Documents juridiques obligatoires : le tableau selon votre activité (2026)

En octobre 2024, la CNIL a annoncé avoir sanctionné « deux sociétés de moins de 250 employés pour absence de registre des activités de traitement ». Pas une fuite de données : un document interne absent. On pense aux mentions légales parce qu’elles se voient, on oublie ce qui ne se voit pas, et la liste change selon que vous vendez à des particuliers, éditez un logiciel, facturez des entreprises ou embauchez. Voici la matrice complète, profil par profil, avec le texte qui fonde chaque case.

Quels documents juridiques sont obligatoires pour une entreprise ?

Trois documents concernent presque toute entreprise qui a un site : mentions légales, politique de confidentialité et registre des traitements. Le reste dépend de l’activité : CGV, médiateur et rétractation en ligne pour la vente aux particuliers, DPA dès qu’un tiers traite des données pour le compte d’un autre, documents employeur dès le premier salarié.

Les quatre premières colonnes décrivent une entreprise sans salarié. La cinquième s’ajoute à votre profil dès la première embauche.

Comment lire les cases. « Obligatoire » : un texte l’impose. « Obligatoire en pratique » : l’obligation dépend d’une condition que presque tout le monde remplit (collecter des données, traiter de façon non occasionnelle). « Selon cas » : elle dépend d’un fait expliqué plus bas. « Recommandé » : aucun texte ne l’impose, mais il protège.

Pour votre propre liste, le diagnostic gratuit des obligations part de votre SIREN (facultatif), de votre effectif et de quelques questions, et cite pour chaque ligne le texte qui la fonde.

Sur quels textes repose chaque case du tableau ?

Chaque case repose sur un texte : LCEN, RGPD, loi Informatique et Libertés, Code de la consommation, Code de commerce ou Code du travail.

Depuis la loi SREN de 2024, c’est l’article 1-1 de la LCEN, et non plus l’article 6, qui fonde les mentions légales d’un site internet.

De quels documents ai-je besoin pour mon site internet ?

Un site vitrine qui ne vend rien a besoin de mentions légales, d’une politique de confidentialité dès qu’il a un formulaire ou une mesure d’audience, et d’un bandeau seulement s’il dépose des traceurs soumis au consentement. Chaque activité ajoutée (vente, comptes clients, embauche) apporte ses documents.

flowchart TD
  A["Vous avez un site professionnel"] --> B["Mentions légales, confidentialité, registre"]
  B --> C{"Traceurs non exemptés ?"}
  C -->|Oui| D["Bandeau et politique cookies"]
  C -->|Non| E{"Vente en ligne à des particuliers ?"}
  D --> E
  E -->|Oui| F["CGV, médiateur, rétractation en ligne"]
  E -->|Non| G{"Au moins un salarié ?"}
  F --> G
  G -->|Oui| H["DUERP, registre du personnel, affichages"]
  H --> I{"50 salariés depuis 12 mois ?"}
  I -->|Oui| J["Règlement intérieur"]

Prenons un plombier dont le site propose un formulaire de devis. Mentions légales : oui. Politique de confidentialité : oui, le formulaire collecte des données. Registre : oui, il gère un fichier clients. Bandeau : seulement s’il ajoute un traceur soumis au consentement, comme un pixel publicitaire ou un outil de mesure d’audience non exempté (loi n° 78-17, art. 82) ; les règles sont dans notre guide du bandeau cookies conforme CNIL. Médiateur : oui, car il travaille pour des particuliers ; l’obligation de l’article L612-1 du Code de la consommation ne dépend pas du site mais de la clientèle.

Quels documents pour un site e-commerce qui vend à des particuliers ?

Une boutique en ligne cumule le socle de tout site et les règles de la vente à distance : CGV complètes, médiateur, fonctionnalité de rétractation en ligne et DPA avec ses prestataires (plateforme, paiement, e-mailing).

La micro-entrepreneuse qui vend des bougies sur Shopify n’échappe à aucune ligne. Ses CGV regroupent les informations que l’article L221-5 impose avant la commande : identité, prix, délais, conditions de rétractation avec le formulaire type, garanties légales, médiateur. La fiche Entreprendre Service Public sur les CGV les présente comme obligatoires face à des particuliers. Le détail est dans notre guide CGV : obligatoires ou pas ?.

Depuis le 19 juin 2026, l’article L221-21 lui impose aussi une fonctionnalité gratuite pour se rétracter en ligne, et son information précontractuelle, en pratique ses CGV, doit en indiquer l’existence et l’emplacement (L221-5, 7°). Des CGV rédigées avant cette date sont incomplètes ; voyez notre guide du bouton de rétractation.

Les coordonnées du médiateur doivent être communiquées au consommateur (art. L616-1) : sur le site, dans les CGV et sur les bons de commande, précise Entreprendre Service Public.

Quels documents pour un SaaS ou un logiciel vendu aux entreprises ?

Un éditeur SaaS B2B a besoin des mentions légales, de sa politique de confidentialité et de son registre, mais surtout d’un contrat de sous-traitance (DPA) à proposer à ses clients : il traite pour leur compte les données qu’ils chargent dans l’outil. Ses CGV ne sont pas imposées, mais si elles existent, il doit les communiquer à tout client qui les demande.

