En une phrase. Le RGPD s’applique en Belgique comme dans toute l’Union, complété par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données et contrôlé par l’Autorité de protection des données (APD/GBA), avec des spécificités notables : consentement numérique des mineurs fixé à 13 ans, règle particulière limitant les amendes contre certaines autorités publiques, procédure contentieuse originale devant la Chambre contentieuse avec appel devant la Cour des marchés, et une jurisprudence de portée européenne — l’affaire IAB Europe (amende de 250 000 €, 2 février 2022) sur le consentement publicitaire en ligne.
Pour une entreprise française qui s’étend en Belgique — ou l’inverse — le socle est identique : même règlement, mêmes principes, mêmes droits. Mais les différences institutionnelles et procédurales sont réelles, et certaines décisions belges ont redessiné des pans entiers de la conformité européenne, à commencer par la publicité programmatique.
Ce guide couvre le cadre légal belge, le fonctionnement de l’APD, les sanctions marquantes, les spécificités par rapport à la France, et les points de vigilance pratiques. Il complète notre série jurisdictionnelle : RGPD en Suisse, RGPD au Luxembourg et Loi 25 au Québec.
Points clés
- Cadre : RGPD + loi du 30 juillet 2018 (loi-cadre) + loi du 3 décembre 2017 créant l’APD.
- Autorité : APD (Autorité de protection des données / Gegevensbeschermingsautoriteit), fédérale, avec une Chambre contentieuse dont de nombreuses décisions motivées sont publiées.
- Consentement des mineurs (art. 8 RGPD) : 13 ans en Belgique, contre 15 ans en France.
- Secteur public : l’article 221, § 2, de la loi de 2018 écarte les amendes administratives pour les autorités publiques qu’il vise; leur qualification doit être vérifiée.
- Décision phare : IAB Europe, 250 000 € : décision APD de 2022, arrêt de la CJUE du 7 mars 2024 et arrêt de la Cour des marchés du 14 mai 2025 confirmant l’amende mais annulant la décision initiale pour des motifs de procédure.
1. Le cadre légal belge
Deux textes structurent le dispositif national :
- La loi du 3 décembre 2017 crée l’Autorité de protection des données, qui remplace l’ancienne Commission de la vie privée (CPVP).
- La loi du 30 juillet 2018 est la loi-cadre d’exécution du RGPD : elle exerce les marges de manœuvre nationales (mineurs, données sensibles, traitements journalistiques, archives, obligations spécifiques au secteur public) et organise les sanctions pénales complémentaires.
Particularité institutionnelle : certains traitements sont contrôlés par d’autres autorités que l’APD fédérale — le Comité permanent R pour le renseignement, l’Organe de contrôle de l’information policière (COC) pour la police, et des autorités régionales (par exemple la Vlaamse Toezichtcommissie pour les instances publiques flamandes). Pour une entreprise privée ordinaire, l’APD est généralement l’autorité belge compétente, sous réserve du guichet unique et du traitement concerné.
2. L’APD : fonctionnement et pouvoirs
L’APD est organisée en organes distincts, avec des fonctions distinctes :
- le Service d’autorisation et d’avis (avis et recommandations) ;
- le Service de première ligne (réclamations, médiation) ;
- le Service d’inspection (enquêtes) ;
- la Chambre contentieuse, qui peut adopter des mesures correctrices et des sanctions. Elle publie de nombreuses décisions sur le site de l’APD.
Les recours contre les décisions de la Chambre contentieuse sont portés devant la Cour des marchés (section de la cour d’appel de Bruxelles) — une juridiction spécialisée qui peut contrôler, annuler ou réformer ces décisions, comme l’illustre l’affaire IAB Europe.
Pouvoirs : injonctions, mise en conformité, interdiction de traitement, amendes jusqu’aux plafonds RGPD (20 M€ ou 4 % du chiffre d’affaires mondial — voir notre analyse de l’article 83). L’article 221, § 2, de la loi belge de 2018 prévoit une règle particulière pour les autorités publiques qu’il vise. Il faut vérifier la qualification de l’organisme avant de conclure qu’une amende administrative est exclue.
