De meeste Belgische bedrijfswebsites zijn niet volledig GDPR-conform. Niet uit kwade wil, maar omdat een praktische vertaling van de regelgeving zeldzaam genoeg is dat ondernemers er nooit aan toekomen. De wettekst is lang, de adviesblogs zijn algemeen, en het stuk dat zegt "doe dit, niet dat, voor uw eigen kleine site" ontbreekt meestal.

Dit artikel is onze poging om die vertaling te schrijven. We baseren ons op de AVG (Verordening (EU) 2016/679), de Belgische wet van 30 juli 2018 betreffende de bescherming van persoonsgegevens, de ePrivacy-richtlijn zoals omgezet in artikel 129 van de Belgische wet op de elektronische communicatie, en de meest recente aanbevelingen en sanctiebeslissingen van de Gegevensbeschermingsautoriteit (GBA / APD).

Het doel is geen juridisch advies. Het doel is een leesbare lijst van dingen die elke Belgische ondernemer met een website binnen één avond kan controleren en, waar nodig, in orde brengen. Aan het einde van het stuk staan alle bronnen die we gebruikt hebben, zodat u zelf verder kunt lezen waar nodig.

Most Belgian business websites are not fully GDPR-compliant. Not out of bad intent, but because a practical translation of the regulation is rare enough that entrepreneurs never get around to it. The legal text is long, the advice blogs are generic, and the piece that says "do this, not that, for your own small site" is usually missing.

This article is our attempt at writing that translation. We pull from the GDPR (Regulation (EU) 2016/679), the Belgian act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data, the ePrivacy directive as transposed in article 129 of the Belgian Electronic Communications Act, and the most recent recommendations and sanction decisions of the Belgian Data Protection Authority (Gegevensbeschermingsautoriteit / GBA).

The goal is not legal advice. The goal is a readable list of things every Belgian entrepreneur with a website can check, and where needed fix, in a single evening. Every source we drew from is collected at the bottom of the article, so you can read further wherever you want.

La plupart des sites d'entreprises belges ne sont pas entièrement conformes au RGPD. Pas par mauvaise volonté, mais parce qu'une traduction pratique de la réglementation est assez rare pour que les entrepreneurs n'y arrivent jamais. Le texte légal est long, les blogs de conseils restent généraux, et le texte qui dit « faites ceci, pas cela, pour votre propre petit site » manque le plus souvent.

Cet article est notre tentative d'écrire cette traduction. Nous nous basons sur le RGPD (Règlement (UE) 2016/679), sur la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, sur la directive ePrivacy telle que transposée à l'article 129 de la loi belge relative aux communications électroniques, et sur les recommandations et décisions de sanction les plus récentes de l'Autorité de protection des données (APD / GBA).

Le but n'est pas de donner un conseil juridique. Le but est une liste lisible de points que chaque entrepreneur belge disposant d'un site peut vérifier et, si nécessaire, mettre en ordre en une soirée. Toutes les sources utilisées se trouvent en fin d'article, pour que vous puissiez lire plus loin là où c'est utile.

Het is goed om te beginnen met wat de wet eigenlijk een persoonsgegeven noemt. Artikel 4(1) van de AVG definieert het als alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Belangrijk: een IP-adres telt mee. Zo oordeelde het Europees Hof van Justitie in Breyer (C-582/14, 2016), en zo bevestigde de Duitse rechter het opnieuw toen Google Fonts in januari 2022 een boete kostte aan een websitebeheerder die het lettertype rechtstreeks bij Google ophaalde en daarmee elk IP-adres van zijn bezoekers naar Mountain View doorstuurde.

Praktisch betekent dit dat uw site al persoonsgegevens verwerkt vóór een bezoeker iets invult. De gebruikelijke bronnen, in volgorde van hoe vaak we ze in audits over het hoofd zien:

• Servertoegangslogs. Bijna elke hostingomgeving logt IP-adres, tijdstip, opgevraagde URL en user-agent. Dat is een verwerking. U heeft er een grondslag voor nodig (meestal artikel 6(1)(f) AVG, gerechtvaardigd belang voor beveiliging) en u moet er in uw privacyverklaring iets over zeggen.
• Contactformulieren. Naam, e-mail, telefoonnummer en het bericht zelf. De inhoud van het bericht kan, afhankelijk van wat iemand schrijft, ook bijzondere persoonsgegevens bevatten: gezondheidsinfo bijvoorbeeld als u een fysiotherapeut bent.
• Embedded scripts. YouTube-embeds, Google Maps, Calendly, Mailchimp formulieren, Vimeo, sociale media-feeds. Elk daarvan stuurt het IP-adres van uw bezoeker naar een derde partij, vaak voordat de gebruiker een knop heeft aangeraakt.
• Externe lettertypen. Google Fonts opgehaald via fonts.googleapis.com is hetzelfde verhaal. De fix is letterlijk vijf minuten werk: download het lettertype, host het bij uzelf.
• Analytics. Google Analytics, Hotjar, Microsoft Clarity. Elk daarvan plaatst cookies en stuurt gedragsdata door. Hier zit u meteen in het ePrivacy-regime, niet alleen in de AVG.
• Pixel-tags en remarketing. Meta Pixel, LinkedIn Insight Tag, TikTok Pixel. Onder dezelfde regels als analytics, met als bijkomende complicatie dat het doel reclame is en de doorgifte vrijwel altijd buiten de EER gaat.

De oefening voor uw avondje werk is eenvoudig: open uw site in een privévenster, druk F12, klik op het tabblad Network en herlaad. Elke regel die u daar ziet met een domeinnaam die niet uw eigen domein is, is een derde partij die iets ontvangt over uw bezoeker. Schrijf ze op. Dat lijstje is de feitelijke startsituatie van uw GDPR-werk.

Worth starting with what the law actually calls personal data. Article 4(1) of the GDPR defines it as any information relating to an identified or identifiable natural person. Importantly, an IP address counts. The European Court of Justice settled that in Breyer (C-582/14, 2016), and a German regional court reaffirmed it in January 2022 when Google Fonts cost a website operator damages for piping every visitor's IP address straight to Mountain View by calling the font directly from Google.

The practical consequence is that your site is processing personal data before a visitor fills in anything. The usual sources, ranked by how often we miss them in audits:

• Server access logs. Almost every hosting environment logs the IP, the timestamp, the URL requested and the user agent. That is a processing activity. You need a lawful basis for it (usually Article 6(1)(f) GDPR, legitimate interest in security) and you need to say something about it in your privacy notice.
• Contact forms. Name, email, phone and the message itself. Depending on what the visitor writes, the body of the message can also contain special category data: health information, for example, if you are a physio.
• Embedded scripts. YouTube embeds, Google Maps, Calendly, Mailchimp forms, Vimeo, social feeds. Each of these sends your visitor's IP to a third party, often before the user has touched a button.
• External fonts. Google Fonts loaded through fonts.googleapis.com is the same story. The fix is five minutes of work: download the font, host it locally.
• Analytics. Google Analytics, Hotjar, Microsoft Clarity. Each of these drops cookies and pipes behavioural data out. Here you immediately land in the ePrivacy regime as well as the GDPR.
• Pixel tags and remarketing. Meta Pixel, LinkedIn Insight Tag, TikTok Pixel. Same rules as analytics, with the added complication that the purpose is advertising and the transfer is almost always outside the EEA.

The exercise for your evening is simple: open your site in a private window, hit F12, open the Network tab and reload. Every row that shows a domain that is not your own is a third party receiving something about your visitor. Write them all down. That list is the real starting point for your GDPR work.

Il est utile de commencer par ce que la loi appelle une donnée à caractère personnel. L'article 4(1) du RGPD la définit comme toute information se rapportant à une personne physique identifiée ou identifiable. Important : une adresse IP en fait partie. C'est ce qu'a jugé la Cour de justice de l'Union européenne dans l'affaire Breyer (C-582/14, 2016), et c'est ce qu'a confirmé à nouveau le juge allemand quand Google Fonts a valu, en janvier 2022, une amende à un gestionnaire de site qui chargeait la police directement chez Google et envoyait ainsi chaque adresse IP de ses visiteurs vers Mountain View.

