Bannière de cookies et RGPD pour un petit commerce

En Belgique, il vous faut le consentement du visiteur pour tout cookie qui n’est pas strictement nécessaire, ce qui vaut pour la plupart des outils d’analyse. Si vous demandez un consentement, refuser doit être aussi facile qu’accepter. C’est ainsi que l’Autorité de protection des données belge (APD) le décrit. Ceci n’est pas un conseil juridique : pour votre cas, demandez l’avis d’un juriste.

Ai-je besoin d’une bannière de cookies sur mon site en Belgique ?

Seulement si le site dépose ou lit sur l’appareil du visiteur quelque chose qui n’est pas strictement nécessaire. La règle belge est l’article 10/2 de la loi du 30 juillet 2018. L’APD l’applique à plus que les cookies : les pixels, l’empreinte numérique de l’appareil (device fingerprinting) et le stockage local comptent aussi. Un site sans rien de tout cela n’a pas besoin de bannière.

Quels cookies puis-je utiliser sans demander ?

Deux types, selon l’APD :

Les cookies techniques strictement nécessaires, comme les cookies de session pour la répartition de charge.
Les cookies fonctionnels strictement nécessaires à un service que le visiteur a demandé, comme le choix de la langue, les préférences de cookies elles-mêmes ou le contenu d’un panier.

Pour tout le reste, il faut d’abord un consentement.

L’analyse d’audience demande-t-elle un consentement ?

En principe, oui. L’APD dit qu’un cookie analytique ne remplit généralement pas les deux conditions de l’exemption, parce qu’il sert les statistiques du propriétaire du site et non un service demandé par le visiteur. Sa checklist ajoute que compter les visiteurs n’est en principe pas exempté, et signale que certaines autorités de contrôle d’autres États membres admettent, à des conditions strictes, une exemption limitée. L’APD belge n’en applique aucune dans sa checklist.

Le site de l’APD utilise lui-même un outil d’analyse appelé Plausible, et indique que les données ne sont utilisées que si vous donnez votre consentement. Je n’ai trouvé aucune décision de l’APD disant qu’un outil sans cookies n’a pas besoin de consentement : demander d’abord est donc la voie prudente.

Sur les sites que je construis, le script d’analyse ne se charge qu’après que le visiteur a cliqué sur accepter. Avant ce choix, rien d’optionnel ne se charge.

À quoi ressemble une bannière de cookies valide ?

L’APD publie une checklist des cookies. Elle la présente comme un outil, et non comme une liste de nouvelles obligations. Les points principaux :

Exigence	En pratique
Rien de non essentiel avant le consentement	Aucun cookie optionnel déposé ou lu avant un oui valide
Refuser au même niveau qu’accepter	Un bouton « gérer les paramètres » à côté de « tout accepter » ne suffit pas
Pas de conception trompeuse	Par exemple, pas de couleurs qui poussent vers l’acceptation
Consentement par finalité	Au plus tard sur un deuxième niveau
Information claire sur le premier niveau	Qui dépose les cookies, comment accepter ou refuser, ce qui suit et le droit de retirer son consentement
Consentement actif uniquement	Pas de consentement en faisant défiler la page, en fermant la bannière ou par des cases cochées d’avance
Pas de mur de cookies	L’accès ne peut pas dépendre de l’acceptation
Retrait facile	Un lien ou un bouton bien visible, un clic, et le retrait doit avoir un effet réel

Sur mes sites, les visiteurs peuvent retirer leur consentement depuis le pied de page et depuis la page des cookies.

Combien de temps puis-je mémoriser le choix, et que dois-je conserver ?

L’APD dit que les cookies qui mémorisent les choix d’un visiteur doivent être conservés pour une durée limitée, et qu’elle juge 6 mois raisonnables en principe. Sur mes sites, le choix expire donc au bout de six mois, puis la bannière pose de nouveau la question. L’APD vous demande aussi de conserver la preuve de l’évolution de votre bannière dans le temps, de garder les versions précédentes de votre politique en matière de cookies et de dater cette politique et de lui donner un numéro de version.

Que doit contenir ma politique de confidentialité ?

Quand vous collectez des données directement auprès des personnes, le guide de l’APD pour les petites entreprises énumère ce que vous devez leur dire. Pour un petit site, cela donne :

qui vous êtes et comment vous joindre
pourquoi vous utilisez les données et sur quelle base juridique
qui les reçoit, par exemple un développeur web
si elles quittent l’Espace économique européen, et avec quelles garanties
combien de temps vous les conservez, ou selon quels critères
les droits du visiteur, y compris retirer son consentement et introduire une plainte auprès d’une autorité de contrôle

Les conseils de l’APD : placez un lien vers la politique depuis la page d’accueil et depuis toutes les autres pages, rendez-la disponible dans toutes les langues du site, datez-la et conservez les versions précédentes.

Quels contrats me faut-il avec mon hébergeur et mon fournisseur d’e-mail ?

Le guide de l’APD dit qu’une entreprise qui désigne un sous-traitant doit conclure avec lui un contrat de sous-traitance. Son exemple est celui d’une entreprise qui conserve les données de ses clients chez un hébergeur : l’hébergeur agit comme sous-traitant. Le guide du nom de domaine, de l’hébergement et de l’e-mail explique qui gère quoi.

Et en cas de fuite de données ?

Le Comité européen de la protection des données (CEPD) dit que vous devez prévenir l’autorité de protection des données dans les 72 heures après avoir découvert la fuite, sauf s’il est peu probable qu’elle présente un risque pour les personnes. Vous pouvez notifier par étapes, mais vous devez justifier tout retard. Informez les personnes touchées sans retard injustifié lorsque le risque est élevé. Enregistrez chaque fuite, y compris celles que vous ne notifiez pas.

Que doit afficher légalement mon site web ?

Le SPF Économie énumère ce qu’un site d’entreprise ou une page de réseau social doit afficher : votre nom, votre adresse, des coordonnées avec une adresse e-mail, votre numéro d’entreprise et votre numéro de TVA si votre activité est assujettie à la TVA. Un numéro de téléphone est aussi obligatoire si vous pouvez conclure des contrats à distance avec des consommateurs. La règle vaut aussi pour les indépendants.

Lors de ses contrôles de 2024 sur 2 158 sites et pages web, le SPF Économie a constaté que, pour 47,7 %, les données d’identification manquaient et que, pour 45,7 %, le numéro d’entreprise manquait.

Quelqu’un a-t-il déjà été sanctionné en Belgique pour des cookies ?

Oui. Dans la décision 85/2022 du 25 mai 2022, la Chambre contentieuse de l’APD a infligé une amende de 50 000 euros à Roularta Media Group, éditeur de Knack et du Vif. Les constatations portaient sur des cookies statistiques déposés sans consentement, des cases cochées d’avance pour les partenaires et un retrait du consentement qui ne fonctionnait pas. Elle a aussi ordonné à l’entreprise de se mettre en conformité dans les trois mois.

Où se situe Ovrick ?

Je construis les sites de façon que rien d’optionnel ne se charge avant un choix, ce qui garde la bannière courte ou la rend superflue. Sur mes sites, la carte Google est un espace réservé avec l’adresse et un bouton « Afficher la carte », et rien n’atteint Google avant le clic. C’est ainsi que fonctionne chaque site que je construis, sans supplément : la page des tarifs montre ce qui est inclus. Pour une question sur votre propre situation, demandez l’avis d’un juriste.

Bannière de cookies et RGPD pour un petit commerce en Belgique