Mentions légales, RGPD, cookies : les obligations d’un site internet en Belgique

Quelles mentions légales votre site doit-il afficher ?

L’article XII.6 du Code de droit économique oblige toute entreprise qui exploite un site à donner un accès « facile, direct et permanent » aux informations ci-dessous. En pratique : une page « Mentions légales » liée depuis le pied de chaque page, et l’essentiel (nom, numéro d’entreprise, contact) dans le pied de page lui-même.

Pour une société ou une ASBL, l’article 2:20 du Code des sociétés et des associations ajoute, sur le site comme sur les factures : la forme légale (SRL, SA, SC, ASBL…), le siège, la mention « RPM » suivie du tribunal de l’entreprise du siège et, le cas échéant, l’adresse e-mail et le site de la personne morale.

Selon le SPF Économie, ces informations doivent figurer sur toutes les pages internet où l’entreprise est active : site vitrine, boutique en ligne ou réseaux sociaux. Sur Facebook ou Instagram, faites-les figurer sur le compte lui-même, par exemple dans sa présentation ; en cas de doute, renseignez-vous auprès du SPF Économie.

Vous affichez des prix ?

Face à des particuliers, le prix doit être écrit de façon non équivoque (article VI.3) : c’est, en règle générale, le prix total TVAC, taxes et services obligatoires compris (article VI.4), au moins en euros (article VI.5). L’article XII.6 ajoute qu’un prix en ligne doit préciser si les taxes et les frais de livraison sont inclus. Un site réservé aux professionnels peut afficher des prix HTVA, s’il le dit clairement. Les règles de la commande en ligne (conditions générales, rétractation) sont dans le chapitre vendre en ligne en Belgique.

Que doit contenir la politique de confidentialité ?

Dès que votre site collecte une donnée personnelle (formulaire de contact, lettre d’information, compte client, commande, mesure d’audience), l’article 13 du RGPD vous oblige à informer la personne au moment de la collecte, en pratique par une page « Politique de confidentialité » liée depuis chaque formulaire. Elle doit notamment indiquer :

• votre identité et vos coordonnées, et celles de votre délégué à la protection des données s’il existe ;
• chaque finalité et sa base juridique, avec les intérêts légitimes poursuivis quand c’est la base choisie ;
• les destinataires ou leurs catégories : hébergeur, outil d’e-mailing, prestataire web, comptable, transporteur ;
• les transferts hors de l’Union européenne et leur base ;
• la durée de conservation, ou les critères qui la fixent ;
• les droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, le retrait du consentement et la plainte auprès de l’Autorité de protection des données (APD) ;
• les champs obligatoires et la conséquence d’un refus.

Formulaires, conservation, sous-traitants : que faut-il régler en coulisse ?

La politique doit décrire ce que le site fait réellement :

• Des formulaires minimaux (article 5.1.c) : nom, e-mail, message ; le téléphone en option, marqué comme tel. Pas de date de naissance ni d’adresse si vous ne livrez rien. Pour un simple formulaire de contact, une case « j’accepte la politique » n’est en principe pas nécessaire : l’article 13 impose d’informer, pas d’obtenir un accord (l’inscription à une lettre d’information demande, elle, un consentement).
• Un contrat avec chaque sous-traitant (article 28) : hébergeur, outil d’e-mailing, service de formulaires, prestataire qui a un accès administrateur. Les grands fournisseurs l’intègrent en général à leurs conditions (souvent sous le nom « DPA ») ; vérifiez-le, ainsi que le lieu de stockage. Un hébergeur européen simplifie ce point, comme l’explique le chapitre sur le choix d’un hébergeur européen.
• Un registre des traitements (article 30) : l’exception pour les organisations de moins de 250 personnes ne vaut pas quand le traitement est habituel, ce qui est le cas de la gestion des clients. L’APD en propose un modèle Excel. Un allègement de cette obligation a été proposé au niveau européen (« omnibus IV ») : tant qu’aucune modification n’est en vigueur, tenez le registre, et vérifiez sur le site de l’APD si la règle a évolué.
• Une réponse aux demandes en un mois, prolongeable de deux mois si la demande est complexe (article 12.3).

Le RGPD ne donne pas de durées chiffrées : il impose de ne garder les données que le temps nécessaire (article 5.1.e), y compris dans la boîte e-mail où arrivent les formulaires.

L’APD traite les plaintes, enquête et sanctionne. En cas de piratage, la notification est expliquée dans les démarches après une fuite de données.

Faut-il un bandeau cookies sur votre site ?

