Règles pour les sites web en Belgique

L'Autorité de Protection des Données (APD, ou GBA en néerlandais) est l'autorité de contrôle RGPD belge. Elle a été créée par la loi du 3 décembre 2017, révisée en 2024 et entrée en vigueur sous sa nouvelle forme le 1er juin 2024.

Depuis le 29 avril 2025, l'APD fonctionne avec un nouveau Comité de direction pour un mandat de six ans. La présidence est désormais assurée par le chef du Secrétariat général pendant toute la durée du mandat. Koen Gorissen occupe ce rôle. La Chambre Contentieuse, dirigée par Hielke Hijmans, prononce les sanctions. Le Service d'Inspection, dirigé par Peter Van den Eynde, mène les enquêtes.

L'APD a publié son plan stratégique 2026-2028 le 23 décembre 2025. Deux priorités ressortent. Les traitements à grande échelle à haut risque, et les traitements de données de mineurs. Si votre site collecte des données de mineurs ou de grandes quantités de données de navigation, attendez-vous à un examen plus serré dans les deux ans qui viennent.

Site officiel : autoriteprotectiondonnees.be.

Depuis le 10 janvier 2022, l'APD a la compétence matérielle explicite sur le placement et l'usage de cookies. C'est l'article 256 de la loi du 21 décembre 2021 qui a déplacé cette compétence de l'ancien article 129 de la Loi sur les Communications Électroniques vers la loi du 30 juillet 2018.

Depuis, la Chambre Contentieuse a prononcé plusieurs décisions de référence pour les sites belges.

• Roularta, 50 000 € (décision 85/2022 du 25 mai 2022) pour des cookies sur levif.be et knack.be. Point de droit important : les cookies de statistiques ne sont pas considérés comme strictement nécessaires. Le consentement est requis.
• IAB Europe, 250 000 € (2022, confirmée par la Cour des marchés le 14 mai 2024) pour le Transparency and Consent Framework. Portée européenne via le guichet unique.
• Groupe Rossel, 50 000 € pour des violations similaires sur des sites de presse.
• Plusieurs amendes de 10 000 € à 40 000 € sur des éditeurs moyens et PME belges depuis 2023.

La checklist cookies publiée par l'APD en 2024 est plus stricte que celle de la CNIL sur trois points. Les cookies de statistiques exigent un consentement opt-in, y compris Google Analytics. Les cookies walls sont interdits, pas simplement déconseillés. Les boutons Accepter et Refuser doivent être de même taille et de même visibilité au premier niveau de la bannière.

Si votre site cible la Belgique, calquez votre bannière sur la position APD, pas sur la position CNIL. C'est la seule qui vous protège dans les deux juridictions.

La Belgique est un État fédéral avec trois régions et trois communautés linguistiques. Pour un site web commercial destiné aux consommateurs belges, la langue n'est pas un simple choix marketing. C'est une obligation légale dans certains cas.

En Flandre, les informations contractuelles et les conditions générales à destination des consommateurs doivent être disponibles en néerlandais. En Wallonie, elles doivent être disponibles en français. À Bruxelles, le bilinguisme français-néerlandais est la règle pour les services publics et fortement recommandé pour les services privés. Dans les cantons de l'Est, l'allemand s'ajoute.

Le SPF Economie (FOD Economie) est l'autorité qui contrôle le respect de ces règles ainsi que le Code de droit économique. Une boutique en ligne qui cible les consommateurs belges doit, au minimum, proposer ses conditions de vente dans la langue du consommateur.

Pour la politique de confidentialité et la bannière cookies, la bonne pratique est la même langue que le contenu commercial du site. Un site uniquement en français qui affiche sa politique en anglais échoue au test de consentement éclairé.

Le Livre VI du Code de droit économique couvre les pratiques du marché et la protection du consommateur. C'est le texte central pour toute boutique en ligne qui vend à des consommateurs belges, qu'elle soit basée à Anvers, à Bordeaux ou à Amsterdam.

Quatre points reviennent dans les contrôles du SPF Economie.

L'information précontractuelle. Le consommateur doit pouvoir identifier le vendeur (dénomination, adresse physique, BCE), connaître le prix total TVA comprise, les frais de livraison, le délai de livraison et les moyens de paiement acceptés, avant de valider son panier.

Le droit de rétractation de 14 jours. Le formulaire type de rétractation doit être accessible depuis le site. Le point de départ du délai est la réception du bien, pas la commande.

Les avis clients. Depuis la transposition de la directive Omnibus (loi du 8 mai 2022), publier des avis sans vérifier qu'ils proviennent de vrais acheteurs expose à des sanctions. Le SPF Economie a sanctionné plusieurs acteurs sur ce point en 2023 et 2024.

Les prix de référence en cas de promotion. Lorsque vous affichez "-30%", le prix barré doit être le prix le plus bas pratiqué pendant les 30 jours précédant la promotion. La règle vient aussi de la directive Omnibus.

Une boutique en ligne sérieuse combine le scanner RGPD et une revue annuelle de ces quatre points avec un juriste.

Beaucoup de sites bilingues français-belges pensent qu'une configuration valide pour la CNIL passe automatiquement en Belgique. Ce n'est vrai qu'en partie. Voici les trois différences qui se retrouvent dans la plupart des audits.

La règle pratique pour un site bicéphale : configurer sur la base APD, qui est plus stricte. Vous serez conforme dans les deux pays.

Mon site français vend en Belgique, quelle loi s'applique ?

Le RGPD s'applique partout dans l'UE. Pour les règles de cookies, l'APD est compétente dès lors que vous ciblez le marché belge. Pour le commerce, le Code de droit économique belge s'applique à toute transaction avec un consommateur belge, même depuis un serveur français.

Dois-je enregistrer ma société auprès de l'APD ?

Non. L'obligation de déclaration préalable a disparu avec le RGPD en 2018. Vous pouvez tenir un registre des traitements (article 30 RGPD) et, pour certains traitements, désigner un délégué à la protection des données.

Un petit site e-commerce belge doit-il vraiment refuser les cookies analytiques par défaut ?

Oui, selon la position APD. En pratique, beaucoup de sites de PME belges ne le font pas. Le risque n'est pas une amende à 250 000 €, réservée aux acteurs structurels. C'est une plainte citoyenne suivie d'une décision de la Chambre Contentieuse avec publication nominative. L'effet réputationnel est réel.

Quelles sont les langues obligatoires pour une boutique en ligne belge ?

Le néerlandais en Flandre, le français en Wallonie, les deux à Bruxelles. Pour un site qui cible toute la Belgique, prévoyez au minimum français et néerlandais pour les conditions générales et la politique de confidentialité.