Mentions légales : la page ouverte par un QR code est un site à elle seule
Repensez à la façon dont on atteint une page ouverte par un code. La personne était devant une affiche, une vitrine, un chevalet de table ou un colis. Elle a scanné. Une page s'est chargée. Elle a lu, fait ce qu'elle avait à faire, et fermé l'onglet.
Elle n'a jamais vu de page d'accueil. Elle n'a jamais déroulé jusqu'au pied de page, parce que sur une page à usage unique il n'y a souvent pas de pied de page à dérouler. Elle ne sait pas qui édite ce qu'elle vient de lire, et en droit français c'est votre problème, pas le sien.
L'obligation a changé d'article, et tout le monde cite encore l'ancienne adresse
Pendant vingt ans, les praticiens français ont visé « l'article 6, III de la LCEN » pour les mentions légales. Cette référence est désormais inexacte, et il vaut la peine de la corriger dans vos propres gabarits.
La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi SREN, a restructuré la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique afin de l'aligner sur le règlement (UE) 2022/2065 sur les services numériques. L'obligation d'identification figure maintenant à l'article 1-1 de la LCEN, et la sanction pénale à l'article 1-2, qui prévoit un an d'emprisonnement et 75 000 euros d'amende pour une personne physique. L'article 6 existe toujours, mais son III traite désormais d'un tout autre sujet.
Le fond, lui, ne s'est pas allégé. L'obligation pèse sur « les personnes dont l'activité est d'éditer un service de communication au public en ligne », et une page d'atterrissage ouverte par un code en est une.
Ce qui doit être accessible depuis cette page
Le texte exige que l'information soit mise à la disposition du public « dans un standard ouvert », ce qui signifie en pratique du contenu web ordinaire et lisible, et non une image, un PDF ou un élément dépendant d'un script.
Pour une personne morale : la dénomination ou la raison sociale et le siège social, un numéro de téléphone et, lorsque l'entité est assujettie aux formalités d'inscription, son numéro d'immatriculation, son capital et l'adresse de son siège. Pour une personne physique agissant à titre professionnel : nom, prénoms, domicile et numéro de téléphone, ainsi que le numéro d'inscription le cas échéant. S'y ajoutent le nom du directeur de la publication et le nom ou la dénomination ainsi que l'adresse de celui qui héberge le service.
Une voie distincte existe pour les éditeurs non professionnels. Ils peuvent préserver leur anonymat sur la page en publiant les coordonnées de l'hébergeur, ayant communiqué leur identité à celui-ci, tenu au secret professionnel sur ce point. Cela compte pour une association, un club ou un particulier qui punaise un code sur un panneau d'affichage ; cela ne sert pas une entreprise.
Si la page vend quoi que ce soit, une seconde liste s'ajoute. L'article 19 de la LCEN impose à qui exerce une activité de commerce électronique d'assurer « un accès facile, direct et permanent utilisant un standard ouvert » à son identité, son adresse, son courriel, son téléphone, son numéro d'immatriculation, son capital et son numéro d'identification à la TVA. Il transpose l'article 5 de la directive 2000/31/CE, d'où la parenté du dispositif dans toute l'Union. Il est généralement admis qu'un lien hypertexte suffit, dès lors que le lien lui-même est facile, direct et permanent. Un lien en pied de page, six écrans plus bas, sur une page ouverte par un scanner, n'est sans doute aucun des trois.
L'échec propre au QR code
Chacune de ces obligations suppose un visiteur capable de naviguer. Le code brise cette hypothèse d'une façon que le trafic web ordinaire ne connaît pas :
- Il n'y a pas d'amont. Pas d'accueil, pas de menu, pas de fil d'Ariane. La page est le point d'entrée, et souvent aussi celui de sortie.
- La visite est brève. Debout dans un magasin, on lit un écran. Tout ce qui se trouve plus bas est théorique.