Concrètement, cela signifie que votre site traite déjà des données personnelles avant qu'un visiteur ne remplisse quoi que ce soit. Les sources habituelles, par ordre de fréquence à laquelle nous les voyons oubliées lors d'audits :

• Les logs d'accès du serveur. Presque tous les environnements d'hébergement enregistrent l'adresse IP, l'heure, l'URL demandée et le user-agent. C'est un traitement. Il vous faut une base juridique (le plus souvent l'article 6(1)(f) du RGPD, l'intérêt légitime lié à la sécurité) et vous devez en dire quelque chose dans votre déclaration de confidentialité.
• Les formulaires de contact. Nom, e-mail, numéro de téléphone et le message lui-même. Selon ce que la personne écrit, le contenu du message peut aussi contenir des données sensibles : des informations de santé, par exemple, si vous êtes kinésithérapeute.
• Les scripts intégrés. Les intégrations YouTube, Google Maps, Calendly, les formulaires Mailchimp, Vimeo, les flux de réseaux sociaux. Chacun envoie l'adresse IP de votre visiteur à un tiers, souvent avant que l'utilisateur n'ait touché le moindre bouton.
• Les polices externes. Google Fonts chargé via fonts.googleapis.com, c'est la même histoire. Le correctif prend littéralement cinq minutes : téléchargez la police, hébergez-la chez vous.
• L'analytique. Google Analytics, Hotjar, Microsoft Clarity. Chacun dépose des cookies et transmet des données de comportement. Ici, vous êtes d'emblée dans le régime ePrivacy, pas seulement dans le RGPD.
• Les pixels et le remarketing. Meta Pixel, LinkedIn Insight Tag, TikTok Pixel. Mêmes règles que pour l'analytique, avec cette complication supplémentaire que la finalité est publicitaire et que le transfert sort presque toujours de l'EEE.

L'exercice pour votre soirée de travail est simple : ouvrez votre site dans une fenêtre privée, appuyez sur F12, cliquez sur l'onglet Network et rechargez. Chaque ligne que vous y voyez avec un nom de domaine qui n'est pas le vôtre correspond à un tiers qui reçoit quelque chose sur votre visiteur. Notez-les. Cette liste est le point de départ réel de votre travail RGPD.

De privacyverklaring is het meest zichtbare GDPR-element van een website en, in onze ervaring, ook het element dat het vaakst slecht gedaan wordt. Vaak is het een gekopieerde tekst van een sjabloonsite, met velden die niet zijn ingevuld of die helemaal niet kloppen voor de eigenlijke werking van de site.

Artikel 13 AVG schrijft heel precies voor welke informatie u moet geven op het moment dat u persoonsgegevens verzamelt. De minimumlijst:

• Identiteit en contactgegevens van de verwerkingsverantwoordelijke, dus de echte naam, het maatschappelijk adres en een werkend contactkanaal van uw onderneming.
• Contactgegevens van de functionaris voor gegevensbescherming (DPO), wanneer u er een moet aanstellen. Voor de meeste Belgische KMO's is dat niet verplicht, maar als u veel gevoelige gegevens verwerkt wel.
• De verwerkingsdoeleinden en de rechtsgrond. Dus niet alleen "wij verzamelen uw gegevens", maar "wij verzamelen uw naam en e-mail om uw offerte-aanvraag te beantwoorden, op basis van onze precontractuele relatie, artikel 6(1)(b) AVG".
• Indien u zich baseert op gerechtvaardigd belang (artikel 6(1)(f)): welk belang dat precies is.
• De ontvangers of categorieën van ontvangers. Uw hosting provider, uw mailinglijsttool, uw boekhoudpakket. Geen vaag "derden waar nodig".
• Of u gegevens doorgeeft buiten de EER en, zo ja, op welke juridische basis (adequaatheidsbesluit, modelcontractbepalingen, enz.).
• De bewaartermijn, of, als die niet vast te leggen is, de criteria om die termijn te bepalen.
• De rechten van de betrokkene: inzage, rectificatie, verwijdering, beperking, bezwaar, dataportabiliteit, en het recht om een klacht in te dienen bij de GBA.
• Of het verstrekken van de gegevens wettelijk of contractueel verplicht is, en de gevolgen wanneer iemand ze niet verstrekt.
• Het bestaan van geautomatiseerde besluitvorming, inclusief profilering, indien van toepassing.

De GBA heeft in haar recente beslissingen meerdere keren bekritiseerd dat verklaringen technisch alle onderdelen bevatten maar in een taal die geen gewone bezoeker begrijpt. Schrijf het in normaal Nederlands. Een privacyverklaring van vijf duidelijke alinea's is wettelijk beter dan een onleesbare tekst van zeven pagina's.

Een laatste verplicht element wordt vaak vergeten: de verklaring moet bereikbaar zijn op het moment dat de gegevens worden verzameld. Een link in de footer is goed; een link onmiddellijk onder elk contactformulier is beter.

The privacy notice is the most visible GDPR element of a website and, in our experience, also the most badly done. Often it is a copied paste from a template site with fields that have not been filled in or that do not reflect what the site actually does.

Article 13 GDPR spells out exactly what information you must give at the moment personal data is collected. The minimum list:

• The identity and contact details of the controller, meaning the real name, the registered address and a working contact channel for your company.
• The contact details of the data protection officer (DPO), where you have to appoint one. For most Belgian SMEs this is not mandatory, but it is if you process significant amounts of sensitive data.
• The purposes of processing and the legal basis. So not just "we collect your data", but "we collect your name and email to respond to your quote request, on the basis of our pre-contractual relationship, Article 6(1)(b) GDPR".
• If you rely on legitimate interest (Article 6(1)(f)): the specific interest you are pursuing.
• The recipients or categories of recipients. Your hosting provider, your mailing list tool, your accounting software. Not a vague "third parties where necessary".
• Whether you transfer data outside the EEA, and if so, on which legal basis (adequacy decision, standard contractual clauses, etc.).
• The retention period, or, if it cannot be set, the criteria you use to determine it.
• The data subject rights: access, rectification, erasure, restriction, objection, portability, and the right to lodge a complaint with the Belgian DPA.
• Whether providing the data is a statutory or contractual requirement, and what happens if a person does not provide it.
• The existence of automated decision-making, including profiling, where applicable.

The Belgian DPA has criticised in several recent decisions that notices technically include every required element but in language no ordinary visitor understands. Write it in plain Dutch or English. A privacy notice of five clear paragraphs is legally better than an unreadable seven-page text.

One final mandatory element gets forgotten a lot: the notice must be reachable at the moment data is collected. A footer link is fine; a link immediately under each contact form is better.

La déclaration de confidentialité est l'élément RGPD le plus visible d'un site et, selon notre expérience, aussi celui qui est le plus souvent mal fait. Il s'agit souvent d'un texte copié d'un site modèle, avec des champs non remplis ou qui ne correspondent pas du tout au fonctionnement réel du site.

L'article 13 du RGPD précise très exactement quelles informations vous devez donner au moment où vous collectez des données personnelles. La liste minimale :

• L'identité et les coordonnées du responsable du traitement, donc le nom réel, le siège social et un canal de contact qui fonctionne pour votre entreprise.
• Les coordonnées du délégué à la protection des données (DPO), lorsque vous devez en désigner un. Pour la plupart des PME belges ce n'est pas obligatoire, mais cela le devient si vous traitez beaucoup de données sensibles.
• Les finalités du traitement et la base juridique. Donc pas seulement « nous collectons vos données », mais « nous collectons votre nom et votre e-mail pour répondre à votre demande de devis, sur la base de notre relation précontractuelle, article 6(1)(b) du RGPD ».
• Si vous vous basez sur l'intérêt légitime (article 6(1)(f)) : quel est précisément cet intérêt.
• Les destinataires ou les catégories de destinataires. Votre hébergeur, votre outil de mailing, votre logiciel comptable. Pas un vague « des tiers si nécessaire ».
• Si vous transférez des données hors de l'EEE et, dans ce cas, sur quelle base juridique (décision d'adéquation, clauses contractuelles types, etc.).
• La durée de conservation ou, si elle ne peut pas être fixée, les critères qui permettent de la déterminer.
• Les droits de la personne concernée : accès, rectification, effacement, limitation, opposition, portabilité des données, et le droit d'introduire une plainte auprès de l'APD.
• Si la fourniture des données est une obligation légale ou contractuelle, et les conséquences si la personne ne les fournit pas.
• L'existence d'une prise de décision automatisée, y compris le profilage, le cas échéant.