Le cœur du sujet est l’article 28 du RGPD :

L’éditeur d’un logiciel de planning pour PME occupe donc deux positions. Pour ses prospects et clients, il est responsable de traitement (registre de l’article 30, paragraphe 1). Pour les plannings des salariés de ses clients, il est sous-traitant : DPA avec chaque client et second registre des activités « effectuées pour le compte du responsable du traitement » (article 30, paragraphe 2, sur la page du RGPD de la CNIL). Son hébergeur cloud est un sous-traitant ultérieur, qu’il ne peut recruter « sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement » (article 28, paragraphe 2) : d’où la liste annexée au DPA.

Quels documents pour un freelance ou un prestataire B2B ?

Un freelance qui ne travaille que pour des entreprises a besoin de mentions légales s’il a un site, d’une information RGPD et d’un registre. Ses CGV sont facultatives, mais ses conditions de règlement contiennent les mentions de paiement, et un DPA s’impose s’il traite des données pour un client.

Un développeur en SASU qui intervient sur la base clients d’une boutique en ligne est sous-traitant de cette boutique : le DPA de l’article 28 est obligatoire, que le client le propose ou non. Un consultant en stratégie qui ne touche aucune donnée de son client n’en a pas besoin.

L’article L441-1 du Code de commerce oblige seulement à communiquer les CGV qui existent au client pro qui les demande. Joignez-les au devis et faites-les accepter, sinon elles n’ont pas d’effet (C. civ., art. 1119).

Quels documents sont obligatoires dès le premier salarié ?

Dès la première embauche : le document unique d’évaluation des risques professionnels (DUERP), le registre unique du personnel et les affichages obligatoires. Le règlement intérieur ne devient obligatoire qu’au terme de douze mois après le franchissement du seuil de cinquante salariés.

Le DUERP. L’employeur y transcrit les résultats de l’évaluation des risques, avec un inventaire des risques par unité de travail (art. R4121-1). Il est dû dès le premier salarié (fiche officielle, vérifiée le 22 juillet 2026). Le document et ses versions antérieures se conservent quarante ans (art. R4121-4).

Le registre unique du personnel. Les salariés y sont inscrits dans l’ordre des embauches, « au moment de l’embauche et de façon indélébile », et les stagiaires dans une partie spécifique (art. L1221-13). Selon la fiche officielle, il peut être tenu sur support numérique, après consultation du CSE.

Les affichages. Certaines informations s’affichent, d’autres se communiquent « par tout moyen », par exemple sur l’intranet, selon la fiche Entreprendre Service Public vérifiée le 8 juillet 2026.

Le règlement intérieur.

Il est soumis à l’avis du CSE, communiqué à l’inspecteur du travail en même temps qu’il fait l’objet des mesures de publicité, et entre en vigueur au moins un mois après ces formalités (art. L1321-4). Dans sa version en vigueur depuis le 28 mai 2026, cet article ne prévoit plus de dépôt au greffe du conseil de prud’hommes.

Les salariés sont aussi des personnes dont vous traitez les données : la paie et la gestion du personnel entrent dans votre registre, comme l’explique notre guide du registre des traitements RGPD.

Quelle différence entre un document obligatoire et un document recommandé ?

Un document est obligatoire quand un texte l’impose ; il est recommandé quand aucun texte ne l’exige mais qu’il vous protège en cas de litige. Les CGV entre professionnels et les CGU en sont les deux exemples types.

Et le registre n’est pas facultatif sous 250 salariés. La CNIL est explicite : doivent y figurer « les traitements non occasionnels (exemple : gestion de la paie, gestion des clients/prospects et des fournisseurs, etc.) », selon sa page consacrée au registre.

Que risque-t-on sans ces documents ?

De 750 € par salarié pour un registre du personnel absent à un an d’emprisonnement et 75 000 € d’amende pour un éditeur de site non identifié, et jusqu’à 4 % du chiffre d’affaires mondial en matière de RGPD. Ce sont des plafonds, pas des tarifs.

Pour une société, l’amende pénale de la LCEN est quintuplée (C. pénal, 131-38). Les contraventions de 4e et 5e classe sont plafonnées à 750 € et 1 500 € (C. pénal, 131-13), quintuplées pour une société (131-41) ; la récidive pour le DUERP suit la fiche officielle. Pour le RGPD et les traceurs, le plafond retenu est le plus élevé des deux montants. La CNIL peut aussi passer par une procédure simplifiée, dont l’amende ne dépasse pas 20 000 €, ou 100 000 € si le chiffre d’affaires annuel mondial dépasse 50 millions d’euros (loi n° 78-17, art. 22-1) : c’est par elle que sont passées les deux sanctions pour absence de registre citées plus haut. Voyez notre panorama des sanctions de la CNIL.

Quelles sont les erreurs les plus fréquentes ?

Les plus courantes : se croire trop petit pour le registre ou le DUERP, citer un article périmé, copier les CGV d’un concurrent, publier un bandeau sans refus et vendre un SaaS sans DPA.

Pour voir où en sont les boutiques en ligne, consultez notre étude sur la conformité des sites e-commerce en 2026.

Quelle checklist suivre selon mon activité ?

Cochez la liste de votre profil, puis celle de l’employeur si vous avez un salarié. Pour vérifier ce que voit un visiteur, lancez l’audit gratuit de votre site ou le quiz de conformité.

Pour une liste à votre mesure, lancez le diagnostic des obligations ; les autres outils gratuits contrôlent vos mentions légales et vos cookies.