RGPD et site internet en Belgique : ce qui est vraiment obligatoire

Le RGPD concerne-t-il votre site, même si vous êtes indépendant ?

Oui. Dès que votre site collecte une adresse email via un formulaire, dépose un cookie Google Analytics ou propose une newsletter, vous traitez des données personnelles. Et depuis le 25 mai 2018, le RGPD encadre cette collecte, pour tout le monde : indépendant, PME, ASBL ou grande entreprise. La taille de votre structure ne change rien à l'obligation.

Beaucoup de dirigeants pensent que le RGPD vise les géants du web qui revendent des données par millions. En réalité, la majorité des dossiers traités par l'Autorité belge de protection des données (l'APD, l'équivalent belge de la CNIL française) concernent des petites structures : un site vitrine sans mentions légales, un bandeau cookies qui ne propose pas de vrai bouton refuser, un formulaire qui envoie les coordonnées d'un prospect vers un outil marketing sans le dire.

Ce guide couvre les trois obligations concrètes que votre site doit remplir, l'erreur la plus fréquente sur les formulaires de contact, ce que coûte réellement une non-conformité, et une checklist pour vérifier votre site en 15 minutes.

Les 3 obligations RGPD que votre site doit remplir maintenant

Trois éléments reviennent dans quasi tous les contrôles et signalements. Si votre site les a, vous couvrez déjà l'essentiel.

Les mentions légales obligatoires

Toute entreprise belge qui exploite un site professionnel doit afficher des informations d'identification claires, généralement en pied de page ou sur une page dédiée. En pratique, cela couvre :

• le nom de l'entreprise ou du gérant et sa forme juridique (SRL, indépendant personne physique, ASBL, etc.)
• le numéro d'entreprise (BCE)
• l'adresse du siège social
• une adresse email de contact valide
• le numéro de TVA, si vous êtes assujetti
• le nom et l'adresse de votre hébergeur web

Ces mentions doivent être accessibles en un clic depuis n'importe quelle page, pas enterrées trois niveaux plus bas dans un menu.

La politique de confidentialité RGPD

Ce document explique à un visiteur ce que vous faites de ses données : lesquelles vous collectez (nom, email, éventuellement téléphone), pour quelle finalité (répondre à une demande, envoyer une newsletter), combien de temps vous les conservez, et qui y a accès en dehors de vous (votre hébergeur, votre outil CRM, votre plateforme d'emailing).

Elle doit aussi rappeler les droits du visiteur : accès à ses données, rectification, suppression, et portabilité. Un visiteur qui vous écrit pour demander la suppression de ses coordonnées doit pouvoir obtenir une réponse dans un délai raisonnable, en général un mois.

Le bandeau de consentement cookies

La législation belge sur les cookies figure parmi les plus strictes d'Europe. Un bandeau conforme doit permettre à un visiteur de refuser les cookies non essentiels aussi facilement qu'il peut les accepter, sans case précochée par défaut, avec un accès permanent au paramétrage pour changer d'avis plus tard. Un bouton "Accepter" énorme et un lien "Paramètres" minuscule caché dans un coin ne suffisent plus.

Si votre site charge Google Analytics ou le pixel Facebook avant même que le visiteur ait cliqué sur quoi que ce soit, vous êtes probablement en infraction.

Le formulaire de contact, l'angle mort RGPD des sites de PME

C'est l'endroit où la majorité des sites belges dérapent, souvent sans le savoir. Un formulaire de contact classique collecte un nom, un email, parfois un téléphone. Trois problèmes reviennent constamment :

Le visiteur ne sait pas ce que vous faites de ses données une fois le formulaire envoyé. Une simple phrase sous le bouton d'envoi règle ce point : "Vos données sont utilisées uniquement pour répondre à votre demande et conservées 24 mois maximum."

Les données partent vers un outil tiers (Mailchimp, HubSpot, un CRM quelconque) sans que cela soit mentionné nulle part. Si vous transmettez des coordonnées à un service externe, votre politique de confidentialité doit le dire.

Le formulaire demande plus d'informations que nécessaire. Le RGPD impose un principe de minimisation : vous ne collectez que ce qui sert réellement votre finalité. Demander la date de naissance ou l'adresse complète pour une simple demande de devis n'a aucune justification.