Dans ses décisions récentes, l'APD a critiqué à plusieurs reprises des déclarations qui contiennent techniquement tous les éléments mais dans une langue qu'aucun visiteur ordinaire ne comprend. Écrivez-la en français ordinaire. Une déclaration de confidentialité de cinq paragraphes clairs vaut mieux, en droit, qu'un texte illisible de sept pages.

Un dernier élément obligatoire est souvent oublié : la déclaration doit être accessible au moment où les données sont collectées. Un lien dans le pied de page, c'est bien, un lien juste sous chaque formulaire de contact, c'est mieux.

Cookies zitten in een eigen wettelijk regime: artikel 5(3) van de ePrivacy-richtlijn, in België omgezet via artikel 129 van de wet op de elektronische communicatie. De regel is eenvoudig: voor elke cookie of vergelijkbare technologie die niet strikt noodzakelijk is voor een door de gebruiker uitdrukkelijk gevraagde dienst, heeft u voorafgaande, geïnformeerde, vrije, specifieke en ondubbelzinnige toestemming nodig.

"Strikt noodzakelijk" is een smaller begrip dan veel ondernemers denken. Een winkelmandje voor uw webshop is strikt noodzakelijk. Een sessie-cookie die uw bezoeker ingelogd houdt, is strikt noodzakelijk. Een analytics-cookie van Google Analytics is dat niet, ook al voelt het voor u nuttig. Een Meta Pixel is dat ook niet.

De praktische gevolgen voor uw cookiebanner, op basis van de meest recente beslissingen van de GBA in 2024 (Mediahuis, RTL België, en de zaken 37/2024 en 38/2024 over de persgroepen):

• Een "Alles weigeren"-knop staat op de eerste laag. Dezelfde laag als "Alles aanvaarden", met dezelfde grootte en hetzelfde contrast. Geen verstopte link onderaan, geen lichtgrijze tekst op een witte achtergrond. De GBA noemt dit type ontwerp uitdrukkelijk "deceptive design".
• Geen vooraf aangevinkte vakjes. Het Hof van Justitie heeft dit al in 2019 in Planet49 (C-673/17) duidelijk gemaakt: toestemming moet een actieve handeling zijn.
• Cookies plaatsen pas na toestemming. Niet vóór. Veel banners laten al een hele waslijst aan trackers vuren bij paginabezoek en wachten dan op "ja". Dat is geen voorafgaande toestemming.
• Cookiewall is verboden. U mag de toegang tot de site niet weigeren aan iemand die de cookies weigert. Een betalend abonnement als alternatief (zogenaamde "pay or okay"-modellen) is door de Europese Toezichthouder uitdrukkelijk in twijfel getrokken in haar advies van april 2024.
• Toestemming intrekken even makkelijk als geven. Een blijvend, zichtbaar mechanisme om de keuze later aan te passen. Een verstopt linkje in de footer met de tekst "cookie-voorkeuren" is in de praktijk acceptabel, mits het echt werkt en de banner echt opnieuw opent.
• Per categorie of per cookie, niet één globale knop. De gebruiker moet kunnen kiezen tussen functionele, analytische en marketingcookies. Eén knop "aanpassen" die naar een pagina vol uitgevinkte vakjes leidt is acceptabel.

In de Mediahuis-beslissing (113/2024) heeft de GBA bevolen om de banners van De Standaard, Het Nieuwsblad, Het Belang van Limburg en Gazet van Antwerpen binnen 45 dagen aan te passen, op straffe van 25.000 euro per dag per website bij niet-naleving. Het Marktenhof heeft die specifieke beslissing in maart 2025 vernietigd op procedurele gronden (de klagende partij, een stagiair bij privacy-NGO noyb, werd niet als rechtstreeks getroffen betrokkene aanvaard) en het dossier teruggestuurd naar de GBA. De onderliggende inhoudelijke principes (geen dark patterns, "Alles weigeren" op gelijke voet) blijven echter de norm, en de RTL-zaak (131/2024) volgt dezelfde lijn. Dit zijn geen marginale boetes voor marginale spelers.

Een laatste praktisch puntje: u heeft naast de banner ook een echte cookiebeleidspagina nodig die per cookie de naam, het doel en de bewaartermijn beschrijft. Een banner zonder achterliggend beleid voldoet niet aan de transparantieplicht van artikel 13 AVG.

Cookies sit in their own legal regime: Article 5(3) of the ePrivacy directive, transposed in Belgium through Article 129 of the Electronic Communications Act. The rule is simple: for every cookie or similar technology that is not strictly necessary for a service the user explicitly requested, you need prior, informed, freely given, specific and unambiguous consent.

"Strictly necessary" is narrower than most entrepreneurs assume. A shopping cart on your webshop is strictly necessary. A session cookie that keeps your visitor logged in is strictly necessary. A Google Analytics cookie is not, however useful you find it. A Meta Pixel is not either.

The practical consequences for your cookie banner, based on the Belgian DPA's most recent 2024 decisions (Mediahuis, RTL Belgium, and the press group cases 37/2024 and 38/2024):

• A "Reject all" button on the first layer. The same layer as "Accept all", the same size, the same contrast. Not a hidden link at the bottom, not light grey text on a white background. The DPA explicitly calls this type of design "deceptive design".
• No pre-ticked boxes. The Court of Justice already settled this in 2019 in Planet49 (C-673/17): consent must be an active act.
• Cookies only drop after consent. Not before. Many banners already fire a full stack of trackers on page load and then wait for "yes". That is not prior consent.
• A cookie wall is forbidden. You cannot deny access to the site to someone who refuses cookies. A paid subscription as alternative (so-called "pay or okay" models) was explicitly questioned by the European Data Protection Board in its opinion of April 2024.
• Withdrawing consent must be as easy as giving it. A persistent, visible mechanism to change the choice later. A discreet link in the footer reading "cookie preferences" is acceptable in practice, as long as it really works and really reopens the banner.
• Per category or per cookie, not one global button. The user must be able to choose between functional, analytical and marketing cookies. One "customise" button leading to a page of unticked checkboxes is acceptable.

In the Mediahuis decision (113/2024) the Belgian DPA ordered the banners of De Standaard, Het Nieuwsblad, Het Belang van Limburg and Gazet van Antwerpen to be revised within 45 days, with a fine of EUR 25,000 per day per website for non-compliance. The Brussels Market Court annulled that specific decision in March 2025 on procedural grounds (the complainant, an intern at the privacy NGO noyb, was not accepted as a directly affected data subject) and sent the file back to the DPA. The underlying substantive principles (no dark patterns, "Reject all" at equal prominence) remain the standard, however, and the RTL case (131/2024) follows the same line. These are not marginal fines for marginal players.

One final practical point: alongside the banner you also need a real cookie policy page that lists, per cookie, the name, purpose and retention period. A banner without an underlying policy fails the transparency obligation in Article 13 GDPR.

Les cookies relèvent d'un régime juridique propre : l'article 5(3) de la directive ePrivacy, transposé en Belgique par l'article 129 de la loi relative aux communications électroniques. La règle est simple : pour chaque cookie ou technologie comparable qui n'est pas strictement nécessaire à un service expressément demandé par l'utilisateur, il vous faut un consentement préalable, éclairé, libre, spécifique et univoque.

