Bannière cookies Belgique : amendes et règles de l'APD pour votre site

En 2024, Mediahuis — éditeur du Standaard, du Nieuwsblad et d'autres journaux flamands — s'est vu infliger une astreinte de 25 000 € par jour. La raison : une bannière cookies non conforme au RGPD.

L'Autorité de Protection des Données (APD) a constaté deux problèmes :

1. Il n'y avait pas de bouton « Tout refuser » clairement visible.
2. Le bouton d'acceptation était plus coloré et plus proéminent que l'option de refus — un dark pattern.

Ce n'est pas un cas isolé. L'APD applique activement les règles sur les bannières cookies auprès des entreprises belges, grandes et petites.

---

Ce que l'APD exige

L'APD suit les lignes directrices du Comité européen de la protection des données (CEPD) et la directive ePrivacy. En résumé :

1. Options de choix égales

Les boutons « Tout accepter » et « Tout refuser » doivent :

• Être de la même taille
• Avoir un poids visuel comparable
• Se trouver au même niveau dans la bannière

Un petit lien gris à côté d'un gros bouton vert ne suffit pas.

2. Pas de suivi avant consentement

Les scripts de suivi ne peuvent pas se charger avant que le visiteur ait fait un choix. Cela concerne :

• Google Analytics et Google Tag Manager
• Facebook Pixel / Meta Pixel
• LinkedIn Insight Tag
• Hotjar, Clarity et autres outils d'enregistrement de session
• Réseaux publicitaires

Notre scanner teste cela en simulant un visiteur réel qui clique sur « Refuser » et en vérifiant quels scripts se chargent avant le consentement.

3. Pas de cases pré-cochées

Dans un panneau de paramètres cookies, les catégories analytics et marketing ne peuvent pas être activées par défaut. Le visiteur doit choisir activement.

4. Paramètres accessibles

Les visiteurs doivent pouvoir modifier leurs paramètres de consentement après leur premier choix. Cela nécessite un lien permanent — généralement dans le pied de page.

5. Pas de cookie wall

Un cookie wall — qui bloque complètement l'accès au site tant que le visiteur n'accepte pas — n'est pas autorisé dans la plupart des cas. Des exceptions existent pour les services payants.

---

Dark patterns : qu'est-ce que c'est et pourquoi l'APD les sanctionne ?

Les dark patterns sont des techniques de conception qui orientent les utilisateurs vers l'option préférée par le propriétaire du site (généralement « Tout accepter »), au lieu de proposer un libre choix.

Le CEPD a publié en 2022 des lignes directrices spécifiques sur les dark patterns dans les bannières cookies. L'APD applique ces directives.

Pratiques interdites :

| Dark pattern | Exemple | Statut | |---|---|---| | Boutons asymétriques | Gros bouton vert pour accepter, petit lien gris pour refuser | Interdit | | Option de refus cachée | Bouton « Accepter tous les cookies » visible, refus uniquement via 5 clics dans un menu | Interdit | | Coché par défaut | Cookies analytics activés par défaut | Interdit | | Texte trompeur | « Acceptez pour protéger votre vie privée » | Interdit | | Poids visuel | Accepter en bleu vif, refuser en gris clair | Interdit |

---

Erreurs fréquentes des PME belges

Erreur 1 : « J'ai une bannière, donc je suis en conformité. » Avoir une bannière ne suffit pas. La bannière doit fonctionner correctement. Notre scanner teste si les scripts de suivi s'arrêtent réellement après un clic sur « Refuser ».

Erreur 2 : Plugin de bannière cookies gratuit sans configuration. Beaucoup de plugins WordPress sont configurés par défaut avec des cases pré-cochées ou des boutons de refus manquants. Les paramètres par défaut sont rarement conformes.

Erreur 3 : Bannière cookies installée mais Google Analytics se charge immédiatement. C'est l'erreur technique la plus courante. La plateforme de gestion du consentement ne bloque pas correctement les scripts. Vérifiez que Google Analytics dans votre conteneur Tag Manager est configuré comme un tag « consent mode ».

Erreur 4 : Paramètres de consentement non enregistrés. La bannière réapparaît à chaque visite et les visiteurs doivent choisir à nouveau. Le consentement doit être enregistré — minimum 6 mois.

---

Quels cookies sont autorisés sans consentement ?

Pas de consentement nécessaire :

• Cookies de session (connexion, panier)
• Cookies de répartition de charge
• Cookies de sécurité CSRF
• Cookies d'authentification
• Cookies pour enregistrer la préférence de bannière cookies

Consentement toujours obligatoire :

• Google Analytics, Matomo (sauf anonymisé et hébergé localement)
• Facebook Pixel, LinkedIn Insight Tag
• Hotjar, Microsoft Clarity
• Cookies publicitaires
• Boutons de partage social qui placent des cookies

---

Notre scanner teste si votre bannière fonctionne vraiment

La plupart des outils vérifient uniquement si votre bannière cookies est présente. Notre scanner va plus loin : nous cliquons sur « Refuser » et mesurons ensuite quels scripts et cookies sont encore actifs.

C'est exactement la méthode utilisée par l'APD pour examiner les plaintes.

Vérifiez votre bannière cookies gratuitement →

Résultat en 60 secondes. Aucun compte requis.

---

Sources

• APD Décision 113/2024 — Mediahuis
• CEPD Lignes directrices 03/2022 — Dark patterns dans les plateformes de médias sociaux
• APD — Informations sur les cookies pour les citoyens

---

Ceci est une analyse technique, pas un avis juridique.