RGPD en Belgique : Vos 8 Droits Expliqués Simplement (Guide 2024)

Tu as déjà reçu un email te demandant de "confirmer tes préférences cookies" ? Tu t'es déjà demandé pourquoi un site connaît ton historique d'achat même si tu n'as rien partagé ? Bienvenue dans le monde du RGPD, ce règlement européen qui te donne, en tant que citoyen belge, des droits concrets sur tes données personnelles.

Mais entre la théorie juridique et la pratique, il y a un fossé. Beaucoup de Belges ignorent qu'ils peuvent exiger la suppression de leurs données, demander une copie complète de ce qu'une entreprise sait sur eux, ou même porter plainte gratuitement auprès de l'Autorité de Protection des Données (APD). Ce guide t'explique tous tes droits RGPD en Belgique, comment les exercer, et que faire quand on te les refuse.

Qu'est-ce que le RGPD et pourquoi ça te concerne en Belgique ?

Le RGPD (Règlement Général sur la Protection des Données) est une loi européenne entrée en vigueur le 25 mai 2018. Elle s'applique directement en Belgique et donne à chaque citoyen un contrôle réel sur ses données personnelles : nom, email, adresse IP, géolocalisation, photos, comportement de navigation, etc.

En Belgique, le RGPD est complété par la loi du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données. L'autorité chargée de faire respecter ces règles s'appelle l'Autorité de Protection des Données (APD), anciennement la Commission Vie Privée.

Les principes clés du RGPD

Licéité : Une entreprise doit avoir une base légale pour traiter tes données (consentement, contrat, obligation légale...)
Minimisation : Seules les données nécessaires peuvent être collectées
Transparence : Tu dois savoir clairement ce qui est collecté et pourquoi
Sécurité : Tes données doivent être protégées contre les fuites
Limitation de durée : Les données ne peuvent pas être conservées indéfiniment

Les 8 droits fondamentaux que te garantit le RGPD

Le RGPD te confère huit droits concrets que toute organisation traitant tes données (entreprise, association, administration publique) doit respecter. Voici un tableau récapitulatif avant de les détailler.

Droit	Article RGPD	Délai de réponse
Information	Art. 13-14	Au moment de la collecte
Accès	Art. 15	1 mois
Rectification	Art. 16	1 mois
Effacement (oubli)	Art. 17	1 mois
Limitation	Art. 18	1 mois
Portabilité	Art. 20	1 mois
Opposition	Art. 21	1 mois
Décision automatisée	Art. 22	1 mois

1. Le droit à l'information

Avant même de collecter tes données, une entreprise doit t'informer clairement de : qui collecte, quelles données, pourquoi, combien de temps elles seront conservées, et avec qui elles sont partagées. C'est le rôle des fameuses politiques de confidentialité.

Astuce : si une politique de confidentialité fait 30 pages illisibles, c'est probablement non-conforme. Le RGPD exige un langage clair et accessible.

2. Le droit d'accès

Tu peux demander à n'importe quelle organisation : "Quelles données avez-vous sur moi ?" Elle doit te fournir une copie complète, gratuitement, dans un délai d'un mois maximum.

Cela inclut :

Toutes les catégories de données collectées
Les finalités du traitement
Les destinataires (sous-traitants, partenaires)
La durée de conservation prévue
L'origine des données si elles ne viennent pas de toi

3. Le droit de rectification

Si une entreprise détient des informations inexactes ou incomplètes à ton sujet, tu peux exiger leur correction. Exemple : ton ancien employeur a mal orthographié ton nom dans son fichier RH, ou ta banque a une adresse obsolète.

4. Le droit à l'effacement ("droit à l'oubli")

Le plus puissant et le plus médiatisé. Tu peux exiger la suppression complète de tes données dans plusieurs cas :

Les données ne sont plus nécessaires aux finalités initiales
Tu retires ton consentement
Tu t'opposes au traitement
Les données ont été traitées illégalement
Tu étais mineur lors de la collecte

Attention : ce droit n'est pas absolu. Une banque doit conserver tes transactions 10 ans (obligation légale), un employeur doit garder certaines données fiscales, etc.