« Strictement nécessaire » est une notion plus étroite que ce que beaucoup d'entrepreneurs pensent. Un panier d'achat pour votre boutique en ligne est strictement nécessaire. Un cookie de session qui garde votre visiteur connecté est strictement nécessaire. Un cookie analytique de Google Analytics ne l'est pas, même s'il vous paraît utile. Un Meta Pixel non plus.

Les conséquences pratiques pour votre bandeau de cookies, sur la base des décisions les plus récentes de l'APD en 2024 (Mediahuis, RTL Belgique, et les dossiers 37/2024 et 38/2024 concernant les groupes de presse) :

• Un bouton « Tout refuser » figure sur la première couche. La même couche que « Tout accepter », avec la même taille et le même contraste. Pas de lien caché en bas de page, pas de texte gris clair sur fond blanc. L'APD qualifie explicitement ce type de conception de « deceptive design ».
• Pas de cases précochées. La Cour de justice l'a précisé dès 2019 dans Planet49 (C-673/17) : le consentement doit être un acte positif.
• Ne déposez les cookies qu'après le consentement. Pas avant. Beaucoup de bandeaux déclenchent déjà toute une série de traceurs dès la visite de la page et attendent ensuite le « oui ». Ce n'est pas un consentement préalable.
• Le cookie wall est interdit. Vous ne pouvez pas refuser l'accès au site à qui refuse les cookies. L'abonnement payant comme alternative (les modèles dits « pay or okay ») a été explicitement mis en doute par le Contrôleur européen de la protection des données dans son avis d'avril 2024.
• Retirer son consentement aussi facilement que le donner. Un mécanisme visible et permanent pour modifier son choix plus tard. Un petit lien discret dans le pied de page portant la mention « préférences cookies » est acceptable en pratique, à condition qu'il fonctionne vraiment et qu'il rouvre réellement le bandeau.
• Par catégorie ou par cookie, pas un seul bouton global. L'utilisateur doit pouvoir choisir entre les cookies fonctionnels, analytiques et marketing. Un bouton « personnaliser » qui mène à une page de cases décochées est acceptable.

Dans la décision Mediahuis (113/2024), l'APD a ordonné d'adapter dans les 45 jours les bandeaux de De Standaard, Het Nieuwsblad, Het Belang van Limburg et Gazet van Antwerpen, sous peine de 25.000 euros par jour et par site en cas de non-respect. La Cour des marchés a annulé cette décision précise en mars 2025 pour des motifs de procédure (la partie plaignante, un stagiaire de l'ONG noyb, n'a pas été reconnue comme personne directement concernée) et a renvoyé le dossier à l'APD. Les principes de fond sous-jacents (pas de dark patterns, « Tout refuser » sur un pied d'égalité) restent toutefois la norme, et l'affaire RTL (131/2024) suit la même ligne. Ce ne sont pas des amendes marginales pour des acteurs marginaux.

Un dernier point pratique : en plus du bandeau, il vous faut une véritable page de politique cookies qui décrit, pour chaque cookie, son nom, sa finalité et sa durée de conservation. Un bandeau sans politique derrière lui ne satisfait pas à l'obligation de transparence de l'article 13 du RGPD.

Elke leverancier die in uw plaats persoonsgegevens verwerkt, is in de woorden van de AVG een verwerker. Uw hosting provider, uw mailingplatform, uw boekhoudpakket, uw CRM, uw afsprakentool. Met elk van die partijen heeft u onder artikel 28 AVG een schriftelijke verwerkersovereenkomst nodig.

Dat hoeft geen advocatencontract te zijn. De meeste serieuze SaaS-providers (Google Workspace, Microsoft 365, Mailchimp, HubSpot, Teamleader) hebben een standaard Data Processing Addendum dat u eenmalig aanvaardt. Het bevat per definitie de verplichte elementen uit artikel 28(3): verwerking enkel op gedocumenteerde instructie, vertrouwelijkheid, beveiligingsmaatregelen, regels rond sub-verwerkers, hulp bij verzoeken van betrokkenen, hulp bij meldplichten, teruggave of verwijdering aan het einde, en het recht op audit.

Aanvinken is niet het werk. Een lijst opmaken is het werk. We raden klanten aan om één tabblad in een spreadsheet bij te houden met daarop: leverancier, dienst, type gegevens, of er een verwerkersovereenkomst is, en waar die te vinden is. Dat is op zichzelf geen wettelijke vereiste, maar het maakt het register van verwerkingsactiviteiten (verplicht onder artikel 30 AVG voor bedrijven boven 250 werknemers, of bij structurele verwerking voor kleinere bedrijven) onmiddellijk haalbaar.

De moeilijke kant zit in de internationale doorgiftes. Wanneer een verwerker buiten de Europese Economische Ruimte zit (typisch in de Verenigde Staten) heeft u een extra grondslag nodig. Sinds de uitspraak van het Hof van Justitie in Schrems II (2020) is dat een actief vraagstuk geworden. De situatie eind 2025:

• EU-US Data Privacy Framework. Sinds 10 juli 2023 is er een adequaatheidsbesluit voor de Verenigde Staten, mits het ontvangende bedrijf is gecertificeerd onder het DPF. U kunt dat opzoeken op dataprivacyframework.gov. Het besluit overleefde in september 2025 zijn eerste juridische uitdaging voor het Gerecht van de EU, maar een tweede Schrems-zaak (Schrems III) is bij het Hof van Justitie in voorbereiding.
• Modelcontractbepalingen (SCC's). Als de verwerker niet onder het DPF gecertificeerd is, vallen de meeste bedrijven terug op de modelcontractbepalingen van de Europese Commissie in haar uitvoeringsbesluit van juni 2021.
• Transfer Impact Assessment. Schrems II vereist dat u niet alleen de SCC's tekent, maar ook documenteert dat ze in de praktijk equivalent zijn. Een korte interne nota volstaat voor de meeste KMO-situaties.

De vraag die de meeste Belgische ondernemers ons stellen is concreet en eerlijk: moet ik mijn Mailchimp dan opzeggen? Het korte antwoord is nee, op voorwaarde dat Mailchimp DPF-gecertificeerd is (dat zijn ze, via hun moederbedrijf Intuit), u hun DPA aanvaardt en u in uw eigen privacyverklaring uitlegt dat u doorgeeft op basis van het adequaatheidsbesluit. Hetzelfde geldt voor Calendly, HubSpot, Stripe en de meeste grote tools die u gebruikt. Voor kleinere of nieuwere Amerikaanse tools is een controle de moeite waard.

Every supplier that processes personal data on your behalf is, in GDPR language, a processor. Your hosting provider, your mailing platform, your accounting software, your CRM, your scheduling tool. Under Article 28 GDPR you need a written processor agreement with each of them.

This does not have to be a custom lawyer's contract. Most serious SaaS providers (Google Workspace, Microsoft 365, Mailchimp, HubSpot, Teamleader) publish a standard Data Processing Addendum you accept once. By design it contains the required elements of Article 28(3): processing only on documented instructions, confidentiality, security measures, rules on sub-processors, help with data subject requests, help with notification duties, return or deletion at the end, and the right to audit.

Ticking the box is not the work. Keeping a list is the work. We recommend our clients maintain one spreadsheet tab with: supplier, service, type of data, whether a DPA exists, and where it is. That is not itself a legal requirement, but it makes the record of processing activities (mandatory under Article 30 GDPR for organisations of 250 employees or more, or where processing is structural for smaller ones) immediately doable.

The harder side is international transfers. When a processor sits outside the European Economic Area (typically in the United States) you need an additional ground. Since the Court of Justice ruling in Schrems II (2020) this has become a live question. As of late 2025:

• EU-US Data Privacy Framework. Since 10 July 2023 there is an adequacy decision for the United States, provided the receiving company is certified under the DPF. You can check this on dataprivacyframework.gov. The decision survived its first legal challenge in the EU General Court in September 2025, but a second Schrems case (Schrems III) is being prepared before the Court of Justice.
• Standard Contractual Clauses (SCCs). If the processor is not DPF-certified, most companies fall back to the European Commission's SCCs in its implementing decision of June 2021.
• Transfer Impact Assessment. Schrems II requires that you do not just sign the SCCs but also document that they are equivalent in practice. A short internal memo is enough for most SME situations.

