En une phrase. Le RGPD s’applique directement en Belgique. La loi du 30 juillet 2018 le complète sur des points nationaux et l’Autorité de protection des données (APD, ou GBA en néerlandais) en contrôle l’application dans son champ de compétence. Une organisation active en Belgique doit relier chaque traitement à sa base juridique, à ses obligations locales éventuelles et à l’autorité compétente, puis pouvoir montrer que ses procédures fonctionnent.
Un guide belge utile ne se résume pas à une liste de sanctions : les questions qui changent les décisions sont le périmètre territorial, les règles sectorielles, le numéro de Registre national, les langues réellement utilisées et le bon canal de notification des incidents. Les articles du RGPD restent la base de la plupart des contrôles. Ce guide distingue les obligations légales, la doctrine de l’APD et les conseils d’organisation.
Pour les traitements transfrontaliers, voyez aussi les bases légales de l’article 6 et le registre des traitements.
Points clés
- La loi du 30 juillet 2018 complète le RGPD ; elle ne remplace ni ses bases légales ni son obligation de démontrer la conformité.
- L’APD reçoit plaintes et notifications dans son champ ; certaines catégories, notamment des traitements policiers, relèvent d’autres autorités.
- Le délai de 72 heures pour notifier une violation à l’autorité court à partir de sa prise de connaissance, sauf si le risque pour les personnes est improbable.
- La notification à l’APD se fait par son portail, dans l’une des trois langues nationales ; l’APD indique que les notifications par courriel ne sont pas traitées.
- Le numéro de Registre national et certaines pratiques sectorielles exigent une analyse belge spécifique.
1. Partir du traitement, puis appliquer le cadre
Le règlement (UE) 2016/679 est directement applicable. La loi belge du 30 juillet 2018 comporte des dispositions complémentaires et des règles pour certains traitements hors du champ ordinaire du RGPD. La loi du 3 décembre 2017 organise l’APD. À cela s’ajoutent les règles propres au secteur : emploi, santé, caméras, administration publique ou communications électroniques. Ne déduisez pas la légalité d’un traitement de la seule existence d’une base générale dans le RGPD.
Pour chaque activité, notez le responsable du traitement, la finalité, les personnes concernées, les données, la base de l’article 6 et, si nécessaire, une condition de l’article 9 ou 10. Ajoutez ensuite la disposition belge ou sectorielle qui permet ou encadre concrètement l’opération. Exemple hypothétique : un employeur veut utiliser le numéro de Registre national pour rapprocher plusieurs fichiers RH. L’intérêt administratif allégué ne suffit pas ; il faut vérifier le régime spécifique du numéro, la base du traitement et si un identifiant moins sensible suffit.
Le guide de l’audit RGPD aide à comparer cette fiche à la pratique. Une documentation soignée qui omet une application réellement utilisée reste incomplète. Vérifiez les formulaires, les exports et les accès des prestataires, pas seulement le texte de la politique.
2. Savoir quelle autorité intervient
L’APD est l’autorité belge de protection des données pour les traitements relevant de sa compétence. Elle exerce des missions d’information, de contrôle et de coopération européenne. Son organisation comprend notamment un service de première ligne, un service d’inspection et une chambre contentieuse. Cette structure ne signifie pas qu’une plainte suit toujours un parcours unique : certaines sont traitées sans enquête approfondie, d’autres donnent lieu à une instruction, et les parties peuvent contester des décisions selon les voies applicables.
Avant une notification ou une plainte, vérifiez la compétence de l’APD. La page officielle sur les violations rappelle par exemple que certains traitements policiers relèvent de l’Organe de contrôle de l’information policière. Dans une organisation présente dans plusieurs pays de l’UE, analysez les critères du mécanisme de guichet unique : le siège affiché sur une facture ne détermine pas à lui seul l’autorité chef de file. Identifiez où se prennent réellement les décisions sur les finalités et les moyens, et quelles personnes dans quels pays sont touchées.
Cette analyse évite deux erreurs pratiques : adresser un incident à un portail inadapté et considérer l’APD belge comme automatiquement chef de file pour toutes les filiales d’un groupe. Conservez la justification dans le dossier de gouvernance et actualisez-la après une réorganisation.
3. DPO : désigner, rendre joignable, soutenir
L’article 37 du RGPD impose un DPO lorsque le traitement est effectué par une autorité ou un organisme public, sauf les juridictions agissant dans l’exercice de leur fonction juridictionnelle. Il l’impose aussi lorsque les activités de base du responsable du traitement ou du sous-traitant consistent soit en un suivi régulier et systématique des personnes à grande échelle, soit en un traitement à grande échelle de données de l’article 9 ou de données relatives aux condamnations et infractions de l’article 10. Des règles nationales ou sectorielles peuvent ajouter des cas. La taille de l’entreprise ou la seule présence de données de clients ne suffisent pas à conclure.