5. Le droit à la limitation du traitement

C'est une sorte de "pause". Tes données restent stockées mais ne peuvent plus être utilisées. Utile pendant qu'un litige sur la véracité des données est en cours, par exemple.

6. Le droit à la portabilité

Tu peux récupérer tes données dans un format structuré et lisible (JSON, CSV) pour les transférer vers un concurrent. Idéal pour changer de fournisseur d'email, de réseau social, ou de banque sans tout reperdre.

7. Le droit d'opposition

Tu peux t'opposer à un traitement à tout moment, notamment pour le marketing direct. C'est ce qui te permet de te désinscrire des newsletters et de refuser le profilage publicitaire.

8. Le droit de ne pas faire l'objet d'une décision automatisée

Si une décision importante te concernant (refus de crédit, embauche, prime d'assurance) est prise uniquement par un algorithme, tu peux exiger une intervention humaine et contester la décision.

Comment exercer concrètement tes droits RGPD ?

Théoriquement, l'exercice est simple. Pratiquement, certaines entreprises font traîner ou refusent. Voici la procédure étape par étape.

Étape 1 : Identifier le DPO ou contact RGPD

Cherche dans la politique de confidentialité du site les coordonnées du DPO (Data Protection Officer) ou de l'adresse dédiée (souvent privacy@entreprise.be ou dpo@entreprise.be).

Étape 2 : Envoyer une demande écrite

Envoie un email clair (idéalement avec accusé de réception) contenant :

Tes nom, prénom et coordonnées
Une preuve d'identité (carte d'identité partiellement masquée)
Le droit que tu souhaites exercer (accès, effacement, etc.)
La référence à l'article du RGPD concerné
Une mention de la date pour calculer le délai d'un mois

Étape 3 : Suivre le délai légal

L'entreprise a 1 mois pour répondre, prolongeable de 2 mois pour les cas complexes (avec justification). Pas de réponse = violation du RGPD.

Étape 4 : Saisir l'APD en cas de blocage

Si l'entreprise refuse, ignore ta demande, ou répond de manière insuffisante, tu peux déposer une plainte gratuite auprès de l'Autorité de Protection des Données belge sur autoriteprotectiondonnees.be.

Les sanctions RGPD : ce que risquent les entreprises belges

Le RGPD prévoit des amendes parmi les plus élevées d'Europe. En Belgique, l'APD a déjà infligé plusieurs millions d'euros depuis 2018.

Type de violation	Sanction maximale
Violation mineure (registre, DPO non désigné)	10 millions € ou 2% du CA mondial
Violation majeure (droits, consentement, transferts)	20 millions € ou 4% du CA mondial
Refus de coopérer avec l'APD	Sanction maximale + injonctions

Quelques exemples belges : Google a été condamné à 600 000 € en 2020 pour refus du droit à l'oubli, et plusieurs PME belges ont reçu des amendes de 50 000 à 100 000 € pour mauvaise gestion des cookies. Si tu gères une PME, consulte notre guide RGPD complet pour les PME belges.

Cas pratiques : RGPD dans la vie quotidienne

Cas 1 : Ton ex-employeur garde ton CV

Tu as postulé chez un employeur belge il y a 3 ans, sans succès. Il garde encore ton CV ? Tu peux exiger l'effacement immédiat. La durée recommandée par l'APD est de 2 ans maximum après le dernier contact.

Cas 2 : Une newsletter dont tu n'arrives pas à te désinscrire

Le bouton "désinscription" doit être fonctionnel et immédiat. Si après plusieurs tentatives tu reçois encore les emails, c'est une violation directe : signale-le à l'APD.