Oui, dès que le site dépose ou lit sur l’appareil du visiteur un traceur qui n’est pas strictement nécessaire. Non, s’il n’utilise que des cookies indispensables. La règle belge figure depuis le 10 janvier 2022 à l’article 10/2 de la loi du 30 juillet 2018 (la « loi-cadre » vie privée). Elle remplace l’article 129 de la loi du 13 juin 2005 sur les communications électroniques, abrogé : un document qui le cite encore n’est plus à jour. Selon l’APD, la règle vise aussi les pixels, le stockage local du navigateur et l’empreinte de l’appareil.

Échappent au consentement les seuls traceurs strictement nécessaires à la transmission de la communication (répartition de charge, par exemple) ou à un service expressément demandé par le visiteur : panier, session de connexion, choix de la langue, mémorisation du choix en matière de cookies. Les modules des réseaux sociaux (bouton « J’aime », pixel) et les outils publicitaires demandent un consentement préalable ; pour les vidéos et cartes intégrées, vérifiez les traceurs qu’elles déposent.

La check-list cookies de l’APD, un outil non exhaustif, reprend notamment ces points :

• aucun cookie non nécessaire avant le choix du visiteur ;
• « Tout refuser » au même niveau que « Tout accepter » (un bouton « Paramètres » ne suffit pas), sans technique trompeuse comme une couleur qui pousse à accepter : l’APD cite en bon exemple deux boutons affichés de la même façon ;
• aucune case pré-cochée, aucun consentement déduit de la poursuite de la navigation ou de la fermeture du bandeau, pas de « cookie wall » ;
• un choix par finalité, au plus tard au deuxième niveau ;
• un lien ou un bouton bien visible pour retirer son consentement aussi facilement qu’il a été donné ;
• la liste des cookies avec finalité, durée et destinataires ;
• le choix du visiteur mémorisé pour une durée limitée (l’APD estime qu’un délai de 6 mois est en principe raisonnable) ;
• les versions successives du bandeau et de la politique cookies conservées, la politique étant datée et numérotée.

Ces règles sont contrôlées : l’APD peut ordonner une mise en conformité et infliger une amende.

L’option la plus simple : un site sans traceurs

Un site vitrine peut se passer de bandeau s’il ne dépose ni ne lit aucun traceur non nécessaire : polices hébergées sur votre serveur, vidéos et cartes remplacées par une image qui ne charge le service qu’au clic, audience mesurée par les journaux du serveur ou par un outil qui ne dépose ni ne lit rien sur l’appareil. Le RGPD s’applique toujours (une adresse IP est en principe une donnée personnelle), mais tant qu’aucun traceur non nécessaire n’est déposé ni lu, le consentement prévu par l’article 10/2 n’est pas requis : vérifiez chaque outil. Une vidéo ou une carte chargée au clic peut, elle, déposer ensuite les traceurs du service tiers : prévenez le visiteur avant le clic, et vérifiez sur le site de l’APD que votre dispositif suffit. Ce guide fonctionne sans aucun traceur ni mesure d’audience, comme l’expliquent ses mentions légales. Un assouplissement européen de ces règles a été proposé ; tant qu’il n’est pas en vigueur, c’est la règle décrite ici qui s’applique : vérifiez sur le site de l’APD si elle a évolué.

Votre site doit-il être accessible aux personnes handicapées ?

En règle générale, oui dans deux cas : si des particuliers peuvent conclure un contrat sur votre site (achat, abonnement, réservation payée à l’avance), et si vous êtes un organisme public. Un site vitrine d’entreprise privée, sans commande ni paiement en ligne, n’est en principe pas visé. Les services bancaires aux consommateurs sont aussi visés : en cas de doute, vérifiez auprès du SPF Économie.

Pour certains services, dont le commerce électronique, la directive 2019/882 (« European Accessibility Act ») a été partiellement transposée par la loi du 5 novembre 2023, dans le livre VIII du Code de droit économique. Depuis le 28 juin 2025, les « services de commerce électronique » fournis aux consommateurs doivent respecter des exigences d’accessibilité (article VIII.59) et publier comment ils y répondent (article VIII.60). Sont visés les services fournis à distance, via un site ou une application, en vue de conclure un contrat avec un consommateur : une boutique, mais aussi un abonnement ou une réservation payée à l’avance. Selon les lignes directrices du SPF Économie, un simple formulaire de rendez-vous ou de réservation, sans paiement à l’avance, n’en fait pas partie.

Une microentreprise emploie moins de dix personnes et a un chiffre d’affaires annuel ou un total du bilan d’au plus 2 millions €. La directive exonère celles qui fournissent des services ; la Belgique a choisi une exclusion temporaire, jusqu’au 28 juin 2030 : les articles étrangers qui parlent d’exemption ne décrivent pas la situation belge. Le Roi peut exclure certaines catégories de microentreprises (article VIII.59) : vérifiez sur le site du SPF avant 2030.