The honest question most Belgian entrepreneurs ask us is concrete: do I have to drop Mailchimp? The short answer is no, provided Mailchimp is DPF-certified (it is, through its parent Intuit), you accept their DPA, and your own privacy notice explains that you transfer on the basis of the adequacy decision. The same goes for Calendly, HubSpot, Stripe and most of the large tools you use. For smaller or newer US tools it is worth a check.

Chaque fournisseur qui traite des données personnelles à votre place est, dans les termes du RGPD, un sous-traitant. Votre hébergeur, votre plateforme d'e-mailing, votre logiciel comptable, votre CRM, votre outil de rendez-vous. Avec chacune de ces parties, l'article 28 du RGPD vous impose un contrat de sous-traitance écrit.

Ce n'est pas un contrat d'avocat. La plupart des fournisseurs SaaS sérieux (Google Workspace, Microsoft 365, Mailchimp, HubSpot, Teamleader) proposent un Data Processing Addendum standard que vous acceptez une seule fois. Il contient par définition les éléments obligatoires de l'article 28(3) : traitement uniquement sur instruction documentée, confidentialité, mesures de sécurité, règles sur les sous-traitants ultérieurs, aide en cas de demandes des personnes concernées, aide en cas d'obligations de notification, restitution ou effacement à la fin, et droit d'audit.

Cocher la case n'est pas le travail. Dresser une liste est le travail. Nous conseillons à nos clients de tenir un onglet de tableur avec : fournisseur, service, type de données, existence d'un contrat de sous-traitance, et où le retrouver. Ce n'est pas une obligation légale en soi, mais cela rend le registre des activités de traitement (obligatoire selon l'article 30 du RGPD pour les entreprises de plus de 250 travailleurs, ou en cas de traitement structurel pour les plus petites) immédiatement réalisable.

Le côté difficile, ce sont les transferts internationaux. Quand un sous-traitant se trouve en dehors de l'Espace économique européen (typiquement aux États-Unis), il vous faut une base supplémentaire. Depuis l'arrêt de la Cour de justice dans Schrems II (2020), c'est devenu une question active. La situation fin 2025 :

• EU-US Data Privacy Framework. Depuis le 10 juillet 2023, il existe une décision d'adéquation pour les États-Unis, à condition que l'entreprise destinataire soit certifiée sous le DPF. Vous pouvez le vérifier sur dataprivacyframework.gov. La décision a survécu en septembre 2025 à sa première contestation devant le Tribunal de l'UE, mais une deuxième affaire Schrems (Schrems III) se prépare devant la Cour de justice.
• Clauses contractuelles types (CCT). Si le sous-traitant n'est pas certifié sous le DPF, la plupart des entreprises se replient sur les clauses contractuelles types de la Commission européenne, dans sa décision d'exécution de juin 2021.
• Transfer Impact Assessment. Schrems II exige que vous ne vous contentiez pas de signer les CCT, mais que vous documentiez aussi qu'elles sont équivalentes en pratique. Une courte note interne suffit dans la plupart des situations de PME.

La question que la plupart des entrepreneurs belges nous posent est concrète et honnête : dois-je alors résilier mon Mailchimp ? La réponse courte est non, à condition que Mailchimp soit certifié DPF (c'est le cas, via sa maison mère Intuit), que vous acceptiez leur DPA et que vous expliquiez dans votre propre déclaration de confidentialité que vous transférez sur la base de la décision d'adéquation. Il en va de même pour Calendly, HubSpot, Stripe et la plupart des grands outils que vous utilisez. Pour des outils américains plus petits ou plus récents, une vérification vaut la peine.

De AVG geeft elke persoon over wie u gegevens verwerkt een reeks rechten: inzage (artikel 15), rechtzetting (16), verwijdering (17), beperking (18), dataportabiliteit (20) en bezwaar (21). Voor de meeste Belgische KMO's komt dit in de praktijk neer op drie vragen die ze van tijd tot tijd krijgen: "welke gegevens hebt u over mij", "kunt u dit corrigeren" en "kunt u mij volledig verwijderen".

U heeft daar geen gespecialiseerde tooling voor nodig. Wat u wel nodig heeft is:

• Een werkend e-mailadres voor verzoeken. Liefst iets als privacy@uwbedrijf.be. Dat hoeft niet bemand te zijn buiten kantooruren; het moet alleen tijdig gelezen worden.
• Een termijn van één maand. Artikel 12(3) AVG: u moet binnen één maand antwoorden, met een mogelijke verlenging van twee bijkomende maanden voor complexe verzoeken, mits gemotiveerd.
• Identiteitsverificatie zonder overdrijving. U mag bewijs van identiteit vragen, maar niet meer informatie dan u al heeft. Iemand vragen om een kopie van hun identiteitskaart wanneer u alleen een e-mailadres hebt, is disproportioneel.
• Een interne lijst van plaatsen waar de gegevens staan. Hosting, e-mail, CRM, boekhouding, mailing tool. Dezelfde lijst die uit het verwerkersregister komt.
• Een sjabloon antwoordmail. Drie of vier zinnen die de gevraagde informatie netjes opsommen, of die bevestigen dat de gegevens verwijderd zijn.

Het recht op verwijdering kent een belangrijke beperking: het geldt niet wanneer er een andere wettelijke verplichting is om de gegevens te bewaren. Voor Belgische ondernemers is dat vooral relevant voor de boekhoudkundige bewaartermijn van zeven jaar voor facturen en de boekhouding. Wanneer een klant vraagt om "volledig verwijderd" te worden, kunt u de marketingdata wissen maar moet u de facturatiegegevens behouden tot de wettelijke termijn verstreken is. Die nuance hoort in uw antwoord te staan.

The GDPR gives every person whose data you process a set of rights: access (Article 15), rectification (16), erasure (17), restriction (18), data portability (20) and objection (21). For most Belgian SMEs this comes down in practice to three questions they get from time to time: "what data do you have on me", "can you correct this" and "can you fully delete me".

You do not need specialised tooling for this. What you do need:

• A working email address for requests. Preferably something like privacy@yourcompany.be. It does not need to be staffed outside office hours; it just needs to be read in time.
• A one-month response window. Article 12(3) GDPR: you must respond within one month, with a possible extension of two further months for complex requests, provided you justify it.
• Identity verification without excess. You may ask for proof of identity, but no more information than you already hold. Asking for a copy of someone's ID card when you only have their email is disproportionate.
• An internal map of where the data sits. Hosting, email, CRM, accounting, mailing tool. The same list that comes out of your processor register.
• A template response email. Three or four lines that neatly summarise the requested information, or confirm that the data has been deleted.

The right to erasure has an important limit: it does not apply where another legal obligation requires you to keep the data. For Belgian entrepreneurs this is mostly relevant for the seven-year accounting retention period for invoices and bookkeeping. When a customer asks to be "fully deleted", you can wipe the marketing data but you must keep the invoicing records until the statutory period expires. That nuance belongs in your response.

Le RGPD donne à chaque personne dont vous traitez les données une série de droits : accès (article 15), rectification (16), effacement (17), limitation (18), portabilité (20) et opposition (21). Pour la plupart des PME belges, cela revient en pratique à trois questions qu'elles reçoivent de temps à autre : « quelles données avez-vous sur moi », « pouvez-vous corriger ceci » et « pouvez-vous me supprimer complètement ».

