Bandeau de cookies : ce que l'autorité belge exige vraiment
L'Autorité de protection des données a publié une check-list qui dit précisément ce qu'elle attend d'un bandeau de cookies. Trois exigences y éliminent la majorité des bandeaux installés en Belgique : pas de dépôt avant consentement, un bouton « Tout refuser » au même niveau que « Tout accepter », et pas de cookie wall. Sur ce dernier point, la position belge est plus stricte que celle d'autres pays.
La plupart des articles sur les cookies recopient des généralités européennes. L'autorité belge, elle, a mis ses exigences par écrit, point par point. Nous les avons reprises de sa check-list officielle.
Ce que « cookies » recouvre réellement
Premier malentendu. La check-list précise que le mot vise aussi les autres mécanismes de traçage couverts par la définition large de l'article 10/2 de la loi du 30 juillet 2018 : le traçage dans les applications mobiles, les pixels, le device fingerprinting, le local storage.
Conséquence concrète : un site qui n'utilise « aucun cookie » mais charge un pixel de réseau social ou un outil de mesure qui écrit dans le stockage local du navigateur est concerné au même titre.
Le consentement préalable, sans exception
La règle est posée en une phrase : ne déposer, et ne lire, aucun cookie qui ne soit pas strictement nécessaire avant d'avoir obtenu un consentement valable.
C'est le défaut le plus répandu. Un bandeau qui s'affiche pendant que l'outil de mesure a déjà démarré ne sert à rien : les cookies sont posés avant le choix. La vérification tient en une minute, outils de développement ouverts, onglet réseau, avant de cliquer quoi que ce soit.
Le consentement libre : trois interdits
| Interdit | Ce que cela signifie |
|---|---|
| Les cookie walls | Conditionner l'accès au site ou à ses fonctionnalités au consentement. L'APD les considère comme interdits |
| Le bouton de refus absent | Un « Tout accepter » sans « Tout refuser » au même niveau. Un bouton « Paramètres » à côté d'« Accepter » ne suffit pas |
| Le design trompeur | Orienter le choix par la mise en forme, par exemple en colorant le bouton d'acceptation et en effaçant l'autre |
La check-list donne le bon exemple en toutes lettres : les boutons « Tout refuser » et « Tout accepter » sont affichés de la même façon. Même taille, même traitement visuel, même niveau.
Le consentement par finalité, et non en bloc
L'APD demande qu'au plus tard au deuxième niveau, le visiteur puisse accepter ou refuser chaque finalité séparément. Elle précise aussi des distinctions que beaucoup de bandeaux écrasent :
- La publicité ou le profilage pour votre propre compte et ceux pour le compte de tiers sont des finalités distinctes.
- Les cookies qui permettent de partager ou suivre une page sur un réseau social et ceux qui personnalisent des publicités visent des finalités différentes.
- Un même cookie ne devrait pas servir plusieurs finalités.
- Le visiteur doit pouvoir, le cas échéant, accepter ou refuser par partenaire.
Ce que le premier écran doit dire
La check-list énumère ce qui doit figurer dès le premier niveau, clairement et de manière concise :
| Information | Niveau |
|---|---|
| Les différentes finalités du consentement demandé | Premier |
| L'identité des entités qui déposent ou lisent les cookies | Premier |
| La manière d'accepter ou de refuser | Premier |
| Les conséquences du refus ou de l'acceptation | Premier |
| L'existence du droit de retrait et la façon de l'exercer | Premier |
| La liste complète des cookies, par catégorie, avec finalité, durée et destinataires | Inférieur |
Le consentement actif : cinq déductions interdites
L'APD écarte explicitement cinq façons de « récolter » un consentement qui n'en est pas un :
- Le déduire de la poursuite de la navigation.
- Le déduire de la fermeture de la bannière, ou de toute autre inactivité.
- Utiliser une case précochée, au premier niveau comme aux suivants.