3. Les sanctions marquantes
IAB Europe : une décision structurante pour l’adtech
Le 2 février 2022, la Chambre contentieuse a infligé 250 000 € à IAB Europe et jugé que le Transparency and Consent Framework (TCF) — un cadre utilisé dans la publicité programmatique — soulevait plusieurs manquements au RGPD. La TC String peut être une donnée personnelle; la responsabilité d’IAB Europe doit être distinguée selon les opérations du TCF et celles entièrement réalisées dans OpenRTB, comme l’a précisé l’arrêt de 2025. Saisie sur renvoi préjudiciel, la CJUE a répondu sur la qualification de la TC String et la responsabilité possible le 7 mars 2024 (affaire C-604/22). Une organisation qui utilise une CMP adossée au TCF doit examiner sa propre configuration et les traitements qui l’entourent ; voir nos guides sur le consentement RGPD et la conformité cookies.
Autres décisions notables
- Google Belgium : l’APD a prononcé une amende de 600 000 € le 14 juillet 2020 dans une affaire de déréférencement, mais la Cour des marchés a annulé cette décision le 30 juin 2021 (2020/AR/1111). Le montant décrit donc une décision historique annulée, pas une sanction maintenue; voir la notice de l’APD.
- Pour toute autre affaire, vérifiez la décision publiée par l’APD et l’existence éventuelle d’un recours avant de réutiliser un montant ou une qualification.
- Un contentieux nourri sur les cookies, la prospection, la vidéosurveillance et les fichiers du secteur associatif et politique, documenté décision par décision par la Chambre contentieuse.
Pour comprendre une sanction belge, lisez la décision et les recours éventuels plutôt que de comparer seulement les montants avec le bilan des sanctions CNIL.
4. Belgique vs France : les différences qui comptent
| Sujet | Belgique | France |
|---|---|---|
| Âge du consentement numérique (art. 8) | 13 ans | 15 ans |
| Procédure | Chambre contentieuse, appel Cour des marchés | Formation restreinte CNIL, recours Conseil d’État |
| Cookies | Règles ePrivacy via la loi de 2005 + doctrine APD | Doctrine CNIL très détaillée (lignes directrices + recommandation) |
| Sanctions pénales | Prévues par la loi du 30/07/2018 | Art. 226-16 s. code pénal |
Pour un groupe présent dans les deux pays, la conséquence pratique est le guichet unique (article 56 RGPD) : l’autorité chef de file est celle de l’établissement principal. Un e-commerçant français avec une filiale belge peut avoir la CNIL comme chef de file si son établissement principal pour le traitement transfrontalier se trouve effectivement en France, mais l’APD reste compétente pour les réclamations locales ; les règles belges pertinentes doivent aussi être évaluées pour chaque traitement.
Pour passer du cadre institutionnel aux opérations, utilisez le guide pratique de conformité en Belgique et confrontez ses étapes à votre registre, aux prestataires et aux demandes des personnes. Conservez les questions locales à confirmer avec le responsable de chaque dossier.
5. Mise en conformité : points de vigilance en Belgique
- Registre et gouvernance : mêmes exigences qu’ailleurs — registre des traitements, bases légales documentées, DPO lorsque requis (critères de désignation).
- Langue de l’information : adaptez les explications aux publics visés afin qu’elles soient effectivement compréhensibles; le RGPD n’impose pas uniformément deux versions à tout site privé.
- Mineurs à 13 ans : les services en ligne destinés aux adolescents doivent ajuster leur mécanique de consentement par pays — un point souvent raté par les plateformes calibrées sur la France.
- Adtech et cookies : post-IAB Europe, auditez votre CMP et la chaîne de consentement publicitaire.
- Secteur public : vérifiez le champ de la règle belge sur les amendes pour l’organisme concerné; injonctions et autres mesures restent possibles.
