RGPD en Belgique : Tes Droits Expliqués Simplement (Guide 2026)

Tu as sûrement déjà entendu parler du RGPD — ce fameux règlement européen qui te bombarde de bannières cookies à chaque visite sur un site. Mais sais-tu vraiment quels droits il te donne en tant que citoyen belge ? Spoiler : tu as bien plus de pouvoir sur tes données que tu ne le penses.

Dans ce guide, on va décortiquer ensemble les 8 droits fondamentaux du RGPD, comment les exercer concrètement en Belgique, et que faire quand une entreprise fait la sourde oreille. Pas de jargon juridique inutile, juste du concret.

Le RGPD en Belgique : c'est quoi exactement ?

Le Règlement Général sur la Protection des Données (RGPD) est un texte européen entré en vigueur le 25 mai 2018. Il s'applique à toute organisation qui traite des données personnelles de résidents européens — y compris les Belges, peu importe où l'entreprise est basée dans le monde.

En Belgique, c'est l'Autorité de Protection des Données (APD), anciennement Commission de la Vie Privée, qui veille au respect du RGPD. Elle peut infliger des amendes allant jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial d'une entreprise, selon ce qui est le plus élevé.

Une donnée personnelle, c'est toute information qui permet de t'identifier directement ou indirectement : nom, adresse email, IP, données de géolocalisation, photos, opinions politiques, données de santé, etc.

Pourquoi ça te concerne directement ?

Chaque jour, des dizaines d'entreprises collectent tes données : ton fournisseur internet, ton supermarché via la carte de fidélité, les réseaux sociaux, ton employeur, ta commune… Le RGPD te donne le contrôle sur ce qu'elles peuvent en faire.

Les 8 droits fondamentaux du RGPD

Voici la liste complète des droits que le RGPD te garantit en tant que citoyen belge. Garde cette section en favori, elle te sera utile.

1. Le droit à l'information

Toute organisation qui collecte tes données doit te dire clairement et avant la collecte :

Qui collecte tes données (identité du responsable)
Pourquoi (la finalité du traitement)
Sur quelle base légale
Combien de temps les données seront conservées
À qui elles seront transmises
Tes droits et comment les exercer

C'est pour ça que les sites affichent des politiques de confidentialité. Si elles sont illisibles ou absentes, c'est déjà une violation du RGPD.

2. Le droit d'accès

Tu peux demander à n'importe quelle organisation quelles données elle détient sur toi. Elle doit te fournir une copie gratuite dans un délai d'un mois (prolongeable de 2 mois pour les demandes complexes).

Concrètement, tu envoies un email simple type : « Conformément à l'article 15 du RGPD, je demande l'accès à l'ensemble des données personnelles me concernant que vous détenez. »

3. Le droit de rectification

Si tes données sont inexactes ou incomplètes, tu peux exiger leur correction. Par exemple : un opérateur télécom qui a mal orthographié ton nom, une banque avec une adresse obsolète, etc.

4. Le droit à l'effacement (« droit à l'oubli »)

Tu peux demander la suppression de tes données dans plusieurs cas :

Les données ne sont plus nécessaires
Tu retires ton consentement
Tu t'opposes au traitement
Le traitement est illégal
Obligation légale d'effacement

Attention : ce droit n'est pas absolu. Une entreprise peut refuser si elle a une obligation légale de conserver les données (factures pour le fisc, par exemple).

Si tu veux nettoyer ta présence en ligne plus largement, lis notre guide complet sur comment supprimer tes données des courtiers en données.

5. Le droit à la limitation du traitement

Tu peux geler temporairement l'utilisation de tes données, par exemple le temps qu'un litige soit résolu. L'entreprise garde les données mais ne peut plus les utiliser activement.

6. Le droit à la portabilité

Tu peux récupérer tes données dans un format structuré, couramment utilisé et lisible par machine (JSON, CSV, XML…) pour les transférer vers un autre service. C'est super utile pour changer de banque, de plateforme musicale, ou de réseau social.