Vous n'avez pas besoin d'outils spécialisés pour cela. Ce dont vous avez besoin :

• Une adresse e-mail qui fonctionne pour les demandes. De préférence quelque chose comme privacy@votreentreprise.be. Elle ne doit pas être surveillée en dehors des heures de bureau, elle doit simplement être lue à temps.
• Un délai d'un mois. Article 12(3) du RGPD : vous devez répondre dans le mois, avec une prolongation possible de deux mois supplémentaires pour les demandes complexes, à condition de la motiver.
• Une vérification d'identité sans excès. Vous pouvez demander une preuve d'identité, mais pas plus d'informations que celles que vous détenez déjà. Demander une copie de la carte d'identité alors que vous ne disposez que d'une adresse e-mail est disproportionné.
• Une liste interne des endroits où se trouvent les données. Hébergement, e-mail, CRM, comptabilité, outil de mailing. La même liste que celle qui sort du registre des sous-traitants.
• Un modèle d'e-mail de réponse. Trois ou quatre phrases qui reprennent proprement les informations demandées, ou qui confirment que les données ont été effacées.

Le droit à l'effacement connaît une limite importante : il ne s'applique pas lorsqu'une autre obligation légale impose de conserver les données. Pour les entrepreneurs belges, cela concerne surtout le délai de conservation comptable de sept ans pour les factures et la comptabilité. Quand un client demande à être « complètement supprimé », vous pouvez effacer les données marketing mais vous devez conserver les données de facturation jusqu'à l'expiration du délai légal. Cette nuance doit figurer dans votre réponse.

De AVG voorziet boetes tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, naargelang welk bedrag hoger is. Dat is het maximum. De praktijk in België is een ander verhaal en de moeite om kort te bekijken.

Uit het jaarverslag 2024 van de Gegevensbeschermingsautoriteit:

• Totaal opgelegde boetes in 2024: 708.371 euro, verspreid over 173 beslissingen van de Geschillenkamer. Ter vergelijking: in 2023 was dat 80.000 euro voor 171 beslissingen.
• 1.455 meldingen van datalekken in 2024, een stijging van 12% ten opzichte van 2023. Bijna vier per dag.
• 40% van die incidenten had menselijke fouten als oorzaak. Verkeerd geadresseerde e-mails, verloren USB-sticks, paswoorden in een spreadsheet.
• Slechts één van de 173 beslissingen ging eigenlijk over een datalek. De overgrote meerderheid gaat over transparantie, toestemming en cookiebanners.

Wat opvalt aan dit cijferbeeld is hoe ver de gemiddelde boete weg blijft van de "miljoenen euro's" die de pers graag aanhaalt. De meeste GBA-boetes voor KMO's liggen tussen de 1.500 en 25.000 euro. De boete van een paar honderdduizend euro die we wel zagen in 2024 (Mediahuis) ging over een grote mediagroep met miljoenen bezoekers en een cookiebanner die door de toezichthouder als doelbewust misleidend werd gekwalificeerd.

De praktische conclusie voor een kleine ondernemer: het echte risico is niet een spectaculaire boete, maar een klacht van een misnoegde voormalige klant, een ex-werknemer of een concurrent. De GBA opent een onderzoek, vraagt om documentatie, en wanneer u geen privacyverklaring, geen verwerkersovereenkomst en geen cookiebanner kunt voorleggen, eindigt dat met een berisping en een formele verplichting om binnen X dagen orde te scheppen. Een paar uur werk vandaag voorkomt veel uren werk later.

The GDPR provides for fines up to 20 million euros or 4% of global annual turnover, whichever is higher. That is the cap. Belgian practice is a different story and worth a brief look.

From the 2024 annual report of the Belgian DPA:

• Total fines imposed in 2024: EUR 708,371, across 173 decisions of the Litigation Chamber. For context, in 2023 the total was EUR 80,000 across 171 decisions.
• 1,455 data breach notifications in 2024, up 12% on 2023. Nearly four per day.
• 40% of those incidents were caused by human error. Mis-addressed emails, lost USB sticks, passwords in a spreadsheet.
• Only one of the 173 decisions actually concerned a data breach. The overwhelming majority concerned transparency, consent and cookie banners.

What stands out is how far the average fine sits from the "millions of euros" the press likes to cite. Most Belgian DPA fines against SMEs fall between EUR 1,500 and EUR 25,000. The few hundred thousand euros we did see in 2024 (Mediahuis) involved a large media group with millions of visitors and a cookie banner the regulator qualified as deliberately deceptive.

The practical takeaway for a small entrepreneur: the real risk is not a spectacular fine, it is a complaint from an unhappy ex-customer, an ex-employee or a competitor. The DPA opens an investigation, asks for documentation, and when you cannot produce a privacy notice, a processor agreement and a cookie banner, the outcome is a reprimand and a formal order to fix things within X days. A few hours of work today saves a lot of hours of work later.

Le RGPD prévoit des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est le maximum. La pratique belge est une autre histoire, et elle vaut un bref détour.

Extrait du rapport annuel 2024 de l'Autorité de protection des données :

• Total des amendes infligées en 2024 : 708.371 euros, répartis sur 173 décisions de la Chambre Contentieuse. À titre de comparaison : en 2023, c'était 80.000 euros pour 171 décisions.
• 1.455 notifications de fuites de données en 2024, une hausse de 12 % par rapport à 2023. Presque quatre par jour.
• 40 % de ces incidents avaient une erreur humaine pour cause. E-mails envoyés au mauvais destinataire, clés USB perdues, mots de passe dans un tableur.
• Une seule des 173 décisions portait effectivement sur une fuite de données. La grande majorité concerne la transparence, le consentement et les bandeaux de cookies.

Ce qui frappe dans ces chiffres, c'est à quel point l'amende moyenne reste éloignée des « millions d'euros » que la presse aime citer. La plupart des amendes de l'APD pour des PME se situent entre 1.500 et 25.000 euros. L'amende de quelques centaines de milliers d'euros que nous avons vue en 2024 (Mediahuis) concernait un grand groupe de presse avec des millions de visiteurs et un bandeau de cookies que l'autorité a qualifié de délibérément trompeur.

La conclusion pratique pour un petit entrepreneur : le vrai risque n'est pas une amende spectaculaire, mais la plainte d'un ancien client mécontent, d'un ex-collaborateur ou d'un concurrent. L'APD ouvre une enquête, demande la documentation, et quand vous ne pouvez présenter ni déclaration de confidentialité, ni contrat de sous-traitance, ni bandeau de cookies, cela se termine par une réprimande et l'obligation formelle de mettre de l'ordre dans un délai donné. Quelques heures de travail aujourd'hui évitent beaucoup d'heures de travail plus tard.

Wat hieronder volgt is een geanonimiseerd lijstje van wat we het vaakst zien terugkomen wanneer we een Belgische ondernemerswebsite tegen de checklist leggen. De voorbeelden zijn echt; de namen niet.

• Een privacyverklaring die naar een ander bedrijf verwijst. Een Brusselse architect waarvan de verklaring nog steeds de naam droeg van het sjabloon-bureau in Antwerpen. De fix: open de verklaring, vervang alle namen, adressen en contactgegevens door uw eigen. Vijftien minuten.
• Een cookiebanner die niets blokkeert. Een Gentse fysiotherapeut met een mooie banner die "Aanvaarden" en "Weigeren" toonde, maar waarbij Google Analytics en de Meta Pixel onmiddellijk bij paginabezoek werden geladen, ongeacht de keuze. De fix: een echte consent management tool (Cookiebot, Usercentrics, CookieYes, of een open-source variant), correct geconfigureerd zodat scripts pas vuren na "ja".
• Google Fonts opgehaald via het CDN van Google. Veel WordPress-thema's doen dit standaard. De fix: download het lettertype, plaats het in uw eigen /fonts-map, pas de @font-face-regel in uw CSS aan. Half uur, definitief opgelost.
• Een contactformulier zonder zichtbare verwijzing naar de privacyverklaring. De wet vereist dat de informatie beschikbaar is op het moment van de gegevensverzameling. Een footerlink is meestal niet voldoende. De fix: één regel tekst onder elk formulier, "Door dit formulier in te dienen aanvaardt u onze [privacyverklaring]", met een werkende link.
• Bewaartermijnen die niet bestaan. Klantendata van vijftien jaar geleden die nog altijd in het CRM staat omdat niemand ooit een opruimactie heeft gepland. De fix: definieer voor elke categorie gegevens een bewaartermijn, schrijf die in uw verklaring, en plan één keer per jaar een opruiming. Mailchimp en de meeste CRM's hebben filters waarmee u inactieve contacten eenvoudig kunt selecteren en wissen.