Cas 3 : Une caméra de surveillance chez ton voisin

Si elle filme l'espace public ou ta propriété, ton voisin doit respecter le RGPD : signalisation visible, durée de conservation limitée (généralement 30 jours), et droit d'accès aux images te concernant.

Cas 4 : Une fuite de données t'affecte

L'entreprise doit notifier l'APD dans les 72 heures et te prévenir directement si la fuite présente un risque élevé. Si elle ne le fait pas, c'est doublement sanctionnable. Pour mieux protéger tes échanges en amont, le chiffrement de bout en bout reste la meilleure défense.

RGPD et nouvelles menaces : ce qu'il faut savoir en 2024

Les arnaques évoluent et le RGPD doit suivre. Quelques points à connaître :

Phishing et QR codes : les fraudeurs exploitent la confusion sur le RGPD pour faire cliquer ("confirmez vos données ou votre compte sera supprimé"). Voir notre article sur les arnaques aux QR codes.
WiFi publics : ils peuvent capter tes données sans ton consentement. Lis notre analyse sur les vrais risques du WiFi public.
IA et profilage : avec l'arrivée de l'AI Act européen, ton droit à la non-décision automatisée prend encore plus d'importance.

Comment choisir des outils respectueux du RGPD

Plutôt que de courir après tes droits a posteriori, mieux vaut choisir dès le départ des services hébergés en Europe et conformes au RGPD. Pour le raccourcissement d'URL par exemple, des solutions comme Lunyb sont conçues avec la conformité RGPD au cœur (hébergement européen, pas de revente de données, suppression sur demande). Compare nos approches dans Lunyb vs Bitly.

Critères pour évaluer un service :

Hébergement des données dans l'UE (idéalement)
Politique de confidentialité claire et lisible
Présence d'un DPO joignable
Possibilité d'export et suppression facile
Pas de revente de données à des tiers

FAQ : Tes questions sur le RGPD en Belgique

Le RGPD s'applique-t-il aux entreprises non-européennes ?

Oui, dès qu'elles ciblent des résidents européens ou traitent leurs données. Google, Meta, Amazon, TikTok sont tous soumis au RGPD pour leurs utilisateurs belges, même si leur siège est aux États-Unis ou en Chine.

Combien coûte une plainte auprès de l'APD ?

Absolument rien. La procédure de plainte auprès de l'Autorité de Protection des Données belge est 100% gratuite, et tu peux la déposer en ligne, par courrier ou en personne à Bruxelles.

Puis-je demander la suppression de mon profil sur les réseaux sociaux ?

Oui, et la plateforme doit s'exécuter dans un délai d'un mois, sauf obligation légale contraire (par exemple, conservation de logs en cas d'enquête judiciaire en cours). Cela inclut Facebook, Instagram, LinkedIn, X, TikTok, etc.

Le RGPD protège-t-il aussi les enfants ?

Oui, et même davantage. En Belgique, l'âge du consentement numérique est fixé à 13 ans. En dessous, le consentement parental est obligatoire pour la plupart des services en ligne (réseaux sociaux, jeux, applications).

Que faire si une entreprise refuse mon droit d'accès ?

Tu as trois recours : (1) demander une justification écrite de leur refus, (2) saisir l'APD gratuitement avec preuves de ta demande et de leur réponse, (3) en dernier recours, intenter une action civile devant le tribunal pour obtenir une indemnisation des préjudices subis.

Conclusion : reprends le contrôle de tes données

Le RGPD n'est pas qu'un texte juridique abstrait : c'est un véritable bouclier qui te donne, en tant que citoyen belge, un pouvoir réel sur les entreprises qui exploitent tes données. Connaître tes 8 droits, savoir comment les exercer, et ne pas hésiter à saisir l'APD en cas de refus, c'est passer d'utilisateur passif à citoyen numérique actif.

Commence dès aujourd'hui : choisis une entreprise dont tu veux récupérer tes données, envoie une demande d'accès, et observe la réponse. Tu seras peut-être surpris par ce qu'on sait sur toi.