Consentement aux cookies en Belgique : l’article 10/2 et les règles de l’APD

Que dit la loi belge sur les cookies ?

La Belgique a d’abord transposé l’article 5, paragraphe 3 de la directive ePrivacy à l’article 129 de la loi du 13 juin 2005 relative aux communications électroniques. La loi du 21 décembre 2021 a déplacé la règle, à compter du 10 janvier 2022, à l’article 10/2 de la loi du 30 juillet 2018, la loi-cadre belge sur les données personnelles, qui renvoie à l’article 125 de la loi de 2005. La règle sur les cookies figure désormais dans la loi-cadre sur la protection des données qu’applique l’Autorité de protection des données.

L’article 10/2 n’autorise le stockage d’informations dans l’équipement terminal d’un abonné ou d’un utilisateur, ou l’accès à des informations qui y sont stockées, que si la personne reçoit une information claire et précise sur les finalités du traitement et sur ses droits au titre du RGPD, et a consenti après l’avoir reçue. Deux cas sont exemptés : le stockage ou l’accès technique dont la seule finalité est d’effectuer la transmission d’une communication sur un réseau de communications électroniques, et ce qui est strictement nécessaire pour fournir un service expressément demandé par l’abonné ou l’utilisateur.

La check-list de l’APD précise que les « cookies » couvrent toute la famille des traceurs : pixels, empreinte numérique de l’appareil (fingerprinting), local storage et suivi dans les applications mobiles.

Que doit faire un bandeau cookies en Belgique ?

L’APD a publié une check-list cookies et une page sur les cookies et autres traceurs. Leurs points principaux :

• Aucun traceur avant le consentement. Aucun cookie qui n’est pas strictement nécessaire ne peut être déposé ou lu avant un consentement valable.
• Refuser à côté d’Accepter. Ne proposez pas de bouton « tout accepter » sans bouton « refuser tous les cookies non essentiels » au même niveau. La check-list indique qu’un bouton « Paramètres » à côté de « Tout accepter » ne suffit pas, et donne comme bon exemple « Tout refuser » et « Tout accepter » présentés de la même manière.
• Pas d’interface trompeuse, comme orienter les visiteurs par la couleur.
• Un consentement spécifique. Au plus tard au second niveau, les visiteurs doivent pouvoir consentir finalité par finalité et, le cas échéant, partenaire par partenaire. La publicité propre et la publicité de tiers sont des finalités distinctes, tout comme les boutons de partage sur les réseaux sociaux et la personnalisation des publicités.
• Un consentement éclairé. Le premier niveau doit indiquer clairement les finalités, qui dépose ou lit les cookies, comment accepter ou refuser, les conséquences de chaque choix et comment retirer son consentement. Un niveau inférieur liste chaque cookie avec sa finalité, sa durée de vie et ses destinataires.
• Un consentement actif. Aucun consentement ne se déduit de la poursuite de la navigation, de la fermeture du bandeau, de l’inactivité, de l’acceptation des conditions générales ou des paramètres du navigateur. Les cases précochées sont exclues à tous les niveaux.
• Un retrait simple, par exemple par un lien ou un bouton bien visible qui permet de retirer son consentement en un clic, avec un effet réel sur les cookies déjà déposés.
• La responsabilité. Conservez les versions antérieures du bandeau et de la politique cookies, avec une date et un numéro de version.

Combien de temps un choix peut-il être mémorisé ?

L’APD considère qu’une durée de vie de 6 mois est en principe raisonnable pour le cookie qui conserve les préférences du visiteur. Passé ce délai, le visiteur est de nouveau sollicité. Les autres cookies exemptés de consentement devraient expirer dès qu’ils ne sont plus nécessaires.

Les cookie walls sont-ils autorisés en Belgique ?

Non. La check-list de l’APD demande aux responsables de sites de ne pas utiliser de cookie walls, en citant les lignes directrices du CEPD sur le consentement : l’accès à un service ne doit pas dépendre de l’acceptation de traceurs, et refuser les cookies ne doit pas entraîner un refus de service.

Les cookies de mesure d’audience exigent-ils un consentement en Belgique ?

En principe, oui. L’APD indique qu’un cookie de mesure d’audience ne remplit en principe pas l’exemption de stricte nécessité, car il sert à transmettre des statistiques au responsable du site plutôt qu’à fournir le service demandé par le visiteur. Dans sa décision Roularta du 25 mai 2022, la Chambre Contentieuse a jugé que les cookies « statistiques » ne peuvent pas, de manière générale, être considérés comme strictement nécessaires. La Belgique n’a pas d’exemption de mesure d’audience à la française : Google Analytics et les outils comparables attendent donc le consentement. Voir la mesure d’audience sans consentement pour les options qui ne stockent aucun identifiant.

Quelles mesures de contrôle ont été prises en Belgique ?

L’APD contrôle les cookies par son Service d’Inspection et sa Chambre Contentieuse, en appliquant l’article 10/2 avec les conditions du consentement du RGPD :

• Roularta, 25 mai 2022 (décision 85/2022) : 50 000 euros. Première décision issue d’une enquête sur 20 des sites de presse belges les plus visités. Sur levif.be et knack.be, une soixantaine de cookies non essentiels étaient déposés avant le consentement, les cases de consentement des tiers étaient précochées, l’information était insuffisante et retirer son consentement était plus difficile que le donner.
• Mediahuis, 6 septembre 2024 (décision 113/2024). Sur une plainte déposée avec noyb au sujet de De Standaard, Het Nieuwsblad, Gazet van Antwerpen et Het Belang van Limburg, la Chambre Contentieuse a ordonné une option de refus à chaque niveau où figure « tout accepter » et des couleurs de boutons non trompeuses, dans un délai de 45 jours, sous astreinte de 25 000 euros par jour, par injonction et par site. La Cour des marchés a annulé la décision le 19 mars 2025 pour des motifs de procédure : elle a estimé que la plainte, organisée par noyb par l’intermédiaire de l’un de ses stagiaires, constituait un abus du droit de plainte. L’arrêt n’a pas remis en cause la lecture de l’APD sur ce que doit contenir un bandeau, que sa check-list énonce toujours.

L’autorité belge a aussi tranché l’affaire contre IAB Europe au sujet du Transparency and Consent Framework (250 000 euros, 2 février 2022), traitée sur la page RGPD.

Dans quelles langues afficher un bandeau belge ?

La Belgique a trois langues officielles : le néerlandais, le français et l’allemand. L’article 10/2 et la check-list ne désignent aucune langue, mais ils exigent une information claire, précise et concise, ce qu’un visiteur n’obtient que dans une langue qu’il lit. Un site dont les visiteurs viennent de plusieurs communautés linguistiques affiche donc le bandeau et l’information sur les cookies dans chacune de leurs langues.

Comment Cookiequiet s’adapte aux règles belges ?

L’installation de Cookiequiet tient en une balise script et environ cinq minutes : le scan remplit le tableau des cookies, Tout refuser et Tout accepter sont présentés de la même manière au premier niveau par défaut, et le bandeau s’affiche en français, en néerlandais ou en allemand selon le navigateur du visiteur. Chaque choix est enregistré dans un registre des consentements avec sa date, la version du bandeau et la langue. Lancez le scanner de cookies gratuit pour voir quels traceurs se chargent avant le consentement.