- La page est parfois tout le site. Beaucoup de codes pointent vers une page hébergée unique, sans rien derrière. Dans ce cas la page n'appartient pas à un site qui possède ses mentions légales ailleurs. Elle est le site.
- Le visiteur peut se retrouver hors réseau l'instant suivant. Une page qui charge ses mentions depuis un script tiers est une page dont les mentions n'existent pas toujours.
Une page d'atterrissage conforme a donc besoin du lien dans la page elle-même, à proximité de l'action principale, et pas seulement en pied. Une ligne en petits caractères, « Mentions légales » et « Données personnelles », liées, dans le premier écran. Cela ne coûte rien et cela clôt le sujet.
Ce qui s'ajoute, selon ce que fait la page
Traitez cela comme une courte liste de décision, plutôt que de recopier tout sur toutes les pages.
| Si la page... | ce qu'elle doit en plus |
|---|---|
| collecte des données personnelles | l'information exigée au moment de la collecte par le RGPD : qui vous êtes, pourquoi, sur quelle base, combien de temps, et les droits de la personne |
| dépose ou lit quelque chose de non essentiel sur l'appareil | un choix recueilli avant, en application de l'article 82 de la loi n° 78-17 du 6 janvier 1978 |
| vend à des consommateurs | l'information précontractuelle du code de la consommation, et les coordonnées du médiateur |
| est éditée par un professionnel | le nom et le site du médiateur de la consommation, que l'article L. 616-1 du code de la consommation impose de communiquer, selon l'article R. 616-1, de manière visible et lisible sur le site et dans les conditions générales |
La dernière ligne surprend souvent. Un professionnel en relation avec des consommateurs doit indiquer quel médiateur de la consommation le couvre, et le site est l'un des supports que l'article d'application désigne.
Ce que la page ne peut pas couvrir
Il existe une chose qu'une page d'atterrissage ne peut réellement pas atteindre, et il vaut la peine de savoir où passe la frontière. Un code dynamique se résout par une redirection, et le serveur de redirection reçoit et journalise la requête avant que votre page existe. Toute information ou tout choix présenté sur la page gouverne la suite, pas la requête qui a amené le visiteur. Notre article sur le suivi des scans, le consentement et la conservation traite le sujet en général.
Conséquence pratique : le support physique qui porte le code est le seul endroit où vous pouvez écrire quelque chose avant le scan. Une ligne courte à côté du code, nommant celui qui l'a publié, est le signal de confiance le moins cher disponible, et le seul qui atteigne quelqu'un qui n'a pas encore scanné.
Une liste de contrôle pour la page derrière un code
- Un lien visible vers les mentions légales dans le premier écran, pas seulement en pied de page.
- Du texte réellement lisible derrière ce lien, ni image ni PDF.
- Une identité d'éditeur conforme au registre : même dénomination, même numéro d'immatriculation, même siège.
- Le nom et l'adresse de l'hébergeur, la ligne le plus souvent absente.
- Le directeur de la publication nommé.
- Une politique de confidentialité atteignable au même endroit, qui dise ce que contient le journal de redirection et pendant combien de temps.
- Le médiateur de la consommation nommé, si vous vendez à des consommateurs.
- Rien de déterminant sous la ligne de flottaison, car sur un téléphone ouvert depuis un autocollant, il n'y a pratiquement pas de « plus bas ». Notre guide sur les pages d'atterrissage pensées pour le mobile en détaille les conséquences de mise en page.
- L'ensemble testé à la taille et dans la lumière où le scan aura réellement lieu.
Ce sont des informations générales et non un conseil juridique : dès qu'une page vend, traite des données de santé ou s'adresse à des mineurs, la liste s'allonge et un avocat doit la relire. Mais le constat de structure tient seul : un code remet à un inconnu une page unique, sans contexte. Construisez cette page comme si elle était la seule chose que vous publiez, parce que pour ce visiteur, c'est le cas.
