Mentions légales et RGPD : ce qu'un freelance doit publier sur son site

Vous avez un site vitrine, un portfolio, ou même juste un formulaire de contact — et vous vous demandez si les mentions légales et le RGPD vous concernent vraiment en tant que freelance. Réponse courte : oui, dès le premier jour, quelle que soit votre taille.

Mentions légales : obligatoires dès la mise en ligne

La loi pour la confiance dans l'économie numérique (LCEN, loi du 21 juin 2004) impose à tout éditeur de site professionnel — même un simple site vitrine sans vente en ligne — d'afficher des informations d'identification. Peu importe que le site soit "en construction" ou pas encore officiellement lancé : l'obligation s'applique dès qu'il est accessible publiquement.

Pour un freelance en entreprise individuelle, les mentions légales minimales sont :

• Nom, prénom et statut (auto-entrepreneur, EI...)
• Adresse de l'établissement
• Numéro SIRET
• Adresse email et/ou numéro de téléphone de contact
• Nom, raison sociale et coordonnées de l'hébergeur du site

L'absence de mentions légales expose à une amende pouvant atteindre 75 000€ pour une personne physique et 375 000€ pour une société. En pratique les contrôles spontanés sont rares, mais un client mécontent ou un concurrent peuvent s'en servir contre vous en cas de litige.

RGPD : ça vous concerne dès la première donnée collectée

Beaucoup de freelances pensent que le RGPD "c'est pour les grandes entreprises". C'est faux : dès que votre site comporte un formulaire de contact, un outil de mesure d'audience (Google Analytics...), une newsletter, ou un espace client, vous collectez des données personnelles et devenez "responsable de traitement" au sens du RGPD — quelle que soit votre taille.

Concrètement, cela implique :

• Une politique de confidentialité claire : quelles données sont collectées, pourquoi, combien de temps elles sont conservées, et comment un visiteur peut demander leur suppression
• Un bandeau cookies conforme aux exigences de la CNIL si vous utilisez des traceurs non strictement nécessaires : le bouton "Tout refuser" doit être aussi visible que "Tout accepter", et le consentement doit être renouvelé au maximum tous les 13 mois
• Un registre des traitements, même simplifié pour une petite structure, qui liste les données que vous collectez et pourquoi
• La capacité à répondre à une demande d'accès, de rectification ou de suppression dans un délai d'un mois

Mentions légales, politique de confidentialité, CGV : ne pas tout mélanger

Ce sont trois documents distincts, qui répondent à trois questions différentes :

• Les mentions légales répondent à "qui édite ce site ?" (identité, hébergeur)
• La politique de confidentialité répond à "que faites-vous de mes données ?" (RGPD)
• Les CGV répondent à "à quelles conditions vendez-vous vos prestations ?" (paiement, résiliation, pénalités)

Elles peuvent être publiées sur des pages séparées ou regroupées, tant que chaque catégorie d'information reste clairement identifiable pour le visiteur.

Ce qui change si vous utilisez l'intelligence artificielle sur votre site

Si votre site intègre un chatbot, des recommandations automatisées ou tout traitement automatisé de données personnelles, des obligations de transparence supplémentaires s'ajoutent au cadre RGPD classique — un sujet en évolution rapide qu'il vaut mieux anticiper plutôt que découvrir lors d'un contrôle.

Questions fréquentes

Un simple portfolio sans formulaire de contact est-il concerné ?

Les mentions légales, oui, systématiquement, dès que le site a une finalité professionnelle. Le RGPD s'applique dès qu'une donnée personnelle est collectée : si votre portfolio n'a strictement aucun formulaire, aucun outil de mesure d'audience et aucun cookie non essentiel, l'exposition RGPD est réduite — mais c'est rarement le cas en pratique (Google Analytics ou un simple bouton de partage suffisent à collecter des données).

Dois-je nommer un délégué à la protection des données (DPO) ?

Non, cette obligation ne concerne que des cas précis (grand volume de données sensibles, traitement à grande échelle). Elle ne s'applique pas à un freelance ou une TPE classique. En revanche, l'absence de DPO ne dispense pas des neuf autres obligations du RGPD (information, registre, sécurité, droits des personnes...).

Si un prestataire externe a créé mon site, est-ce lui le responsable en cas de manquement ?

Non. C'est vous, en tant qu'éditeur et exploitant du site, qui restez responsable devant la loi — même si un développeur ou une agence a créé le site pour vous. Vérifiez toujours que ces éléments sont bien inclus dans la prestation avant de considérer le site "terminé".