What follows is an anonymised list of what we most often see come up when we hold a Belgian business website up to the checklist. The examples are real; the names are not.

• A privacy notice that points at another company. A Brussels architect whose notice still carried the name of the Antwerp template firm it was copied from. The fix: open the notice, replace every name, address and contact detail with your own. Fifteen minutes.
• A cookie banner that blocks nothing. A Ghent physio with a slick banner showing "Accept" and "Reject", while Google Analytics and the Meta Pixel were loaded on page view regardless of the choice. The fix: a real consent management tool (Cookiebot, Usercentrics, CookieYes, or an open-source alternative), properly configured so scripts only fire after "yes".
• Google Fonts loaded through Google's CDN. Many WordPress themes do this by default. The fix: download the font, drop it in your own /fonts folder, adjust the @font-face rule in your CSS. Half an hour, permanently resolved.
• A contact form without a visible reference to the privacy notice. The law requires the information to be available at the moment of collection. A footer link is usually not enough. The fix: one line of text under each form, "By submitting this form you accept our [privacy notice]", with a working link.
• Retention periods that do not exist. Customer records from fifteen years ago still sitting in the CRM because nobody ever scheduled a cleanup. The fix: define a retention period for every data category, write it into your notice, and schedule one cleanup a year. Mailchimp and most CRMs have filters that make it easy to select and erase inactive contacts.

Ce qui suit est une liste anonymisée de ce que nous voyons revenir le plus souvent quand nous confrontons le site d'une entreprise belge à cette checklist. Les exemples sont réels, les noms ne le sont pas.

• Une déclaration de confidentialité qui renvoie à une autre entreprise. Un architecte bruxellois dont la déclaration portait encore le nom du bureau modèle situé à Anvers. Le correctif : ouvrez la déclaration, remplacez tous les noms, adresses et coordonnées par les vôtres. Quinze minutes.
• Un bandeau de cookies qui ne bloque rien. Un kinésithérapeute gantois avec un beau bandeau qui affichait « Accepter » et « Refuser », mais où Google Analytics et le Meta Pixel se chargeaient immédiatement à la visite de la page, quel que soit le choix. Le correctif : un vrai outil de gestion du consentement (Cookiebot, Usercentrics, CookieYes, ou une variante open source), configuré correctement pour que les scripts ne se déclenchent qu'après le « oui ».
• Google Fonts chargé via le CDN de Google. Beaucoup de thèmes WordPress le font par défaut. Le correctif : téléchargez la police, placez-la dans votre propre dossier /fonts, adaptez la règle @font-face dans votre CSS. Une demi-heure, réglé définitivement.
• Un formulaire de contact sans renvoi visible à la déclaration de confidentialité. La loi exige que l'information soit disponible au moment de la collecte des données. Un lien dans le pied de page ne suffit généralement pas. Le correctif : une ligne de texte sous chaque formulaire, « En envoyant ce formulaire, vous acceptez notre [déclaration de confidentialité] », avec un lien qui fonctionne.
• Des durées de conservation qui n'existent pas. Des données clients d'il y a quinze ans encore présentes dans le CRM parce que personne n'a jamais planifié de nettoyage. Le correctif : définissez une durée de conservation par catégorie de données, écrivez-la dans votre déclaration, et planifiez un nettoyage une fois par an. Mailchimp et la plupart des CRM proposent des filtres pour sélectionner et effacer facilement les contacts inactifs.

Een aanverwant onderwerp dat we vaak in dezelfde gesprekken aansnijden: BTW voor wie ook online verkoopt. Dit zit niet in de AVG maar in de Belgische BTW-wet en in de Europese BTW e-commerce-richtlijn. We vermelden het hier omdat een webshop die GDPR-conform is maar BTW-technisch verkeerd zit, alsnog een groot risico draagt.

Sinds 1 juli 2021 geldt EU-breed één drempel van 10.000 euro voor B2C-afstandsverkopen aan particulieren in andere EU-lidstaten. Daaronder mag u Belgische BTW blijven aanrekenen en gewoon in België aangeven. Daarboven moet u in principe de BTW aanrekenen van het land van de klant en daar ook afdragen.

Om dat laatste hanteerbaar te houden bestaat de One-Stop Shop (OSS). U registreert zich eenmalig in België, dient één kwartaalaangifte in waarin u per lidstaat de BTW vermeldt, en betaalt alles via de Belgische fiscus. Geen aparte BTW-registratie per land.

Voor Belgische ondernemers die op MyMinfin de OSS-registratie willen doen, is de praktische volgorde: bekijk uw jaarlijkse buitenlandse omzet, registreer wanneer u de drempel nadert, configureer uw webshop om automatisch de juiste BTW-voet toe te passen (Shopify, WooCommerce en de meeste platformen ondersteunen dit native), bewaar de bewijsstukken van het bestemmingsland (twee niet-tegenstrijdige bewijzen: IP-adres, factuuradres, telefoonnummer met landcode, bankgegevens) voor tien jaar.

De gevoeligheid van dit onderwerp komt door de combinatie: BTW-fouten zijn relatief makkelijk vast te stellen door een fiscale controle, en de boetestructuur ligt los van de AVG. Als u online verkoopt aan particulieren in Frankrijk, Nederland of Duitsland, is een correcte OSS-aangifte minstens even belangrijk als een correcte cookiebanner.

A related topic we often raise in the same conversations: VAT for those who also sell online. This is not in the GDPR but in the Belgian VAT code and in the European VAT e-commerce directive. We mention it here because a webshop that is GDPR-compliant but VAT-wrong still carries serious risk.

Since 1 July 2021, an EU-wide threshold of EUR 10,000 applies to B2C distance sales to private individuals in other EU member states. Below it, you can keep charging Belgian VAT and reporting in Belgium. Above it, in principle, you must charge the VAT of the customer's country and remit it there.

To keep that workable there is the One-Stop Shop (OSS). You register once in Belgium, file one quarterly return listing the VAT per member state, and pay everything through the Belgian tax authority. No separate VAT registration per country.

For Belgian entrepreneurs filing the OSS registration via MyMinfin, the practical order is: review your annual foreign turnover, register as you approach the threshold, configure your webshop to automatically apply the right VAT rate (Shopify, WooCommerce and most platforms support this natively), and keep two non-contradictory pieces of evidence of the destination country (IP address, billing address, phone number with country code, bank details) for ten years.

The sensitivity of this topic comes from the combination: VAT mistakes are relatively easy to find in a tax audit, and the penalty structure sits outside the GDPR. If you sell online to private individuals in France, the Netherlands or Germany, a correct OSS return matters at least as much as a correct cookie banner.

Un sujet voisin que nous abordons souvent dans les mêmes conversations : la TVA pour qui vend aussi en ligne. Cela ne relève pas du RGPD mais du Code de la TVA belge et de la directive européenne TVA e-commerce. Nous le mentionnons ici parce qu'une boutique en ligne conforme au RGPD mais fautive sur le plan de la TVA porte tout de même un gros risque.

Depuis le 1er juillet 2021, un seuil unique de 10.000 euros s'applique dans toute l'UE aux ventes à distance B2C vers des particuliers d'autres États membres. En dessous, vous pouvez continuer à facturer la TVA belge et la déclarer simplement en Belgique. Au-dessus, vous devez en principe appliquer la TVA du pays du client et l'y reverser.

Pour rendre cela gérable, il existe le One-Stop Shop (OSS). Vous vous enregistrez une seule fois en Belgique, vous introduisez une déclaration trimestrielle unique qui reprend la TVA par État membre, et vous payez le tout via le fisc belge. Pas d'enregistrement TVA distinct par pays.

