficulté particulière » (CNIL). Entre janvier et début juillet 2026, elle a prononcé ainsi 23 sanctions pour 133 750 € au total, et les cookies (bandeau incomplet, dépôt avant toute action, refus plus difficile que l’acceptation) figurent parmi les manquements les plus fréquents. Quelques décisions récentes, toutes en procédure simplifiée, donnent l’ordre de grandeur :

Source : Les sanctions prononcées par la CNIL. Le détail des procédures, des montants et des recours est dans le guide des sanctions CNIL.

Côté consommation, le risque concret est d’abord le contrôle. En novembre 2023, la DGCCRF indiquait avoir contrôlé 9 182 sites internet depuis le début de l’année. Ces contrôles n’étaient pas aléatoires (ciblage ou plaintes) : environ la moitié des sites présentait une anomalie, et les suites comptaient 2 267 avertissements, 1 974 injonctions de mise en conformité et 242 procès-verbaux. Pour situer les boutiques françaises en 2026, voyez notre étude de conformité des sites e-commerce.

Par quoi commencer pour mettre son site en conformité ?

Commencez par les mentions légales, un délit facile à corriger, puis par les traceurs déposés sans consentement, un grief qui se constate en ligne et que la CNIL sanctionne régulièrement en procédure simplifiée. Viennent ensuite les obligations de vente, puis le RGPD documentaire.

flowchart TD
  A["Votre site"] --> B{"Mentions légales complètes ?"}
  B -->|Non| C["Corriger en premier, risque pénal"]
  B -->|Oui| D{"Traceurs avant consentement ?"}
  C --> D
  D -->|Oui| E["Bloquer les traceurs et ajouter Tout refuser"]
  D -->|Non| F{"Vente à des particuliers ?"}
  E --> F
  F -->|Oui| G["Rétractation, CGV, récapitulatif, médiateur"]
  F -->|Non| H["Confidentialité, HTTPS, registre"]
  G --> H

Que ne voit pas le quiz ?

Le quiz mesure ce que vous savez de votre site, pas ce que votre site affiche réellement. Un lien cassé, une page de mentions légales qui a perdu l’hébergeur lors d’une refonte, ou un pixel ajouté par un plugin sans prévenir passent sous ses radars.

Si vous ne savez pas encore quelles obligations s’appliquent à votre entreprise au-delà du site, le diagnostic des obligations part de votre SIREN. Tous les outils sont réunis sur la page outils gratuits, et la démarche d’ensemble est présentée sur la page conformité.