En une phrase. Le RGPD s’applique en Belgique comme dans toute l’Union, complété par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données et contrôlé par l’Autorité de protection des données (APD/GBA), avec des spécificités notables : consentement numérique des mineurs fixé à 13 ans, exemption d’amendes pour les autorités publiques, procédure contentieuse originale devant la Chambre contentieuse avec appel devant la Cour des marchés, et une jurisprudence de portée européenne — l’affaire IAB Europe (amende de 250 000 €, 2 février 2022) sur le consentement publicitaire en ligne.
Pour une entreprise française qui s’étend en Belgique — ou l’inverse — le socle est identique : même règlement, mêmes principes, mêmes droits. Mais les différences institutionnelles et procédurales sont réelles, et certaines décisions belges ont redessiné des pans entiers de la conformité européenne, à commencer par la publicité programmatique.
Ce guide couvre le cadre légal belge, le fonctionnement de l’APD, les sanctions marquantes, les spécificités par rapport à la France, et les points de vigilance pratiques. Il complète notre série jurisdictionnelle : RGPD en Suisse, RGPD au Luxembourg et Loi 25 au Québec.
Points clés
- Cadre : RGPD + loi du 30 juillet 2018 (loi-cadre) + loi du 3 décembre 2017 créant l’APD.
- Autorité : APD (Autorité de protection des données / Gegevensbeschermingsautoriteit), bicéphale FR/NL, avec une Chambre contentieuse qui rend des décisions motivées publiées.
- Consentement des mineurs (art. 8 RGPD) : 13 ans en Belgique, contre 15 ans en France.
- Les autorités publiques belges ne peuvent pas être condamnées à des amendes administratives — sauf exceptions — contrairement à la pratique française.
- Décision phare : IAB Europe, 250 000 € (2022) — le cadre TCF de la publicité en ligne jugé non conforme, confirmé en substance par la CJUE (C-604/22, 7 mars 2024).
1. Le cadre légal belge
Deux textes structurent le dispositif national :
- La loi du 3 décembre 2017 crée l’Autorité de protection des données, qui remplace l’ancienne Commission de la vie privée (CPVP).
- La loi du 30 juillet 2018 est la loi-cadre d’exécution du RGPD : elle exerce les marges de manœuvre nationales (mineurs, données sensibles, traitements journalistiques, archives, obligations spécifiques au secteur public) et organise les sanctions pénales complémentaires.
Particularité fédérale : le contrôle est éclaté entre l’APD (compétence générale) et des autorités spécifiques — le Comité permanent R pour le renseignement, l’Organe de contrôle de l’information policière (COC) pour la police, et des autorités régionales (par exemple la Vlaamse Toezichtcommissie pour les instances publiques flamandes). Pour une entreprise privée, l’interlocuteur reste l’APD.
2. L’APD : fonctionnement et pouvoirs
L’APD est organisée en organes distincts, gage d’une séparation instruction/jugement plus marquée qu’en France :
- le Centre de connaissances (avis et recommandations) ;
- le Service de première ligne (réclamations, médiation) ;
- le Service d’inspection (enquêtes) ;
- la Chambre contentieuse, qui juge et sanctionne — ses décisions, publiées sur autoriteprotectiondonnees.be, sont une source de doctrine précieuse et souvent très argumentées.
Les recours contre les décisions de la Chambre contentieuse sont portés devant la Cour des marchés (section de la cour d’appel de Bruxelles) — un juge spécialisé qui n’hésite pas à annuler ou réformer les décisions de l’APD, ce qui a produit une jurisprudence procédurale abondante.
Pouvoirs : injonctions, mise en conformité, interdiction de traitement, amendes jusqu’aux plafonds RGPD (20 M€ ou 4 % du chiffre d’affaires mondial — voir notre analyse de l’article 83). Limite belge notable : les autorités publiques échappent en principe aux amendes administratives, un choix du législateur de 2018 — là où la CNIL sanctionne pécuniairement communes et ministères.
3. Les sanctions marquantes
IAB Europe : la décision la plus importante d’Europe en adtech
Le 2 février 2022, la Chambre contentieuse a infligé 250 000 € à IAB Europe et jugé que le Transparency and Consent Framework (TCF) — le mécanisme de consentement utilisé par l’essentiel de la publicité programmatique européenne — violait le RGPD : la « TC String » est une donnée personnelle, IAB Europe est responsable conjoint, et le consentement recueilli n’était ni suffisamment éclairé ni valablement documenté. Saisie sur renvoi préjudiciel, la CJUE a confirmé l’essentiel le 7 mars 2024 (affaire C-604/22). Toute organisation qui utilise une CMP adossée au TCF — c’est-à-dire presque tout l’écosystème publicitaire — est concernée ; voir nos guides sur le consentement RGPD et la conformité cookies.