Pour les entrepreneurs belges qui veulent faire l'enregistrement OSS sur MyMinfin, l'ordre pratique est le suivant : regardez votre chiffre d'affaires étranger annuel, enregistrez-vous quand vous approchez du seuil, configurez votre boutique pour appliquer automatiquement le bon taux de TVA (Shopify, WooCommerce et la plupart des plateformes le gèrent nativement), et conservez pendant dix ans les preuves du pays de destination (deux preuves non contradictoires : adresse IP, adresse de facturation, numéro de téléphone avec indicatif, données bancaires).

La sensibilité du sujet vient de la combinaison : les erreurs de TVA se constatent assez facilement lors d'un contrôle fiscal, et la structure des amendes est indépendante du RGPD. Si vous vendez en ligne à des particuliers en France, aux Pays-Bas ou en Allemagne, une déclaration OSS correcte est au moins aussi importante qu'un bandeau de cookies correct.

Voor wie alleen de praktische samenvatting wil:

• Open uw site in een privévenster, open de Network-tab, herlaad, schrijf alle externe domeinen op.
• Lees uw eigen privacyverklaring opnieuw met artikel 13 AVG erbij. Mis er één element van? Schrijf het bij.
• Vervang Google Fonts door zelf-gehoste lettertypen.
• Vervang uw cookiebanner door een echte consent management tool die scripts pas vuurt na "ja", met "Alles weigeren" op de eerste laag.
• Maak een spreadsheet met al uw verwerkers, controleer of u voor elk een DPA hebt, en noteer welke buiten de EER zitten en op welke grondslag.
• Zet een werkend privacy-mailadres op en schrijf een sjabloon antwoord voor inzage- en verwijderingsverzoeken.
• Definieer een bewaartermijn per categorie gegevens en plan één keer per jaar een opruiming.
• Als u online verkoopt aan EU-particulieren: controleer uw OSS-status en de BTW-configuratie van uw shop.

De gemiddelde lezer doet dit op één lange zaterdag.

For readers who only want the practical summary:

• Open your site in a private window, open the Network tab, reload, write down every external domain.
• Read your own privacy notice again next to Article 13 GDPR. Missing an element? Add it.
• Replace Google Fonts with self-hosted fonts.
• Replace your cookie banner with a real consent management tool that only fires scripts after "yes", with "Reject all" on the first layer.
• Build a spreadsheet listing every processor, check you have a DPA for each, note which ones sit outside the EEA and on which basis.
• Set up a working privacy email address and write a template response for access and erasure requests.
• Define a retention period per data category and schedule one cleanup a year.
• If you sell online to EU private individuals: check your OSS status and your shop's VAT configuration.

The average reader does this in one long Saturday.

Pour qui ne veut que le résumé pratique :

• Ouvrez votre site dans une fenêtre privée, ouvrez l'onglet Network, rechargez, notez tous les domaines externes.
• Relisez votre propre déclaration de confidentialité avec l'article 13 du RGPD à côté. Un élément manque ? Ajoutez-le.
• Remplacez Google Fonts par des polices hébergées chez vous.
• Remplacez votre bandeau de cookies par un vrai outil de gestion du consentement qui ne déclenche les scripts qu'après le « oui », avec « Tout refuser » sur la première couche.
• Faites un tableur avec tous vos sous-traitants, vérifiez que vous avez un DPA pour chacun, et notez lesquels se trouvent hors EEE et sur quelle base.
• Mettez en place une adresse e-mail privacy qui fonctionne et rédigez un modèle de réponse pour les demandes d'accès et d'effacement.
• Définissez une durée de conservation par catégorie de données et planifiez un nettoyage une fois par an.
• Si vous vendez en ligne à des particuliers dans l'UE : vérifiez votre statut OSS et la configuration TVA de votre boutique.

Le lecteur moyen y arrive en un long samedi.

De integrale wetteksten en officiële bronnen, in dezelfde volgorde als ze in het artikel verschijnen:

• Algemene Verordening Gegevensbescherming, Verordening (EU) 2016/679. EUR-Lex, geconsolideerde versie.
• Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Officieuze coördinatie op Justel.
• GBA-themadossier "Cookies en andere traceringsmiddelen". Gegevensbeschermingsautoriteit, met de Cookie-aanbeveling van 9 december 2020 en de cookie-checklist van oktober 2023.
• Jaarverslag 2024 van de Gegevensbeschermingsautoriteit. Geschillenkamer, cijfers en beslissingen.
• Beslissing 113/2024 (Mediahuis-cookiebanners). Geschillenkamer, september 2024.
• Beslissing 131/2024 (RTL België). Geschillenkamer, oktober 2024.
• EU-US Data Privacy Framework. Adequaatheidsbesluit van de Europese Commissie, 10 juli 2023.
• DPF-certificeringsregister. U.S. Department of Commerce, zoek hier of uw Amerikaanse verwerker gecertificeerd is.
• EDPB-advies 08/2024 over "consent or pay"-modellen. Europese Toezichthouder voor Gegevensbescherming, april 2024.
• VAT One-Stop Shop. Europese Commissie, portaal en regels.
• OSS - Information for sellers. FOD Financiën, praktische leidraad.

Bijgewerkt mei 2026. De Belgische wetgeving rond gegevensbescherming verandert geregeld, met name op het gebied van cookies en transatlantische doorgiftes. Twijfelt u over een specifieke situatie, neem dan even contact op of raadpleeg een gespecialiseerde advocaat.

The full legal texts and official sources, in the order they appear in the article:

• General Data Protection Regulation, Regulation (EU) 2016/679. EUR-Lex, consolidated version.
• Belgian act of 30 July 2018 on the protection of natural persons with regard to the processing of personal data. Unofficial consolidation on Justel.
• Belgian DPA - Citizen portal. Including the Cookie Recommendation of 9 December 2020 and recent cookie-related decisions.
• 2024 Annual Report of the Belgian DPA. Litigation Chamber figures and decisions.
• Decision 113/2024 (Mediahuis cookie banners). Litigation Chamber, September 2024.
• Decision 131/2024 (RTL Belgium). Litigation Chamber, October 2024.
• EU-US Data Privacy Framework. European Commission adequacy decision, 10 July 2023.
• DPF certification register. U.S. Department of Commerce, look up whether your US processor is certified.
• EDPB Opinion 08/2024 on "consent or pay" models. European Data Protection Board, April 2024.
• VAT One-Stop Shop. European Commission portal and rules.
• OSS - Information for sellers. Belgian Federal Public Service Finance, practical guide.

Updated May 2026. Belgian data protection law shifts regularly, particularly around cookies and transatlantic transfers. If you are unsure about a specific situation, get in touch or consult a specialist lawyer.

Les textes légaux intégraux et les sources officielles, dans l'ordre où ils apparaissent dans l'article :

• Règlement général sur la protection des données, Règlement (UE) 2016/679. EUR-Lex, version consolidée.
• Loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel. Coordination officieuse sur Justel.
• Dossier thématique de l'APD « Cookies et autres traceurs ». Autorité de protection des données, avec la recommandation cookies du 9 décembre 2020 et la checklist cookies d'octobre 2023.
• Rapport annuel 2024 de l'Autorité de protection des données. Chambre Contentieuse, chiffres et décisions.
• Décision 113/2024 (bandeaux de cookies Mediahuis). Chambre Contentieuse, septembre 2024.
• Décision 131/2024 (RTL Belgique). Chambre Contentieuse, octobre 2024.
• EU-US Data Privacy Framework. Décision d'adéquation de la Commission européenne, 10 juillet 2023.
• Registre de certification DPF. U.S. Department of Commerce, cherchez-y si votre sous-traitant américain est certifié.
• Avis 08/2024 sur les modèles « consent or pay ». Contrôleur européen de la protection des données, avril 2024.
• VAT One-Stop Shop. Commission européenne, portail et règles.
• OSS - Information for sellers. SPF Finances, guide pratique.

Mis à jour en mai 2026. La législation belge en matière de protection des données évolue régulièrement, en particulier sur les cookies et les transferts transatlantiques. En cas de doute sur une situation précise, contactez-nous ou consultez un avocat spécialisé.