Un groupe peut réutiliser sa méthode de registre et de suivi des incidents entre entités, puis documenter les décisions propres aux traitements belges et aux autorités compétentes.
Où porter une question ou une plainte en Belgique
L’APD fédérale est le premier point d’entrée pour beaucoup de traitements privés. Son Service de première ligne reçoit les demandes et peut rechercher une solution; le Service d’inspection enquête, puis la Chambre contentieuse peut statuer. Depuis la réforme entrée en vigueur le 1er juin 2024, l’ancien Centre de connaissances s’appelle Service d’autorisation et d’avis. Il faut lire la version de la procédure applicable au dossier : les règles de transition ne donnent pas automatiquement le même parcours à une plainte de 2023 et à une plainte introduite après la réforme.
Dans un groupe transfrontalier, l’autorité chef de file dépend de l’établissement principal et du lieu où sont effectivement prises les décisions sur les finalités et moyens du traitement en cause. Une adresse de siège en France ne règle donc pas à elle seule la compétence. Un client belge peut saisir l’APD, qui coopère alors avec l’autorité chef de file si le mécanisme du guichet unique s’applique. Si le traitement est purement local, ce mécanisme peut être sans objet. Cette qualification se fait traitement par traitement, sans confondre filiales, prestataires et responsables conjoints.
Certaines activités publiques relèvent d’autres autorités de contrôle ou de régimes spéciaux. Pour un dossier de police, une opération de renseignement ou une institution publique flamande, identifiez d’abord le responsable et le texte qui gouverne le traitement. Il serait trompeur de renvoyer toute demande belge vers la même chambre de l’APD. Pour une entreprise privée ordinaire, les droits RGPD restent exercés d’abord auprès du responsable; l’autorité intervient notamment si la réponse est contestée.
Lire correctement l’affaire IAB Europe
L’affaire TCF illustre pourquoi la chronologie des décisions compte. La Chambre contentieuse a prononcé une amende de 250 000 € en février 2022. En mars 2024, la CJUE a répondu à des questions de droit : une TC String peut être une donnée personnelle, et l’organisme qui définit un cadre de préférences peut être responsable du traitement correspondant sous certaines conditions. La Cour des marchés a statué le 14 mai 2025 : elle a annulé la décision APD pour des raisons de procédure mais, dans l’exercice de sa pleine juridiction, a confirmé l’amende de 250 000 €. Elle a aussi écarté la responsabilité conjointe d’IAB Europe pour les traitements effectués entièrement dans OpenRTB. Écrire seulement « la CJUE a confirmé l’amende » serait inexact.
Pour un éditeur belge utilisant la publicité ciblée, la question pratique est de reconstruire le parcours : ce que l’interface explique, les finalités réellement proposées, les partenaires recevant le signal, la preuve des choix et la capacité à les retirer. Le fait qu’une CMP annonce sa compatibilité TCF n’établit pas la validité du consentement de ce site. Reliez ce travail à l’analyse des cookies et traceurs, puis vérifiez la configuration effective plutôt que le seul contrat du fournisseur.
Les marges nationales qui changent un parcours utilisateur
L’âge belge de 13 ans concerne l’hypothèse particulière de l’article 8 RGPD : l’offre directe d’un service de la société de l’information à un enfant lorsque le traitement repose sur son consentement. Il ne signifie ni qu’un mineur de 13 ans peut consentir à tous les traitements, ni qu’une organisation peut ignorer les autres règles de protection des mineurs. Pour un service offert simultanément en France et en Belgique, documentez le pays visé, la base juridique du traitement et la manière dont l’autorisation parentale est obtenue lorsque nécessaire. Une interface unique qui utilise partout le seuil français de 15 ans n’est pas forcément la bonne traduction de la règle belge.
