RGPD pour une PME belge : pourquoi la case « j'accepte » ne vous met pas en règle

L'essentiel en 30 secondes

Le RGPD ne demande pas de documents pour la forme. Il demande que ce que font réellement votre site, votre boîte mail et votre fichier clients corresponde à ce que vous annoncez. Les règles sont les mêmes à Bruxelles, en Wallonie et en Flandre : les textes sont européens ou fédéraux, et une seule autorité les contrôle, l'Autorité de protection des données (APD).

Trois idées à retenir. Le RGPD s'applique dès que vous enregistrez les coordonnées d'une personne, sans seuil de taille. Ce qui compte, c'est ce que votre site fait techniquement, pas ce que votre bandeau affiche. Et une plainte peut venir de n'importe quelle personne dont vous traitez les données : un client, un ancien salarié, un destinataire agacé par une newsletter.

Le bandeau cookies : ce que l'APD attend vraiment

En Belgique, la règle des cookies ne vient pas du RGPD mais de l'article 10/2 de la loi du 30 juillet 2018, en vigueur depuis le 10 janvier 2022 et contrôlé par l'APD. Elle vise tout stockage ou lecture d'informations sur l'appareil du visiteur, pas seulement les cookies. L'APD résume : « Aucun cookie non strictement nécessaire ne peut être placé ou lu sur l'ordinateur, le smartphone ou la tablette d'un utilisateur tant que celui-ci n'a pas donné son consentement. »

Sont en général strictement nécessaires le panier d'une boutique, la session d'un espace client et le cookie qui retient le choix fait dans le bandeau. Ne le sont pas la publicité, les pixels de réseaux sociaux, les statistiques, ni les vidéos et cartes de tiers qui déposent leurs cookies dès l'affichage de la page. La checklist publiée par l'APD en octobre 2023 détaille le reste :

• Refuser au même niveau qu'accepter. Un bouton « Tout refuser » à côté de « Tout accepter », affiché de la même façon. Selon l'APD, un bouton « Paramètres » à côté d'un bouton « Tout accepter » ne suffit pas.
• Aucune case pré-cochée, à aucun niveau. La Cour de justice de l'Union l'avait jugé dès le 1^er octobre 2019, dans l'arrêt Planet49.
• Pas de consentement implicite. Poursuivre la navigation ne vaut pas accord, et un « mur » qui bloque le site tant qu'on n'a pas accepté n'est pas autorisé.
• Retirer son choix aussi simplement que le donner, par exemple via un lien permanent en pied de page.
• Une liste des cookies avec leur finalité, leur durée de vie et leurs destinataires, et une politique cookies datée et versionnée pour pouvoir prouver le consentement.

Enfin, le cookie qui retient le choix du visiteur ne vit pas indéfiniment : l'APD juge une durée de vie de six mois « en principe raisonnable ».

Statistiques et publicité : la Belgique n'est pas la France

Beaucoup de conseils qui circulent en français viennent de France, où la CNIL exempte de consentement certains cookies de mesure d'audience, à des conditions strictes. L'APD ne suit pas cette voie : il n'existe pas d'exemption pour ces cookies, écrit-elle, « même quand il s'agit de cookies “internes” ». Une configuration copiée d'un site français peut donc être conforme à Paris et fautive à Namur.

L'idée reçue inverse circule aussi : « Google Analytics est interdit en Europe ». En 2022, la CNIL et son homologue italien ont bien jugé illicites les transferts vers les États-Unis liés à cet outil. Mais depuis le 10 juillet 2023, une décision d'adéquation de la Commission européenne autorise les transferts vers les entreprises américaines certifiées, dont Google LLC. Le Tribunal de l'Union a rejeté le recours contre ce cadre le 3 septembre 2025, et un pourvoi reste pendant devant la Cour de justice. L'outil n'est pas interdit, ses cookies restent soumis au consentement.

Google impose aussi ses propres règles : un consentement valable pour les cookies et la personnalisation des annonces, et la transmission des signaux de consentement des visiteurs de l'Espace économique européen. Sans ces signaux, ces visiteurs sont exclus depuis mars 2024 des audiences publicitaires construites à partir de Google Analytics. Pour vos campagnes Google Ads, le branchement du bandeau est donc aussi un réglage de performance. Même logique pour le pixel de Meta utilisé en publicité sur les réseaux sociaux.

Quant aux outils de mesure « sans cookie », ils réduisent le problème sans le supprimer d'office : la loi vise tout stockage ou accès à des informations sur l'appareil. Faites vérifier ce que l'outil lit réellement.