Autres décisions notables
- Google Belgium, 600 000 € (14 juillet 2020) : déréférencement refusé à tort — amende record belge de l’époque sur le droit à l’effacement.
- Black Tiger Belgium, 174 640 € (2024) : courtier en données sanctionné notamment pour manquements à la transparence et aux droits des personnes — signal fort pour tout le secteur du data brokerage.
- Un contentieux nourri sur les cookies, la prospection, la vidéosurveillance et les fichiers du secteur associatif et politique, documenté décision par décision par la Chambre contentieuse.
Le style belge diffère du style français : moins d’amendes spectaculaires que la CNIL (voir le bilan des sanctions CNIL), mais des décisions longues, doctrinales, qui font jurisprudence bien au-delà de la Belgique.
4. Belgique vs France : les différences qui comptent
| Sujet | Belgique | France |
|---|---|---|
| Âge du consentement numérique (art. 8) | 13 ans | 15 ans |
| Amendes contre le secteur public | Non (principe) | Oui |
| Procédure | Chambre contentieuse, appel Cour des marchés | Formation restreinte CNIL, recours Conseil d’État |
| Cookies | Règles ePrivacy via la loi de 2005 + doctrine APD | Doctrine CNIL très détaillée (lignes directrices + recommandation) |
| Sanctions pénales | Prévues par la loi du 30/07/2018 | Art. 226-16 s. code pénal |
| Style d’enforcement | Doctrinal, contentieux publié | Volume élevé, amendes fortes, procédure simplifiée |
Pour un groupe présent dans les deux pays, la conséquence pratique est le guichet unique (article 56 RGPD) : l’autorité chef de file est celle de l’établissement principal. Un e-commerçant français avec une filiale belge traitera principalement avec la CNIL, mais l’APD reste compétente pour les réclamations locales — et les exigences locales (mineurs, langues, secteur public) s’appliquent territorialement.
5. Mise en conformité : points de vigilance en Belgique
- Registre et gouvernance : mêmes exigences qu’ailleurs — registre des traitements, bases légales documentées, DPO lorsque requis (critères de désignation).
- Bilinguisme : informations et politiques de confidentialité en français et néerlandais selon les publics (l’APD y est attentive au titre de la transparence).
- Mineurs à 13 ans : les services en ligne destinés aux adolescents doivent ajuster leur mécanique de consentement par pays — un point souvent raté par les plateformes calibrées sur la France.
- Adtech et cookies : post-IAB Europe, auditez votre CMP et la chaîne de consentement publicitaire.
- Secteur public et parapublic : pas d’amendes, mais injonctions, publicité des décisions et responsabilités : la conformité reste exigée.
La mécanique documentaire est identique dans toute l’Union : c’est ce qui rend l’automatisation rentable pour les groupes multi-pays. Legiscope génère et maintient le socle — registre, cartographie, gestion des sous-traitants et des violations — de façon homogène entre entités françaises et belges, les spécificités locales se gérant en surcouche.
FAQ
Faut-il un représentant ou un établissement en Belgique pour y vendre ?
Non. Une entreprise établie dans l’UE opère en Belgique sous le régime du guichet unique, sans formalité locale. Seules les entreprises hors UE ciblant la Belgique doivent désigner un représentant au titre de l’article 27 (voir représentant UE).
L’APD inflige-t-elle beaucoup d’amendes ?
Moins que la CNIL en volume et en montant, mais ses décisions comptent parmi les plus influentes d’Europe (IAB Europe). La Chambre contentieuse publie systématiquement ses décisions, ce qui en fait un corpus de référence pour anticiper les positions européennes en matière d’adtech, de transparence et de droits des personnes.
À quel âge un mineur belge peut-il consentir seul en ligne ?
13 ans pour les services de la société de l’information (article 7 de la loi du 30 juillet 2018), contre 15 ans en France. En dessous, le consentement doit être donné ou autorisé par le titulaire de la responsabilité parentale.
La décision IAB Europe m’oblige-t-elle à changer de bannière cookies ?
Si votre CMP repose sur le TCF, vous devez vérifier que la version déployée intègre les corrections exigées par l’APD et validées après le plan d’action d’IAB Europe : information réellement compréhensible, granularité des finalités, documentation du consentement. Un audit de la chaîne publicitaire (CMP, partenaires, TC String) est le point de départ — voir notre guide de mise en conformité des bannières.
Conclusion
La Belgique applique le même RGPD que la France, mais avec un tempérament propre : une autorité bicéphale au contentieux très motivé, un juge d’appel spécialisé qui la contrôle réellement, un secteur public à l’abri des amendes, et quelques marges nationales (13 ans, bilinguisme) qui piègent les conformités copiées-collées depuis Paris. Pour l’essentiel — registre, bases légales, sécurité, sous-traitants — votre socle français est réutilisable tel quel ; concentrez l’effort local sur les cookies post-IAB Europe, les mineurs et la langue.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial