RGPD et Site Web en Belgique : Guide Complet de Conformité (2026)

#Pourquoi le RGPD concerne tous les sites web belges

Que vous soyez une SRL avec 5 employés ou un indépendant en personne physique, dès que votre site a un formulaire de contact, vous traitez des données personnelles. Le RGPD s'applique. Pas d'exception PME.

#Sanctions : ce que dit l'article 83 du RGPD

Les amendes prévues par le RGPD sont graduées en deux paliers :

• Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (montant le plus élevé) pour les manquements administratifs (registre de traitement, sécurité, notification de fuite).
• Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements aux principes (base légale, consentement, droits des personnes, transferts hors UE).

#Les 6 grands principes à respecter (Article 5)

L'article 5 du RGPD pose les fondations. Tout traitement de données via votre site doit respecter :

1. Licéité, loyauté, transparence — l'utilisateur sait ce que vous faites de ses données.
2. Limitation des finalités — les données collectées pour X ne servent pas à Y plus tard.
3. Minimisation — ne collectez que ce qui est nécessaire (pas d'adresse complète si vous n'envoyez rien par courrier).
4. Exactitude — les données doivent être à jour ; donnez la possibilité de corriger.
5. Limitation de conservation — vous ne gardez pas les données « pour toujours ».
6. Intégrité et confidentialité — sécurité technique (HTTPS, mots de passe, accès restreint).

#Les bases légales : pourquoi avez-vous le droit de traiter ?

#Cookies : ce que la recommandation 01/2023 de l'APD impose

#Ce que votre bandeau cookies doit faire

• Demander un consentement préalable : les cookies non essentiels ne se déposent pas avant action de l'utilisateur.
• Refuser doit être aussi facile qu'accepter : un bouton « Tout refuser » au même niveau visuel que « Tout accepter ». Un bouton « Accepter » seul, ou un bouton « Refuser » caché derrière 3 menus, n'est pas un consentement valable.
• Pas de cases pré-cochées (jurisprudence CJUE Planet49, C-673/17).
• Granularité : permettre d'accepter par catégorie (mesure d'audience, marketing, etc.).
• Continuer à naviguer ≠ consentir : la simple poursuite de la navigation ne vaut pas acceptation.
• Possibilité de retirer le consentement aussi facilement qu'il a été donné.
• Conservation du consentement : 6 à 13 mois maximum recommandés, puis nouvelle demande.

#Cookies sans consentement (autorisés)

• Cookie de session, panier, authentification
• Cookie de préférence de langue (si choisi par l'utilisateur)
• Cookie de sécurité anti-fraude

#Les mentions obligatoires sur votre site

#1. Politique de confidentialité (privacy policy)

• Identité et coordonnées du responsable du traitement (vous / votre entreprise)
• Coordonnées du DPO s'il est désigné
• Finalités du traitement et base légale
• Intérêts légitimes poursuivis si la base légale est l'intérêt légitime
• Destinataires des données (sous-traitants : hébergeur, CRM, mailing, etc.)
• Transferts hors UE et garanties (clauses contractuelles types, décision d'adéquation)
• Durée de conservation ou critères de détermination
• Droits de la personne : accès, rectification, effacement, limitation, portabilité, opposition
• Droit de retirer le consentement à tout moment
• Droit d'introduire une réclamation auprès de l'APD
• Caractère obligatoire ou facultatif de la fourniture des données
• Existence d'une décision automatisée (profilage) le cas échéant

#2. Mentions légales

• Nom / dénomination sociale
• Adresse géographique (siège social, pas une boîte postale)
• Email et numéro de téléphone
• Numéro d'entreprise (BCE / TVA)
• RPM (registre des personnes morales) compétent
• Pour les professions réglementées : ordre, autorité de tutelle, règles professionnelles applicables

#3. CGU / CGV pour l'e-commerce

#Les droits des utilisateurs (Articles 15 à 22)

Tout visiteur dont vous avez les données peut exercer :

#Le DPO (délégué à la protection des données) : pour qui ?

1. Vous êtes une autorité ou un organisme public.
2. Vos activités principales impliquent un suivi régulier et systématique à grande échelle de personnes (réseaux sociaux, plateformes de tracking, opérateurs telecom).
3. Vos activités principales reposent sur le traitement à grande échelle de données sensibles (santé, biométrie, judiciaire).