7. Le droit d'opposition

Tu peux t'opposer au traitement de tes données, notamment pour :

Le marketing direct (opposition absolue, l'entreprise doit obéir immédiatement)
Le profilage
Les traitements basés sur l'intérêt légitime

8. Le droit lié aux décisions automatisées

Tu as le droit de ne pas faire l'objet d'une décision entièrement automatisée ayant des effets juridiques significatifs (refus de crédit par algorithme, refus d'embauche par IA, etc.). Tu peux demander une intervention humaine.

Comment exercer tes droits RGPD concrètement

Voici la procédure pas-à-pas qui marche dans 90% des cas :

Identifie le responsable du traitement : généralement indiqué dans la politique de confidentialité du site/service.
Trouve le contact DPO (Délégué à la Protection des Données) : email obligatoire dans la politique de confidentialité des grandes organisations.
Rédige ta demande par écrit (email recommandé) en précisant le droit invoqué et l'article du RGPD correspondant.
Joins une preuve d'identité (copie carte d'identité avec données sensibles masquées).
Garde une trace : date d'envoi, accusé de réception.
Attends maximum 1 mois pour la réponse.

Modèle d'email type

« Madame, Monsieur,
Conformément à l'article [15/16/17/20/21] du Règlement Général sur la Protection des Données (RGPD), je vous demande [d'accéder à / de rectifier / d'effacer / de me transmettre dans un format portable / de cesser le traitement de] mes données personnelles.
Je joins une copie de ma carte d'identité pour vérification.
Je vous remercie de me répondre dans le délai légal d'un mois.
Cordialement. »

Tableau récapitulatif : tes droits en un coup d'œil

Droit	Article RGPD	Délai de réponse	Gratuit ?
Information	Art. 13-14	Avant collecte	Oui
Accès	Art. 15	1 mois	Oui (1ère copie)
Rectification	Art. 16	1 mois	Oui
Effacement	Art. 17	1 mois	Oui
Limitation	Art. 18	1 mois	Oui
Portabilité	Art. 20	1 mois	Oui
Opposition	Art. 21	1 mois (immédiat pour marketing)	Oui
Décision automatisée	Art. 22	1 mois	Oui

Que faire si une entreprise refuse ou ignore ta demande ?

Malheureusement, beaucoup d'organisations traînent des pieds, voire ignorent purement et simplement les demandes RGPD. Voici tes recours :

Étape 1 : Relance officielle

Envoie un courrier recommandé avec accusé de réception rappelant ton premier email et le délai dépassé. Mentionne explicitement que tu envisages de saisir l'APD.

Étape 2 : Plainte auprès de l'APD

Si pas de réponse satisfaisante, tu peux déposer plainte gratuitement auprès de l'Autorité de Protection des Données belge. La procédure complète est détaillée dans notre guide APD Belgique : Comment Porter Plainte.

Étape 3 : Action en justice

En cas de préjudice subi (vol d'identité, harcèlement marketing, atteinte à la réputation…), tu peux saisir le tribunal de première instance pour obtenir des dommages et intérêts. Le RGPD prévoit explicitement ce droit à indemnisation.

Cas pratiques en Belgique : exemples réels

Cas 1 : Un employeur conserve ton CV trop longtemps

Tu as postulé chez une entreprise en 2022, tu n'as pas eu le poste. En 2026, ils ont toujours ton CV ? Demande l'effacement immédiat (art. 17). En Belgique, la durée recommandée par l'APD pour conserver les CV de candidats non retenus est de 2 ans maximum, et uniquement avec consentement explicite.

Cas 2 : Carte de fidélité supermarché

Tu veux savoir ce que Delhaize, Colruyt ou Carrefour Belgique sait de tes habitudes d'achat ? Envoie une demande d'accès. Tu recevras parfois des dizaines de pages de données comportementales détaillées.