Une exigence peut céder quand elle imposerait une modification fondamentale du service ou une charge disproportionnée (article VIII.62), mais les autres restent dues, et cette évaluation doit être documentée et signalée à l’Inspection économique. Les lignes directrices du SPF Économie détaillent les exigences applicables au commerce électronique. Pour le secteur public, la référence technique est la norme européenne EN 301 549 : un contenu qui la respecte est présumé conforme. Ses critères comprennent notamment des contrastes suffisants, des textes alternatifs pour les images, une navigation complète au clavier, des formulaires avec étiquettes et messages d’erreur clairs, et un texte qui reste lisible agrandi à 200 %. Prévoyez l’accessibilité dès le cahier des charges : à mon avis, l’intégrer dès la conception revient moins cher que corriger un site terminé.

Pour le secteur public, la directive 2016/2102 a été transposée à plusieurs niveaux de pouvoir, notamment par la loi fédérale du 19 juillet 2018, le décret wallon du 2 mai 2019 et une ordonnance bruxelloise qui vise aussi les communes.

Textes, photos, polices : qu’avez-vous le droit de publier ?

Ce que vous n’avez pas créé appartient en principe à quelqu’un : l’article XI.165 du Code de droit économique réserve à l’auteur la reproduction et la communication au public de son œuvre, mise en ligne comprise, jusqu’à 70 ans après son décès (article XI.166). Une photo trouvée sur un moteur de recherche est en principe protégée, même sans mention « copyright ».

• Photos : les vôtres, celles d’un photographe qui vous cède les droits par écrit, ou celles d’une banque d’images dont vous gardez la licence.
• Personnes reconnaissables : l’article XI.174 exige l’accord de la personne représentée. Demandez-le par écrit à vos employés et clients.
• Textes : ne reprenez pas ceux d’un concurrent ; pour les fiches d’un fabricant, vérifiez qu’il autorise ses revendeurs à les reprendre.
• Polices : les fichiers de polices sont distribués sous licence. Une police achetée pour l’impression n’autorise pas toujours le web ; les polices sous licence SIL Open Font License peuvent être utilisées sur un site, dans le respect de cette licence.

Le site commandé à un prestataire pose la question inverse : selon l’article XI.167, les contrats se prouvent par écrit à l’égard de l’auteur et s’interprètent strictement. Sans clause claire sur les droits (cession ou licence, pour le graphisme, le code, les textes et les photos), vous risquez de ne pas détenir tous les droits sur le site que vous avez payé. Voyez le chapitre choisir son prestataire et lire son contrat.

Que risquez-vous si votre site n’est pas en règle ?

Selon le manquement, l’Inspection économique ou l’APD peut exiger une mise en conformité, et le manquement peut être sanctionné d’une amende, par exemple après une plainte.

Les montants de l’article XV.70 sont des amendes pénales, majorées des décimes additionnels. Les autorités publiques n’encourent pas d’amende de l’APD (article 221 de la loi du 30 juillet 2018), sauf si elles offrent des biens ou services sur un marché. L’Inspection économique peut commencer par un avertissement avec un délai, ou dresser directement un procès-verbal.

La checklist avant la mise en ligne

Cette liste reprend les points principaux de ce chapitre ; elle n’est pas exhaustive et ne remplace pas une vérification de votre cas.

• Mentions liées depuis chaque page : nom, adresse d’établissement, e-mail et un deuxième moyen de contact (téléphone si vous vendez ou proposez des services en ligne), numéro d’entreprise, numéro de TVA si vous y êtes assujetti.
• Société ou ASBL : forme légale, siège, « RPM » et tribunal ; profession réglementée : ordre, titre, règles.
• Mêmes informations sur vos comptes de réseaux sociaux.
• Prix aux particuliers TVAC, frais obligatoires et de livraison précisés.
• Politique de confidentialité propre au site, dans chaque langue du site, liée depuis chaque formulaire.
• Formulaires limités au nécessaire, durées de conservation fixées et appliquées.
• Contrat de sous-traitance vérifié pour chaque outil externe ; registre des traitements tenu.
• Aucun traceur non nécessaire avant consentement, « Tout refuser » visible, lien pour changer d’avis.
• Lettre d’information : consentement préalable, désinscription dans chaque envoi.
• Contrat conclu en ligne avec des particuliers (vente, abonnement, réservation payée à l’avance) : accessibilité prévue (28 juin 2030 au plus tard pour une microentreprise).
• Droits vérifiés pour chaque photo, texte et police ; droits sur le site (cession ou licence) prévus dans le contrat du prestataire.