Si un DPO est désigné, respectez les articles 38 et 39 : indépendance, accès aux questions de protection des données, ressources, absence de conflit d’intérêts et point de contact. L’APD met à disposition un portail pour déclarer et gérer le dossier DPO. Vérifiez que le contact publié fonctionne après une mutation ou un changement de prestataire. Les indications de l’APD sur les missions du DPO aident à répartir conseil, contrôle et décisions de direction.
Le bilinguisme français-néerlandais peut être un besoin opérationnel pour une activité nationale, mais ce n’est pas une condition générale et automatique de validité de la désignation. Choisissez les compétences linguistiques selon les personnes concernées, les équipes et les autorités avec lesquelles le DPO doit communiquer. Une organisation germanophone peut aussi avoir d’autres besoins. Les mentions d’information doivent être compréhensibles pour le public visé ; imposer deux langues à chaque entreprise privée sans examen du contexte serait trompeur.
4. Violations : décider, documenter, notifier
Une violation peut toucher la confidentialité, l’intégrité ou la disponibilité. Le responsable du traitement doit la documenter, même lorsqu’il conclut qu’une notification n’est pas requise. L’article 33 du RGPD impose de notifier l’autorité compétente dans les meilleurs délais et, si possible, au plus tard dans les 72 heures après prise de connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés. En cas de risque élevé, l’article 34 peut imposer aussi une communication aux personnes. Le sous-traitant alerte son client sans délai indu.
L’APD demande d’utiliser son portail pour les notifications relevant de sa compétence et précise qu’un message électronique ne sera pas traité. Les notifications doivent être déposées dans l’une des trois langues nationales : français, néerlandais ou allemand. Les annexes techniques peuvent être en anglais selon les indications du portail. Préparez donc les accès au portail et un suppléant avant l’incident, sans attendre la 70e heure. Le guide de notification des violations détaille le contenu du dossier.
Exemple hypothétique : un lien de partage public a rendu accessibles des dossiers de clients pendant deux jours. Notez quand le défaut a été découvert, quelles données étaient accessibles, si des téléchargements sont observables et quelles mesures ont fermé l’accès. La décision de notifier dépend du risque documenté, non du seul nombre de fichiers. Si toutes les informations ne sont pas disponibles avant le délai, l’article 33 permet de les fournir de manière échelonnée. Gardez la trace des hypothèses et de leur mise à jour.
5. Droits des personnes et information
Les articles 12 à 22 du RGPD encadrent l’information, l’accès, la rectification, l’effacement, l’opposition et les autres droits. Un même traitement peut appeler des limites ou exceptions spécifiques ; examinez-les droit par droit. La page de l’APD sur l’information distingue notamment collecte directe et indirecte. Une mention doit décrire les finalités, la base juridique, les destinataires, les durées ou critères de conservation et, le cas échéant, les transferts.
Testez la procédure avec un cas représentatif : réception de la demande en français ou en néerlandais, vérification proportionnée de l’identité, recherche dans les systèmes, décision sur les exceptions et réponse dans le délai applicable. Les équipes de support doivent savoir transférer la demande au bon propriétaire sans la perdre. Évitez d’exiger systématiquement une copie d’identité lorsque d’autres moyens suffisent ; cela ajoute des données sensibles au dossier.
Pour une demande d’accès, vérifiez les données chez les prestataires et les archives accessibles, puis expurgez les informations sur d’autres personnes si nécessaire. Pour l’effacement, distinguez suppression dans le service actif et conservation légale ou technique justifiée. L’important est de pouvoir expliquer la décision à la personne et d’en conserver la preuve proportionnée.
6. Numéro national et données sensibles
Le numéro de Registre national est encadré par la loi du 8 août 1983 et ses évolutions. Ne le traitez pas comme un identifiant client librement réutilisable. Vérifiez pour l’usage précis si une habilitation, un texte spécial ou une exception s’applique, puis limitez accès et conservation. Le régime a évolué ; une affirmation générale selon laquelle toute entreprise privée doit demander l’autorisation d’un ancien comité sectoriel serait inexacte. Faites vérifier le fondement actuel du cas concret.
L’article 9 du RGPD vise notamment les données concernant la santé, les données génétiques, les données révélant des opinions politiques ou des convictions religieuses ou philosophiques, ainsi que les données biométriques traitées aux fins d’identifier une personne de manière unique. Toute donnée d’opinion ou toute image biométrique n’entre pas automatiquement dans ces catégories. Les données de condamnations et infractions relèvent de l’article 10 et des dispositions belges pertinentes. Identifiez la condition spécifique, les personnes habilitées et les mesures de confidentialité. La loi belge ne crée pas une permission générale de traiter toutes les données médicales sous la seule responsabilité d’un médecin.
Une analyse d’impact peut être requise lorsqu’un traitement est susceptible d’engendrer un risque élevé. La nécessité de cette analyse dépend des faits et des critères du RGPD, pas du seul pays où se situe l’hébergeur. Documentez les mesures prises et réévaluez-les si le traitement change.