- Le lier à l'acceptation des conditions générales ou d'une politique de confidentialité.
- Le déduire des paramètres du navigateur du visiteur.
Deux exigences que presque personne n'applique
La durée du cookie de préférences. Le cookie qui mémorise le choix du visiteur ne doit être conservé que pour une durée limitée : l'APD estime que six mois sont en principe raisonnables. Beaucoup de modules le posent pour un an ou plus, par défaut.
La traçabilité de votre politique. L'APD demande de conserver de quoi démontrer comment le mécanisme de consentement a évolué : garder les versions précédentes de la politique cookies, et y faire figurer une date et un numéro de version. C'est une ligne de la check-list, et c'est probablement celle que le moins de sites respectent.
Le retrait doit être aussi simple que l'acceptation
Deux conditions, toutes deux explicites. Il faut un mécanisme permettant de retirer le consentement aussi simplement qu'il a été donné — un lien ou un bouton visible, et un retrait en un clic. Et ce retrait doit produire son effet : il ne peut pas se contenter d'empêcher les dépôts futurs en laissant les cookies déjà posés.
Sur ce dernier point, de nombreux modules échouent en silence : le visiteur retire son consentement, la bannière disparaît, et les cookies restent. À tester une fois, sur son propre site.
La vérification en dix minutes
- Ouvrez votre site en navigation privée, outils de développement ouverts, onglet réseau.
- Avant de cliquer, regardez ce qui part : mesure d'audience, pixels, polices distantes. S'il part quelque chose de non essentiel, le consentement préalable n'est pas respecté.
- Comparez les boutons. « Tout refuser » est-il là, au même niveau et dans la même mise en forme que « Tout accepter » ?
- Descendez d'un niveau. Les finalités sont-elles séparées, les cases décochées par défaut ?
- Refusez tout, puis rechargez. Les cookies non essentiels sont-ils réellement absents ?
- Cherchez le moyen de revenir sur votre choix. Existe-t-il un lien visible, et retire-t-il effectivement les cookies déjà posés ?
Source : check-list cookies publiée par l'Autorité de protection des données, consultée le 1er octobre 2026. L'APD précise elle-même que son énumération n'est pas exhaustive et que les éléments repris ne constituent pas de nouvelles obligations, mais un outil pour encourager un usage correct des cookies. Cet article ne remplace pas un avis juridique.
Questions fréquentes
Un bouton « Paramètres » à côté d'« Accepter » suffit-il ?
Non, et la check-list le dit explicitement. Il faut un bouton permettant de refuser tous les cookies non essentiels, au même niveau que celui qui permet de tout accepter.
Puis-je bloquer l'accès à mon site tant que le visiteur n'a pas accepté ?
Non. L'APD considère les cookie walls comme interdits : conditionner l'accès au site ou à ses fonctionnalités au consentement empêche que celui-ci soit libre.
Mon site n'utilise pas de cookies, seulement un pixel. Suis-je concerné ?
Oui. La définition retenue couvre aussi les pixels, le device fingerprinting, le stockage local et le traçage dans les applications. Le support technique ne change rien au principe.
Combien de temps puis-je conserver le choix du visiteur ?
L'APD estime qu'une durée de six mois est en principe raisonnable pour le cookie qui enregistre les préférences. Beaucoup de modules sont configurés bien au-delà par défaut.
Une extension de gestion des cookies me met-elle en conformité ?
Pas automatiquement. Une extension aide, mais ce sont ses réglages qui comptent : blocage réel avant consentement, bouton de refus, finalités séparées, durée du cookie de préférences et retrait effectif.
Sur le reste des obligations d'un site belge, voir mettre son site en règle avec le RGPD, et notre page informations sur les cookies.
Votre bandeau tient-il la route ?
Nous testons ce qui se dépose avant le consentement, nous corrigeons les réglages et nous remettons votre politique cookies en ordre, version et date comprises.