Bannière cookies en Belgique : les règles de l’APD et la check-list

Que demande l’APD avant de déposer un cookie sur l’appareil d’un visiteur ?

L’Autorité de protection des données (APD), l’autorité belge chargée de la protection des données, demande une information claire puis un accord, dans cet ordre. Selon sa page consacrée aux cookies, on ne peut en principe placer ou lire un cookie sur l’appareil d’un internaute que s’il a d’abord été informé clairement de ce que fait ce cookie et pourquoi, puis y a consenti.

La règle de l’APD ne se limite pas aux cookies : elle vaut pour les cookies et toutes les technologies similaires qui stockent ou lisent des informations sur l’appareil.

Deux verbes comptent : placer et lire. Un outil qui ne dépose rien de nouveau mais relit un identifiant déjà présent sur l’appareil est lui aussi visé.

La conséquence pratique se vérifie vite. Si un script se déclenche au chargement de la page, avant que le visiteur ait cliqué sur la bannière, l’ordre exigé par l’APD n’est pas respecté. C’est le cas typique d’un outil de statistiques collé dans l’en-tête du site par un prestataire, ou d’un module ajouté par une extension de site. La bannière s’affiche, mais le dépôt a déjà eu lieu : elle n’a alors qu’un rôle décoratif.

L’information doit aussi porter sur ce que fait chaque cookie et sur sa raison d’être. Une phrase générale du type « nous utilisons des cookies pour améliorer votre expérience » ne dit ni quels éléments sont déposés ni à quoi ils servent. Prévoyez, pour chaque catégorie proposée, une ligne qui explique sa finalité en mots simples.

Cette position figure sur la page de l’APD dans sa dernière mise à jour du 17 novembre 2023. Avant chaque audit, relisez cette page : c’est la position de l’autorité belge de protection des données, et sa date vous dira si quelque chose a changé.

Les deux seules exemptions au consentement selon l’APD

L’APD ne prévoit que deux cas où un cookie peut être déposé sans accord. D’une part, les cookies fonctionnels strictement nécessaires à un service expressément demandé (choix de la langue, préférences de cookies, panier d’achat, sécurité d’une application bancaire). D’autre part, les cookies techniques strictement nécessaires à la transmission d’une communication (par exemple la répartition de charge, qui distribue les visites entre plusieurs serveurs).

Le critère décisif tient en deux mots : strictement nécessaire, et nécessaire au service que le visiteur a lui-même demandé. L’utilité pour l’entreprise ne suffit pas. Un cookie qui aide à mieux connaître ses visiteurs peut être précieux pour vous ; il ne rend aucun service que le visiteur a sollicité.

Pour classer un élément, posez deux questions dans l’ordre. Le visiteur a-t-il demandé une action précise (changer de langue, remplir un panier, se connecter) ? Sans cet élément, cette action échoue-t-elle ? Si l’élément n’est pas strictement nécessaire au service demandé, il sort de l’exemption.

Méfiez-vous des catégories préremplies par les outils de bannière. Vérifiez que la catégorie « nécessaires » de votre outil ne contient que des éléments correspondant aux exemptions. Le nom de la catégorie ne crée pas l’exemption : c’est la fonction réelle de chaque élément qui compte.

Un cookie de mesure d’audience demande-t-il un consentement en Belgique ?

Oui, en principe. Pour l’APD, un cookie à finalité analytique ne remplit en principe pas les conditions des deux exemptions : il sert à fournir des statistiques à l’éditeur, pas un service demandé par l’utilisateur.

Le raisonnement suit directement le critère vu plus haut. Le visiteur qui consulte votre page d’horaires n’a rien demandé qui exige que vous comptiez sa visite. La statistique vous sert, à vous ; elle ne rend pas la page plus disponible pour lui.

L’expression « en principe » vient de l’APD elle-même. Elle interdit deux raccourcis. Le premier consiste à présenter la mesure d’audience comme interdite : elle reste possible, avec l’accord du visiteur. Le second consiste à la traiter comme exemptée parce que l’outil serait « léger » ou « anonyme » : la page de l’APD ne décrit pas une telle exemption. Si un prestataire soutient qu’un outil précis échappe à la règle, demandez-lui par écrit sur quel texte il s’appuie, et confrontez sa réponse à la page de l’APD.