Vérifiez aussi que votre site tourne en HTTPS. Sans le cadenas dans la barre d'adresse, les données transitent sans chiffrement, et certains navigateurs affichent désormais un avertissement "site non sécurisé" qui fait fuir un visiteur avant même qu'il ait lu votre offre.

Ce que risque réellement une PME belge en cas de non-conformité

Le RGPD prévoit, pour les manquements les plus graves, des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. Ce chiffre spectaculaire vise les grandes structures, mais il ne doit pas masquer une réalité plus proche de vous : l'APD sanctionne aussi des indépendants et des PME belges, pour des manquements bien plus simples qu'une fuite de données massive, comme un bandeau cookies mal configuré ou un formulaire sans mention claire sur l'usage des données.

Le point de départ d'un dossier est presque toujours le même : une plainte déposée par un simple particulier via le formulaire en ligne de l'APD, gratuit et accessible à tous. Un visiteur mécontent, un concurrent, ou même un client qui reçoit une newsletter qu'il n'a jamais demandée peut déclencher un contrôle.

Le risque financier n'est d'ailleurs pas le seul. Un site sans mentions légales ni politique de confidentialité renvoie une image d'amateurisme, surtout face à des clients B2B ou des professions réglementées qui vérifient ce type de détail avant de signer. Et de plus en plus d'appels d'offres publics ou privés exigent une preuve de conformité RGPD avant même d'étudier votre dossier.

La checklist de conformité RGPD pour votre site (15 minutes chrono)

Prenez votre site, ouvrez-le en navigation privée, et vérifiez ces six points dans l'ordre :

1. Vos mentions légales sont-elles visibles en pied de page, sur toutes les pages, pas seulement l'accueil ?
2. Votre politique de confidentialité existe-t-elle, et date-t-elle de moins de deux ans ?
3. Pouvez-vous refuser les cookies aussi facilement que les accepter, sans avoir à chercher un lien caché ?
4. Le texte sous votre formulaire de contact explique-t-il ce que vous faites des données envoyées ?
5. Votre site s'affiche-t-il en HTTPS, avec le cadenas dans la barre d'adresse ?
6. Google Analytics ou un pixel publicitaire se déclenchent-ils avant que le visiteur ait donné son accord ?

Si vous répondez non à deux questions ou plus, votre site présente un risque réel, pas hypothétique.

La conformité RGPD, un argument de confiance face à vos clients

La conformité RGPD dépasse la simple case à cocher pour éviter une amende. Un site avec des mentions légales complètes, une politique de confidentialité claire et un formulaire transparent rassure un visiteur qui hésite encore à vous contacter. Dans un secteur où la confiance précède la vente, comme le B2B, le juridique, la santé ou l'immobilier, ce niveau de rigueur se voit et se remarque.

C'est aussi un chantier ponctuel, pas une usine à gaz permanente. Une fois les trois piliers en place (mentions légales, politique de confidentialité, bandeau cookies conforme) et le formulaire de contact nettoyé, l'essentiel est réglé. Une mise à jour annuelle suffit ensuite, sauf changement dans vos outils ou vos pratiques de collecte.

Beaucoup de dirigeants découvrent ces lacunes uniquement quand un client ou un partenaire pose la question, ou pire, après une plainte. Autant les corriger avant.

Vous avez un doute sur votre site actuel ? Digitalova propose un audit gratuit qui couvre aussi ces points de conformité de base. Demandez le vôtre, ou écrivez directement à [email protected].

Récap de fin

• Le RGPD s'applique à tout site professionnel belge, indépendant compris, dès qu'il collecte une donnée personnelle.
• Trois obligations couvrent l'essentiel : mentions légales complètes, politique de confidentialité claire, bandeau cookies avec un vrai bouton refuser.
• Le formulaire de contact est le point faible le plus fréquent : mention sur l'usage des données, minimisation des champs, site en HTTPS.
• L'APD sanctionne aussi les petites structures, souvent suite à une simple plainte d'un particulier, pas seulement lors de grands scandales de données.
• Une conformité propre est aussi un argument de confiance qui rassure vos prospects, en particulier en B2B.
• Testez votre site avec la checklist en 6 points : si vous répondez non deux fois ou plus, agissez maintenant.