Cas 3 : Données médicales

Les données de santé bénéficient d'une protection renforcée (art. 9 RGPD). Hôpitaux, mutuelles, médecins doivent appliquer des mesures de sécurité maximales. Tu as le droit d'accéder à ton dossier médical complet.

Protéger tes données au quotidien : au-delà du RGPD

Connaître tes droits c'est bien, mais limiter la collecte à la source c'est mieux. Voici quelques bonnes pratiques :

Utilise des mots de passe forts et uniques : consulte notre guide sécurité des mots de passe 2026.
Bloque les traceurs publicitaires : notre guide pour bloquer les traceurs sur ton téléphone est un bon point de départ.
Méfie-toi des réseaux WiFi publics : on t'explique tout dans WiFi Public : Est-ce Vraiment Dangereux en 2026 ?
Utilise des outils respectueux de ta vie privée : pour partager des liens sans tracking excessif, des services comme Lunyb permettent de raccourcir des URLs avec une approche centrée sur la confidentialité.
Refuse les cookies non essentiels systématiquement sur les bannières.

Les sanctions RGPD en Belgique : ça mord vraiment ?

Oui. L'APD belge a infligé plusieurs amendes significatives ces dernières années :

600 000 € contre Google Belgium pour refus de droit à l'oubli (2020)
250 000 € contre l'IAB Europe sur le système de consentement publicitaire (2022)
Dizaines d'amendes plus modestes contre PME, communes, agents immobiliers, médecins…

Même les petites structures sont concernées : l'APD a sanctionné des bourgmestres pour usage abusif de données électorales, des syndics pour partage indu de listes de résidents, etc.

FAQ : tes questions sur le RGPD en Belgique

Le RGPD s'applique-t-il aux entreprises non-européennes ?

Oui, dès qu'elles traitent des données de résidents européens. Google, Meta, Amazon, TikTok et tous les géants américains et asiatiques doivent respecter le RGPD pour leurs utilisateurs belges. C'est ce qui a permis à l'UE d'infliger des amendes record (jusqu'à 1,2 milliard € à Meta en 2023).

Combien de temps une entreprise peut-elle garder mes données ?

Le RGPD impose le principe de minimisation : seulement le temps nécessaire à la finalité. Pour une newsletter, c'est tant que tu es abonné. Pour une facture, c'est 7 ans en Belgique (obligation comptable). Pour un CV non retenu, 2 ans maximum. Au-delà, c'est illégal.

Puis-je exercer mes droits RGPD pour un proche décédé ?

Le RGPD ne s'applique pas aux personnes décédées, mais la loi belge du 30 juillet 2018 permet aux héritiers de demander la suppression de comptes et données en ligne d'un proche décédé, sur présentation d'un acte de décès et preuve de filiation.

Mon employeur peut-il lire mes emails professionnels ?

Pas librement. Il doit t'avoir informé clairement (politique IT), respecter une finalité légitime, et appliquer le principe de proportionnalité. La surveillance systématique est illégale. La CCT 81 encadre spécifiquement la surveillance des communications électroniques en Belgique.

Que faire si je découvre une fuite de mes données ?

L'entreprise victime de la fuite a 72 heures pour notifier l'APD, et doit t'informer directement si la fuite présente un risque élevé pour tes droits. Si elle ne l'a pas fait, signale-le à l'APD. Change immédiatement tes mots de passe, active la double authentification, et surveille ton compte bancaire.

Conclusion : tes données, tes règles

Le RGPD est probablement la législation la plus protectrice au monde en matière de vie privée numérique. Mais elle ne fonctionne que si tu l'utilises activement. La plupart des Belges n'ont jamais exercé un seul de leurs droits, alors que la procédure est gratuite, accessible et efficace.

Commence simple : choisis une entreprise dont tu te méfies (réseau social, carte fidélité, ancien employeur) et envoie une demande d'accès cette semaine. Tu seras probablement surpris — voire choqué — de ce que tu découvriras. Et tu auras fait un premier pas concret pour reprendre le contrôle de ton identité numérique.