Pour la configuration du site, trois points en découlent :

• L’outil d’analyse ne doit se charger qu’après un clic sur le bouton d’acceptation, ou après l’activation de sa catégorie dans le panneau de détail.
• Après un refus, il ne doit pas se charger du tout, ni à la page suivante, ni à la visite suivante.
• Dans la bannière, l’analytique figure dans une catégorie à part, décrite comme statistique, jamais parmi les éléments présentés comme nécessaires.

Une erreur à vérifier concerne ce dernier point : l’outil de statistiques rangé dans la catégorie verrouillée, celle que le visiteur ne peut pas décocher. Ouvrez votre panneau de préférences et lisez la liste de cette catégorie ligne par ligne.

Acceptez aussi une conséquence : vos statistiques ne compteront que les visiteurs qui ont accepté. Pour suivre votre présence dans les moteurs, d’autres sources existent, qui ne passent pas par un dépôt sur l’appareil (voir plus bas).

Accepter et refuser doivent figurer au même niveau de la bannière

Le premier écran de la bannière doit offrir le refus aussi directement que l’acceptation. Pour l’APD, un bouton « accepter tous les cookies » sans bouton « refuser tous les cookies non strictement nécessaires » au même niveau compromet le caractère libre du consentement.

Voici à quoi ressemble une première couche cohérente avec cette exigence :

• Un bouton « refuser tous les cookies non strictement nécessaires » figure au même niveau que le bouton « accepter tous les cookies ».
• Les libellés disent ce qu’ils font, par exemple « Tout refuser » et « Tout accepter ».

Le panneau de détail obéit à la même logique. Chaque catégorie autre que les éléments exemptés y apparaît désactivée tant que le visiteur ne l’a pas activée lui-même ; une case précochée ne vaut pas accord, un point repris dans la section suivante.

Faites le test sur votre téléphone autant que sur ordinateur. Vérifiez que le bouton de refus reste au même niveau que l’acceptation, y compris sur téléphone.

Si votre outil de bannière ne permet pas d’afficher le refus sur la première couche, la correction se trouve dans ses réglages ou dans le choix d’un autre outil : posez la question à la personne qui gère votre site avant de modifier les textes.

Ce qui ne vaut pas consentement : murs de cookies, navigation poursuivie, cases cochées

Plusieurs pratiques encore répandues ne produisent aucun accord valable aux yeux de l’APD. Les « murs de cookies » (cookie walls) ne sont pas autorisés : la personne qui refuse doit pouvoir continuer à utiliser le service. Et une case cochée par défaut, la poursuite de la navigation ou l’acceptation des conditions d’utilisation ne valent pas consentement.

Trois cas reviennent souvent lors d’un audit.

Une boutique en ligne affiche une bannière avec un seul bouton « OK ». Le visiteur qui ne clique pas peut naviguer, mais les cookies publicitaires se chargent dès la deuxième page. Deux corrections s’imposent : ajouter le bouton de refus au même niveau, et ne rien charger tant qu’aucun choix n’a été fait.

Un site vitrine masque le formulaire de demande de devis tant que la bannière n’est pas acceptée. Le visiteur qui refuse perd l’accès à un service : c’est la situation que l’APD vise en interdisant les murs de cookies. Le formulaire doit fonctionner dans les deux cas.

Un commerce a intégré une carte d’accès. Si la carte dépose des éléments non exemptés, elle attend l’accord du visiteur. Pour que le refus ne prive pas le visiteur de l’information, écrivez aussi l’adresse en texte sur la page, et faites trancher la configuration retenue par la personne qui suit la conformité de votre site.

Comment permettre au visiteur de retirer son accord aussi facilement qu’il l’a donné ?

Il faut offrir un chemin de retrait aussi court que celui de l’accord, et vérifier qu’il produit bien un effet. L’APD l’écrit sans détour : le consentement doit pouvoir être retiré aussi facilement qu’il a été donné.

Si l’accord se donne en un geste dans la bannière, prévoyez un retrait aussi simple, par exemple un lien qui rouvre le panneau. Voici comment le mettre en place et le contrôler.

1. Ajoutez dans le pied de page de chaque page un lien permanent, par exemple « Gérer mes cookies », qui rouvre le panneau de préférences. Un visiteur doit le trouver sans savoir qu’il existe.
2. Faites en sorte que ce panneau affiche l’état actuel des choix (catégories activées ou non) et propose le même bouton de refus global que la première couche.
3. Testez le parcours complet : acceptez tout, naviguez sur deux ou trois pages, rouvrez le panneau, retirez l’accord, puis rechargez la page.
4. Vérifiez dans les outils de développement du navigateur que les scripts de la catégorie retirée ne se chargent plus après ce retrait.
5. Demandez à votre prestataire ce que deviennent les cookies déjà déposés avant le retrait, et notez sa réponse dans votre dossier d’audit.