Le bilinguisme relève d’une autre analyse. Le RGPD exige une information concise, transparente et compréhensible pour les personnes concernées; il n’impose pas mécaniquement à chaque site privé belge deux versions linguistiques de chaque document. Une boutique destinée à des clients francophones peut avoir un besoin différent d’un service vendu dans tout le pays. Déterminez les publics et les langues de l’offre, puis vérifiez que les informations à fournir au titre des articles 13 et 14, les explications sur les droits des personnes et les réponses sont réellement accessibles à ces publics. Ne présentez pas cette recommandation d’accessibilité comme une obligation uniforme de traduction FR/NL.
L’exclusion de certaines amendes administratives contre les autorités publiques belges ne dispense pas ces organismes du RGPD. Les injonctions, limitations de traitement, constats publics et recours des personnes restent possibles. Pour un fournisseur privé, cette différence ne réduit pas ses propres obligations contractuelles ou de sécurité. Il faut aussi éviter de transposer ce régime spécial à une société publique sans vérifier sa qualification exacte au regard de la loi.
Documenter un dossier belge sans refaire tout le programme
Un groupe qui lance un produit en Belgique peut partir de son registre de traitements, mais doit vérifier les traitements réels de l’entité locale : données des salariés, clientèle, prospection, partenaires et transferts. Pour chaque opération, conservez le responsable, la base juridique, les destinataires, les durées et les avis donnés aux personnes. L’analyse d’impact se décide au regard du risque du traitement, pas du fait que l’entreprise ouvre une filiale. Les contrats de sous-traitance et les procédures de notification des violations doivent désigner les personnes joignables depuis la Belgique.
Supposons une plateforme française qui ouvre une activité de fidélité en Belgique. Le registre français décrit déjà le logiciel central, mais pas les partenaires marketing locaux ni les langues des écrans. L’équipe belge vérifie si ses règles de ciblage ajoutent un profilage, si un partenaire reçoit les choix publicitaires et qui décide des finalités. Le dossier local contient alors les décisions utiles, leurs preuves et les changements d’interface à faire. Le guide belge de conformité opérationnelle détaille le travail de registre et de mise en œuvre; la présente page sert à comprendre les institutions et particularités juridiques qui orientent ces choix.
FAQ
Faut-il un représentant ou un établissement en Belgique pour y vendre ?
Vendre en Belgique n’impose pas en soi d’y créer un établissement. Le guichet unique dépend d’un traitement transfrontalier et de l’établissement principal. Une entreprise hors UE doit examiner l’article 27 RGPD lorsqu’elle cible des personnes en Belgique, ainsi que les exceptions prévues par cet article.
L’APD inflige-t-elle beaucoup d’amendes ?
La Chambre contentieuse publie de nombreuses décisions, dont l’affaire IAB Europe. Leur portée se comprend à partir des faits, du texte appliqué et des recours, sans déduire une tendance du seul montant des amendes.
À quel âge un mineur belge peut-il consentir seul en ligne ?
13 ans dans le cas visé à l’article 8 RGPD et à l’article 7 de la loi belge : une offre directe de service de la société de l’information à un enfant lorsque le traitement repose sur son consentement. En dessous, l’autorisation du titulaire de la responsabilité parentale est nécessaire pour ce traitement; le seuil français est de 15 ans.
La décision IAB Europe m’oblige-t-elle à changer de bannière cookies ?
Si votre CMP repose sur le TCF, vous devez vérifier que la version déployée répond aux exigences qui lui sont applicables après les décisions et recours dans l’affaire IAB Europe : information réellement compréhensible, granularité des finalités, documentation du consentement. Un audit de la chaîne publicitaire (CMP, partenaires, TC String) est le point de départ — voir notre guide de mise en conformité des bannières.
Conclusion
La Belgique applique le même RGPD que la France, avec une autorité fédérale et un recours devant la Cour des marchés. La règle particulière applicable à certaines autorités publiques et le seuil de 13 ans dans le champ de l’article 8 demandent une vérification locale. Pour l’essentiel — registre, bases légales, sécurité, sous-traitants — un socle français peut être réutilisé après vérification du traitement et des règles locales ; concentrez l’effort local sur les traitements réellement concernés par la publicité, les mineurs et la compréhension des informations fournies.