Bandeau cookies et RGPD en 2026 : ce qu’un site belge doit vraiment faire

Les cookies strictement nécessaires au fonctionnement du site, comme la session d’un panier ou la préférence de langue, ne demandent pas de consentement. Le bandeau devient obligatoire dès qu’un cookie ou un traceur sert à autre chose : mesure d’audience tierce, publicité, vidéos intégrées, boutons de partage.

Un site de présentation sans outil de mesure tiers, sans vidéo YouTube intégrée et sans pixel publicitaire peut légalement se passer de bandeau. C’est le cas le plus simple, et il est plus fréquent qu’on ne le croit.

Les manquements typiques : des cookies déposés avant le choix de l’utilisateur, un bouton « refuser » absent ou caché derrière un lien, des cases pré-cochées, et l’impossibilité de retirer son consentement aussi simplement qu’on l’a donné.

L’Autorité belge a déjà sanctionné des sites pour un bandeau où le refus était moins visible que l’acceptation. Le principe est simple : accepter et refuser doivent demander le même effort.

Deux boutons de même poids au premier niveau, accepter et refuser, plus un accès aux réglages par finalité. Rien n’est déposé avant le clic. Un lien permanent dans le pied de page permet de modifier son choix. Le texte dit ce qui est collecté, par qui et pourquoi.

Le bandeau ne doit pas bloquer la lecture de la page ni ralentir son chargement. Les solutions qui chargent un script tiers lourd avant même d’afficher le contenu créent un problème de performance en plus du problème juridique.

Des outils de mesure d’audience respectueux de la vie privée, sans cookie ni identifiant individuel, permettent de connaître ses pages vues et ses sources de trafic sans bandeau. Ils donnent moins de détail que Google Analytics, mais suffisent à la plupart des petites entreprises.

Pour les campagnes publicitaires, le consentement reste incontournable. Il faut alors accepter qu’une partie des visiteurs refuse et que les chiffres soient partiels.

Le RGPD couvre aussi les formulaires, les newsletters et les comptes clients : information claire au moment de la collecte, finalité précise, durée de conservation, et une politique de confidentialité qui décrit ce que le site fait réellement, pas un modèle copié.

Un registre simple des traitements et un contrat avec chaque sous-traitant, hébergeur compris, complètent le dispositif. Pour une petite entreprise, cela tient sur quelques pages.