Formulaire de contact : une information, pas une case à cocher

Quand un prospect vous demande un devis, vous traitez ses données pour lui répondre. La base prévue par l'article 6 du RGPD n'est pas le consentement, mais les mesures précontractuelles prises à sa demande. L'APD cite précisément le cas de la personne qui « demande une offre pour la prestation d'un certain service ».

La case obligatoire « J'accepte la politique de confidentialité » ne vous couvre donc de rien. Le RGPD ne l'impose pas : l'article 13 exige d'informer, pas de faire accepter. Et elle ne vaut pas consentement, car l'APD rappelle qu'une demande de consentement « doit être présentée séparément de toute autre demande », acceptation d'une politique de vie privée comprise.

L'information, elle, est obligatoire au moment de la collecte : qui vous êtes, pourquoi vous utilisez les données et sur quelle base, qui les reçoit, combien de temps vous les gardez, quels droits a la personne, dont celui de saisir l'APD. Une phrase sous le bouton d'envoi, avec un lien vers votre politique de confidentialité, la porte. Demandez seulement ce qui sert à répondre, et décidez après combien de temps vous supprimez les demandes restées sans suite.

Une case n'est utile que pour proposer en plus votre newsletter. Elle doit alors être distincte, facultative et non cochée d'avance : un considérant du RGPD exclut tout consentement « en cas de silence, de cases cochées par défaut ou d'inactivité ».

Sur les sites que nous livrons dans notre offre de création de site web, bandeau cookies et formulaires conformes font partie des bases techniques, la politique de confidentialité reste de votre ressort. Une frontière à faire préciser dans tout devis, comme l'explique notre guide sur le prix d'un site web en Belgique.

Newsletter : le consentement par défaut, une exception pour vos clients

La règle belge vient ici du Code de droit économique. Son article XII.13 est net : « L'utilisation du courrier électronique à des fins de publicité est interdite, sans le consentement préalable, libre, spécifique et informé du destinataire des messages ». Une newsletter qui présente vos produits ou vos promotions entre dans ce champ, et l'APD précise qu'un contenu mixte, conseils et promotion, reste du marketing direct.

Un arrêté royal du 4 avril 2003 prévoit une exception pour vos clients, le « soft opt-in ». Trois conditions : vous avez obtenu leur adresse directement, lors de la vente d'un produit ou d'un service ; vous leur parlez exclusivement de produits ou services analogues que vous fournissez vous-même ; vous leur avez offert, dès la collecte, la possibilité de s'y opposer gratuitement et simplement. L'APD ajoute que cette faculté doit figurer clairement dans chaque envoi. Concrètement :

• Un prospect n'est pas un client. Qui a demandé un devis sans acheter n'entre pas dans l'exception.
• Un salon n'est pas une vente. Les adresses récoltées sur un stand, sans achat, n'en relèvent pas non plus.
• Vos clients ne sont pas ceux de votre société sœur. Les travaux préparatoires de l'arrêté précisent que les entreprises d'un même groupe sont des tiers.

Une seconde exception vise les personnes morales contactées à une adresse impersonnelle, du type info@, mais l'APD invite à la prudence : une adresse fonctionnelle peut rester une donnée personnelle. Chaque envoi doit enfin indiquer comment ne plus recevoir vos messages, avec un moyen électronique de le faire. À chaque désinscription, l'arrêté royal impose un accusé de réception par e-mail, une prise en compte dans un délai raisonnable et une liste des désinscrits tenue à jour.

Reste la preuve, que le Code de droit économique met à votre charge : conservez la date, le formulaire d'origine et le texte affiché lors de l'inscription. Le RGPD ne fixe pas de durée de validité au consentement, « avant tout une question de bon sens » selon l'APD.

Registre, politique de confidentialité, délégué : le socle écrit

Le registre des activités de traitement est l'inventaire de ce que vous faites avec des données personnelles. L'article 30 du RGPD en dispense les organisations de moins de 250 employés, et c'est la phrase que tout le monde retient. Pas la suite : l'exemption tombe si le traitement présente un risque, porte sur des données sensibles ou n'est « pas occasionnel ». Un fichier clients, une liste d'abonnés ou la gestion du personnel ne sont pas occasionnels. L'APD qualifie d'ailleurs l'exception de « portée très limitée » et recommande à tous de tenir un registre.

Il liste, pour chaque usage, la finalité, les personnes et données concernées, les destinataires, les transferts hors de l'Union, les durées de conservation et, si possible, les mesures de sécurité. Pour une petite structure, quelques lignes suffisent souvent, et l'APD propose un modèle simplifié dans sa boîte à outils.

La politique de confidentialité en est la version publique. Elle ne se recopie pas : elle décrit vos traitements réels, en termes précis. L'APD estime par exemple qu'annoncer traiter des données « à des fins de marketing direct », sans autre précision, n'est en principe pas suffisant.

