Bannière cookies obligatoire ? Ce que disent les règles belges

Oui, dès que votre site dépose ou lit sur l'appareil du visiteur quelque chose qui n'est pas strictement nécessaire : les cookies de Google Analytics, un pixel publicitaire de Meta, une vidéo YouTube ou une carte Google Maps. Pour les cookies strictement nécessaires, comme un panier, une connexion ou le choix de la langue, vous n'avez pas besoin de demander le consentement, selon l'Autorité de protection des données (APD, le gendarme belge de la vie privée), mais vous devez expliquer à quoi ils servent. Et les statistiques sans cookies ? Elles aident beaucoup, mais l'APD n'a pas dit qu'elles sont dispensées de consentement dans tous les cas.

Que dit la règle ?

Vous ne pouvez stocker ou lire quelque chose sur l'appareil d'un visiteur que si vous lui expliquez d'abord clairement pourquoi, et qu'il donne ensuite son consentement. Deux exceptions : quand cela sert uniquement à envoyer un message sur Internet, ou quand c'est strictement nécessaire pour un service que le visiteur a lui-même demandé. La règle vient de l'Europe et figure dans la loi belge sur la protection des données du 30 juillet 2018, article 10/2 (loi-cadre). Jusqu'en 2022, elle figurait dans la loi relative aux communications électroniques ; des textes plus anciens y renvoient encore.

Il ne s'agit pas seulement des cookies. Pour l'APD, la règle vise aussi d'autres techniques qui stockent ou reconnaissent quelque chose sur l'appareil, comme les pixels (APD). Le Comité européen de la protection des données (CEPD), qui réunit les autorités de protection des données de l'Union, y ajoute les scripts qui demandent au navigateur d'envoyer des données, et parfois même le suivi des visiteurs par leur adresse IP (CEPD).

Quand le consentement n'est-il pas nécessaire ?

Pour les cookies strictement nécessaires à un service que le visiteur demande lui-même, ou au fonctionnement de votre site (APD) :

• son panier, ou un formulaire sur plusieurs pages ;

• sa connexion, par exemple à votre portail clients ;

• la conservation temporaire de son choix de langue ;

• son choix dans la bannière cookies, en principe six mois au maximum selon l'APD.

Pour ces cookies aussi, vous expliquez à quoi ils servent. L'APD demande une politique en matière de cookies, avec notamment la liste de vos cookies, leur finalité et leur durée. Votre visiteur doit pouvoir la trouver facilement, par exemple via un lien. Qu'il s'agisse d'une page à part ou d'un chapitre de votre politique de confidentialité, l'APD ne le précise pas.

Les cookies statistiques et publicitaires exigent-ils toujours le consentement ?

En Belgique, oui. Pour les cookies de mesure d'audience, l'APD est claire : « il n'y a pas d'exemption », « même quand il s'agit de cookies “internes” (first party) », c'est-à-dire de votre propre site. Compter les visiteurs n'est pas un service que le visiteur a demandé (APD).

Vous lisez des sites français ? La CNIL, en France, exempte certains cookies de mesure d'audience à des conditions strictes (CNIL). Cette exemption ne vaut pas en Belgique.

Comment vérifier ce que charge votre site ?

Demandez-le à votre webdesigner : « Donnez-moi la liste de tous les cookies de mon site, et de tous les services d'autres entreprises que mon site charge. » Ou regardez vous-même, dans Chrome :

1. Ouvrez votre site dans une fenêtre de navigation privée, sans cliquer sur quoi que ce soit dans la bannière.

2. Faites un clic droit sur la page et choisissez Inspecter. Dans l'onglet Application, sous Cookies, vous voyez ce que votre site a déjà déposé (Chrome).

3. Ouvrez l'onglet Network (Réseau) et rechargez la page. Vous voyez de quelles adresses votre site charge quelque chose (Chrome). Si vous y lisez google-analytics.com, youtube.com ou facebook.net, votre site charge quelque chose d'une autre entreprise.

Vous voyez déjà des cookies qui ne sont pas strictement nécessaires, alors que vous n'avez encore cliqué sur rien ? Il y a du travail.

Que faire avec une carte, une vidéo ou des polices de caractères ?

• Une carte Google Maps sur votre page de contact demande le consentement. Une image de la carte avec un lien « Voir sur Google Maps », non.

• Une vidéo YouTube : ne la chargez que quand le visiteur clique dessus, avec une phrase qui précise que YouTube peut alors déposer des cookies. Avant ce clic, rien de YouTube n'arrive sur votre site.

• Les polices de Google : le navigateur du visiteur contacte alors Google. Faites-les héberger sur votre propre serveur.

• LinkedIn : un simple lien vers votre page d'entreprise ne charge rien ; un bouton ou un fil LinkedIn intégré, si.

• Un formulaire avec reCAPTCHA charge un script de Google. Demandez à votre webdesigner une protection contre le spam qui ne charge rien d'une autre entreprise.

• La connexion à votre portail clients est strictement nécessaire : pas de consentement.

Vous utilisez Google Analytics ? Vous avez trois options : une bannière qui suit la check-list ci-dessous, passer à des statistiques sans cookies, ou retirer Google Analytics si, de toute façon, vous ne consultez pas les chiffres.

Que doit faire une bonne bannière cookies ?

L'APD a publié une check-list en octobre 2023 (APD). Les points principaux :

• D'abord demander, ensuite charger. Les cookies qui ne sont pas strictement nécessaires ne se chargent qu'après le consentement.