#Le registre des activités de traitement (Article 30)

Il doit contenir, par traitement :

• Nom et coordonnées du responsable (et du DPO le cas échéant)
• Finalités du traitement
• Catégories de personnes et de données
• Catégories de destinataires
• Transferts hors UE
• Durées de conservation
• Description des mesures de sécurité

#Sous-traitants : un contrat (Article 28) est obligatoire

• Hébergeur web (OVH, Combell, Vercel, etc.)
• Plateforme email (Mailchimp, Brevo, ActiveCampaign)
• Outil CRM (HubSpot, Pipedrive)
• Outil de mesure d'audience (Google Analytics, Plausible, Matomo)
• Plateforme e-commerce (Shopify, WooCommerce hébergé)

#Transferts hors UE : le sujet sensible

À vérifier pour chaque outil :

• L'éditeur est-il certifié DPF (consultable sur dataprivacyframework.gov) ?
• Sinon, des clauses contractuelles types (CCT) sont-elles signées et complétées d'analyses d'impact (TIA) ?
• Existe-t-il une option de stockage en UE (souvent dispo en Enterprise) ?

#Notification d'une fuite de données (Article 33)

#Checklist de conformité : 12 points actionnables

Pour un site PME/indépendant, voici l'essentiel à vérifier :

1. ✅ HTTPS actif sur l'ensemble du site (certificat SSL valide)
2. ✅ Politique de confidentialité complète conforme à l'article 13
3. ✅ Mentions légales conformes au CDE
4. ✅ Bandeau cookies avec « Tout refuser » au même niveau qu'« Tout accepter »
5. ✅ Pas de cookies non essentiels avant consentement
6. ✅ Cases non pré-cochées sur les formulaires (newsletter, etc.)
7. ✅ Mention du droit d'opposition sur chaque email marketing (lien désinscription en 1 clic)
8. ✅ Registre des traitements tenu à jour
9. ✅ DPA signés avec chaque sous-traitant
10. ✅ Process documenté pour répondre aux demandes d'exercice de droits sous 1 mois
11. ✅ Mesures de sécurité documentées (mots de passe forts, MFA, sauvegardes, journalisation)
12. ✅ Procédure de notification de fuite préparée (qui contacter, sous quel délai)

#Erreurs fréquentes constatées par l'APD

Sur la base des décisions publiques de l'APD ces dernières années, voici les manquements récurrents :

• Bandeau cookies non conforme (« Accepter » plus visible que « Refuser », ou bouton de refus absent)
• Cookies déposés avant consentement (notamment Google Analytics, Meta Pixel)
• Non-réponse aux demandes d'accès ou réponse au-delà du délai d'un mois
• Politique de confidentialité générique (copiée d'un autre site, mentions manquantes)
• Newsletter sans opt-in actif (case pré-cochée, ou pas de case du tout)
• Pas de DPA signé avec les sous-traitants principaux
• Conservation indéfinie des leads dans le CRM

#Combien coûte la mise en conformité d'un site PME ?

Pour un site vitrine ou e-commerce de PME en Belgique, en 2026 :

• Audit RGPD initial par un consultant spécialisé : 800 € – 2 500 € selon la taille
• Solution de gestion du consentement (CMP) : 0 € – 100 €/mois (Cookiebot, Axeptio, Didomi, ou solution open source comme Klaro)
• Rédaction des mentions par un juriste : 400 € – 1 200 €
• DPO externe (si nécessaire) : 150 € – 600 €/mois

#FAQ

#Mon site n'a qu'un formulaire de contact, suis-je vraiment concerné ?

Oui. Dès qu'un nom et un email sont collectés, vous traitez des données personnelles. La politique de confidentialité, les mentions légales et les bases de sécurité sont obligatoires.

#Google Analytics est-il interdit en Belgique ?

#Est-ce que j'ai besoin d'un DPO pour ma PME ?

Dans la grande majorité des cas, non. Le DPO n'est obligatoire que pour les autorités publiques et les entreprises dont l'activité principale repose sur du suivi à grande échelle ou des données sensibles. Désigner un référent interne reste une bonne pratique.

#Puis-je copier la politique de confidentialité d'un autre site ?

#Combien de temps puis-je conserver les leads d'un formulaire de contact ?

#Que faire si je reçois une plainte de l'APD ?

À retenir : la conformité RGPD n'est pas un projet que l'on « termine ». C'est un processus continu de documentation, de revue des sous-traitants et d'amélioration. Mais 80 % de la valeur s'obtient en quelques semaines de travail structuré, et c'est l'un des meilleurs investissements que peut faire une PME belge — autant pour le risque réglementaire que pour la confiance des clients.