7. Situations sectorielles à vérifier
Dans l’emploi, examinez les règles de droit du travail et, pour le contrôle des communications électroniques en réseau, la convention collective de travail n° 81 lorsqu’elle s’applique. Une surveillance permanente de tous les échanges ne devient pas licite parce qu’elle figure dans une charte informatique. Fixez une finalité déterminée, une mesure proportionnée et une information compréhensible.
Pour les caméras, les règles belges de vidéosurveillance ajoutent des obligations de signalisation et, selon le contexte, de déclaration via les canaux prévus. Ne réduisez pas le processus à un passage au commissariat local. Vérifiez le lieu filmé, les personnes visées, l’accès aux images et leur durée de conservation. Pour les organismes publics, examinez les règles belges de partage de données et les protocoles éventuellement requis.
En santé, les règles de secret, d’accès et d’échange de données peuvent impliquer d’autres organismes et textes. Le fait d’utiliser une plateforme sectorielle ne décharge pas le responsable de traitement de documenter sa finalité et ses destinataires. Pour les transferts vers le Royaume-Uni ou d’autres pays tiers, vérifiez la décision d’adéquation ou les garanties à la date du transfert ; n’inscrivez pas une échéance périmée dans une politique permanente.
8. Comprendre les décisions de l’APD
La Chambre Contentieuse peut adopter des mesures correctrices selon les faits et la procédure. Le montant maximal du RGPD dépend de la catégorie de manquement : l’article 83 prévoit notamment des plafonds de 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour certaines obligations, et de 20 millions ou 4 % pour d’autres. Ce sont des plafonds, pas un tarif automatique. L’APD explique qu’elle tient compte du contexte, des faits et des pièces du dossier.
L’affaire IAB Europe relative au cadre publicitaire TCF est importante pour les questions de rôles et de transparence, mais son parcours contentieux ne permet pas d’en faire un étalon de sanctions belges. Évitez les tableaux de « sanctions typiques » attribuant des affaires non vérifiées à des secteurs. Pour comprendre une décision, lisez son numéro, les articles retenus, les faits, les corrections ordonnées et l’éventuel recours. Une procédure devant la Chambre Contentieuse ne passe pas nécessairement par un rapport d’inspection ni par une durée prédéfinie.
9. Organiser un dossier belge exploitable
Conservez un registre à jour, les notices dans les langues pertinentes, les bases juridiques et exceptions sensibles, les contrats de sous-traitance, les analyses de risque, les décisions sur le numéro national, les journaux de demandes et les incidents. Associez un propriétaire à chaque document et une date de vérification. Un document bilingue ancien peut être moins utile qu’une notice actuelle dans la langue effectivement comprise par la personne.
Lors d’une acquisition ou d’une extension en Belgique, commencez par trois flux : collecte commerciale, données RH et service client. Suivez pour chacun le trajet de la donnée jusqu’au prestataire et au pays d’accès. Comparez les formulaires réels aux finalités du registre et faites traiter les contradictions. Si plusieurs établissements européens participent à la décision, documentez l’analyse du guichet unique ; si un incident survient, la personne d’astreinte saura vers quelle autorité se tourner.
FAQ
Quelle est l’autorité de contrôle RGPD en Belgique ?
L’APD est l’autorité générale dans son champ, mais certains traitements relèvent d’autorités spécifiques. Pour un traitement transfrontalier, le mécanisme européen de guichet unique peut désigner une autorité chef de file différente. Vérifiez la compétence avant d’envoyer une notification.
Comment notifier une violation à l’APD ?
Utilisez le portail officiel de l’APD, dans l’une des trois langues nationales. L’APD indique que les courriels ne sont pas traités comme notification. Appliquez le test de risque de l’article 33 et, lorsque la notification est requise, agissez dans les meilleurs délais et si possible sous 72 heures après connaissance.
Un DPO doit-il être bilingue français-néerlandais ?
Ce n’est pas une exigence générale du RGPD. Il doit pouvoir remplir ses missions auprès de l’organisation, des personnes concernées et de l’autorité. Les langues nécessaires dépendent des publics et des lieux d’activité.
Le numéro de Registre national peut-il servir d’identifiant commercial ?
Pas librement. Son utilisation relève d’un régime spécifique à vérifier pour chaque usage. Documentez le fondement, la nécessité et les mesures de sécurité, puis privilégiez un identifiant moins intrusif si celui-ci suffit.
Sources vérifiées le 27 septembre 2026 : RGPD sur EUR-Lex, article 37 reproduit par la CNIL, article 9 reproduit par la CNIL, brochure PME de l’APD sur le cadre belge, notification des violations par l’APD, règles DPO de l’APD, données sensibles selon l’APD et sanctions DPO expliquées par l’APD. Les exemples sont hypothétiques ; les règles sectorielles doivent être vérifiées pour l’activité concrète.