Deux points passent souvent à la trappe. Chaque prestataire qui traite des données pour vous, hébergeur, outil d'e-mailing, logiciel commercial, doit être lié par un contrat conforme à l'article 28. Et l'article 37 n'impose un délégué à la protection des données que dans trois cas : organisme public, suivi régulier et systématique de personnes à grande échelle, ou données sensibles ou pénales traitées à grande échelle au cœur de l'activité. Hors de ces cas, l'APD le juge conseillé, « mais ce n'est pas obligatoire ».

Ce que l'APD sanctionne en pratique

Les plafonds du RGPD sont connus : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les principes de base, dont les conditions du consentement, et 10 millions ou 2 % pour des obligations comme le registre. Ce sont des plafonds, pas des tarifs. Le rapport annuel 2025 de l'APD, publié en juin 2026, donne la mesure réelle : 1 394 plaintes reçues en 2025, contre 837 l'année précédente, 214 décisions de la Chambre contentieuse, et quatre amendes pour un total de 75 700 €.

L'amende est donc l'exception. Le scénario réaliste pour une PME est une plainte, suivie d'un avertissement, d'un rappel à l'ordre ou d'un ordre de mise en conformité dans un délai fixé. Les décisions belges montrent où l'APD regarde :

• Les bandeaux cookies. En mai 2022, 50 000 € d'amende pour Roularta, éditeur de levif.be et knack.be, l'APD rappelant que les cookies statistiques ne sont en principe pas « strictement nécessaires ». En septembre 2024, un ordre à Mediahuis d'afficher « Tout refuser » au premier niveau, sous astreinte, annulé en mars 2025 par la Cour des marchés pour des motifs liés à la plainte, sans se prononcer sur le bandeau.
• Le marketing direct. La décision 04/2021 déjà citée, 50 000 € pour des consentements non valables.

Une seule obligation joue contre la montre : une violation de données, boîte mail piratée ou fichier envoyé au mauvais destinataire, se notifie à l'APD si possible dans les 72 heures, sauf si elle ne présente pas de risque pour les personnes. La notification passe par le portail de l'APD, pas par e-mail.

Votre checklist RGPD en une heure

À faire avec votre prestataire web au bout du fil, dans cet ordre.

• En navigation privée, aucun cookie de statistiques ou de publicité n'est déposé avant mon choix dans le bandeau.
• Mon bandeau propose « Tout refuser » dès son premier écran, et un lien permanent permet de changer d'avis.
• Mes formulaires ne demandent que le nécessaire et renvoient vers ma politique de confidentialité, sans case obligatoire.
• Je sais qui, dans ma liste de diffusion, est un client et qui a donné son accord, avec la date et la source.
• Chaque newsletter offre un moyen simple de se désinscrire, dans la langue de l'inscription.
• Mon registre tient sur une page et correspond à ma politique de confidentialité.
• J'ai un contrat de traitement avec mon hébergeur et mon outil d'e-mailing.

Questions fréquentes

Mon site doit-il obligatoirement afficher un bandeau cookies ?

Seulement s'il dépose ou lit des cookies ou traceurs non strictement nécessaires : statistiques, publicité, pixels de réseaux sociaux, contenus de tiers intégrés. L'APD exige alors un consentement préalable, et un bouton pour tout refuser au même niveau que celui pour tout accepter.

Faut-il une case à cocher RGPD sous un formulaire de contact ?

Non. Pour répondre à une demande de devis, la base légale est la mesure précontractuelle demandée par la personne, pas son consentement. Ce qui est obligatoire, c'est de l'informer au moment de la collecte, par une phrase et un lien vers votre politique de confidentialité.

Puis-je envoyer ma newsletter à mes clients sans leur consentement ?

Oui, sous conditions : adresse obtenue directement lors d'une vente, produits ou services analogues que vous fournissez vous-même, possibilité de s'y opposer gratuitement dès la collecte puis dans chaque envoi. C'est l'exception prévue par l'arrêté royal du 4 avril 2003. Pour un prospect, le consentement reste la règle.

Une petite entreprise doit-elle tenir un registre des traitements ?

Presque toujours. L'article 30 du RGPD dispense les organisations de moins de 250 employés, sauf si le traitement n'est pas occasionnel, présente un risque ou porte sur des données sensibles. Un fichier clients n'est pas occasionnel. L'APD propose un modèle de registre.

Que risque une PME qui ne respecte pas le RGPD ?

Les plafonds vont jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, mais l'amende reste l'exception : en 2025, l'APD a pris 214 décisions et infligé quatre amendes, pour 75 700 euros au total. Le scénario réaliste est une plainte suivie d'un ordre de mise en conformité.