• Refuser aussi facilement qu'accepter. Un bouton « Tout refuser » à côté de « Tout accepter », dans la bannière elle-même. Un bouton « Paramètres » à côté de « Tout accepter » ne suffit pas.

• Pas de pièges. Pas de cases précochées, pas de bouton mis en avant par la couleur, pas de consentement parce que quelqu'un continue à naviguer ou ferme la bannière.

• Pas de mur de cookies. Qui refuse doit pouvoir utiliser votre site normalement.

• Un choix par finalité (statistiques, publicité, réseaux sociaux), au plus tard dans la fenêtre qui s'ouvre derrière « Paramètres ».

• Dans la bannière elle-même, expliquez qui dépose les cookies, comment le visiteur accepte ou refuse, quelles en sont les conséquences, et qu'il peut retirer son consentement.

• Retirer son consentement aussi facilement que le donner, par exemple grâce à un lien en bas de chaque page.

• Gardez les anciennes versions de votre bannière et de votre politique en matière de cookies, avec leur date.

• Dans la langue du visiteur : en français et en néerlandais si votre site s'adresse aux deux.

Votre webdesigner installe la bannière, ou vous utilisez un service prêt à l'emploi qui respecte ces points.

Que changent les statistiques sans cookies ?

Des outils comme Plausible comptent les visites sans cookies. Cela change beaucoup : aucun cookie sur l'appareil, aucune donnée vers un réseau publicitaire, et vos chiffres sont plus complets. Mais pas tout :

• La règle vise plus que les cookies. Selon le CEPD, un script qui transmet des données de l'appareil peut en relever, et parfois même le suivi des visiteurs par leur adresse IP.

• L'APD n'a pas publié de position sur les statistiques sans cookies ; en tout cas, nous n'en avons pas trouvé. Plausible écrit lui-même qu'avec son outil, aucune bannière n'est nécessaire (Plausible) : c'est l'avis du fournisseur, pas celui de l'APD.

• Le RGPD s'applique toujours. Même sans cookies, vous traitez des données personnelles, comme les adresses IP et ce que les visiteurs tapent dans vos formulaires. Votre politique de confidentialité dit ce que vous traitez et pourquoi (RGPD, art. 13).

Que risquez-vous ?

Un visiteur peut porter plainte auprès de l'APD (APD). L'APD peut alors vous ordonner de vous mettre en ordre, ou vous infliger une amende : en 2022, l'éditeur de Knack et du Vif a reçu une amende de 50 000 euros pour les cookies de ces deux sites (APD, décision 85/2022, en néerlandais).

La règle va-t-elle changer ?

L'Europe prépare des règles plus souples, notamment pour pouvoir compter les visiteurs sans consentement (Commission européenne, Journal du Net). Au 4 novembre 2026, ce n'est pas encore la loi.

Alors, avez-vous besoin d'une bannière cookies ?

• Oui, si vous utilisez Google Analytics, des pixels publicitaires, des boutons ou fils de réseaux sociaux, des vidéos ou cartes intégrées, ou un chat d'une autre entreprise.

• Pas de consentement à demander, mais une information à donner, si vous n'utilisez que des cookies strictement nécessaires.

• Votre site compte sans cookies et ne charge rien de tiers ? La raison la plus courante d'afficher une bannière disparaît. L'APD n'a pas dit expressément si cela suffit.

• Toujours une politique de confidentialité.

Les sites Kintsu ne déposent eux-mêmes aucun cookie et ne chargent aucun traceur tiers ; ils n'affichent donc pas de bannière cookies. Kintsu compte les visites sur le serveur, chaque fois qu'une page est demandée : aucun script ne tourne, rien n'arrive sur l'appareil. Pour compter un visiteur une seule fois par jour, le serveur calcule un code à partir de l'adresse IP et du type de navigateur, qui disparaît après ce jour ; seuls les totaux restent. Nous estimons donc que ce comptage ne nécessite pas de consentement. L'APD ne l'a pas confirmé. Si vous ajoutez un élément qui dépose des cookies, comme Google Analytics ou Google Maps, une bannière apparaît avec un bouton pour refuser à côté du bouton pour accepter. Plus d'infos dans Vie privée et hébergement dans l'UE.

Cet article est une information générale, pas un avis juridique. Il reflète ce que disent la loi et l'APD au 4 novembre 2026. En cas de doute sur votre propre site, adressez-vous à un juriste.

Sources

Toutes les sources ont été consultées le 4 novembre 2026.

• Autorité de protection des données, Cookies et autres traceurs, mise à jour du 17 novembre 2023

• Autorité de protection des données, Check-list cookies, octobre 2023

• Autorité de protection des données, Introduire une plainte

• Autorité de protection des données, Décision quant au fond 85/2022, 25 mai 2022 (en néerlandais)

• Loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, art. 10/2, en vigueur depuis le 10 janvier 2022

• Loi du 13 juin 2005 relative aux communications électroniques, art. 129, abrogé le 10 janvier 2022

• CEPD (EDPB), Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, version 2.0 du 7 octobre 2024 (en anglais)

• CNIL, Cookies : solutions pour les outils de mesure d'audience

• Chrome for Developers, View, add, edit, and delete cookies et Inspect network activity (en anglais)

• Plausible, Data policy

• Règlement général sur la protection des données (RGPD), art. 13

• Commission européenne, Proposition de règlement omnibus numérique, 19 novembre 2025

• Journal du Net, Digital Omnibus : ce que change le mandat du Conseil de l'UE du 21 octobre 2026, 29 octobre 2026