L’erreur classique consiste à rédiger une page « Politique de cookies » qui explique comment supprimer les cookies dans chaque navigateur, sans aucun bouton sur le site. Le visiteur a accepté d’un clic ; on lui demande ensuite de fouiller les réglages de son navigateur. Le retrait n’est alors pas aussi facile que l’accord.

Autre piège : un lien de pied de page qui mène à une page de texte au lieu de rouvrir le panneau. Le lien existe, mais il n’offre aucun moyen d’agir. Cliquez dessus vous-même : il doit afficher les boutons, pas un règlement.

Inventorier ce que votre site dépose réellement

L’inventaire se fait en une visite du site, dans un navigateur propre, sans toucher à la bannière. C’est la seule façon de savoir ce qui est déposé avant tout choix, puis ce qui s’ajoute après acceptation.

La méthode pas à pas

1. Ouvrez une fenêtre de navigation privée, pour partir d’un navigateur sans cookies existants.
2. Ouvrez les outils de développement du navigateur (clic droit, puis « Inspecter ») et repérez la rubrique consacrée au stockage.
3. Chargez votre page d’accueil sans cliquer sur la bannière, puis relevez les cookies, le stockage local et le stockage de session. Les technologies similaires aux cookies relèvent de la même règle : ne les oubliez pas.
4. Notez le domaine de chaque élément. Un domaine qui n’est pas le vôtre signale souvent un contenu tiers intégré : vidéo, carte, widget d’avis, outil de chat, bouton de réseau social.
5. Refaites l’exercice après avoir cliqué sur « Tout refuser », puis dans une nouvelle fenêtre après « Tout accepter ».

Classez ensuite chaque ligne selon les deux exemptions. Tout ce qui apparaît avant le choix et n’entre dans aucune d’elles est à corriger en priorité.

Les questions à poser à votre prestataire web

• Quels scripts se chargent avant que le visiteur ait fait son choix dans la bannière ?
• Qui a ajouté chacun d’eux, à quelle date, et à quoi sert-il ?
• Quels contenus tiers sont intégrés aux pages, et déposent-ils leurs propres éléments ?
• Que contient la catégorie « nécessaires » de la bannière, ligne par ligne ?
• Le refus bloque-t-il réellement ces scripts sur toutes les pages ?

À titre d’exemple de choix d’atelier, pixel-ia.io n’utilise aucun cookie publicitaire, aucun traceur marketing et aucun outil d’analyse d’audience. Cela ne dispense pas d’inventaire : le fil de la conversation de son assistant y vit dans le stockage de session du navigateur. Si vous installez un assistant conversationnel sur votre site, demandez où il conserve ses données sur l’appareil du visiteur, puis classez cet élément comme les autres au regard des deux exemptions.

Suivre sa visibilité sans dépendre d’un cookie analytique

Une partie de votre présence dans les moteurs se suit dans les outils fournis par les moteurs eux-mêmes (Search Console, Bing Webmaster Tools).

Google Search Console. Selon Google, les apparitions dans les fonctions d’IA sont comptées dans le rapport Performances de Search Console, type de recherche « Web ». Le 3 juin 2026, Google a lancé des rapports dédiés à la visibilité dans ses fonctions d’IA générative, d’abord pour une partie des sites ; ils sont déployés pour tous les sites depuis le 31 août 2026. Ces rapports montrent les impressions dans les fonctions d’IA générative, les pages concernées, les pays, les appareils et l’évolution dans le temps. Google conseille de faire valider son site dans Search Console, ce qui permet aussi de repérer les problèmes techniques.

Bing Webmaster Tools. Depuis le 10 février 2026, le rapport AI Performance de Bing Webmaster Tools (en préversion publique) montre combien de fois le contenu d’un site est cité comme source dans Microsoft Copilot, les résumés générés par IA de Bing et certaines intégrations partenaires, avec les URL citées. L’outil s’utilise depuis un compte dont le site a été vérifié.

Le paramètre de ChatGPT. ChatGPT ajoute automatiquement le paramètre utm_source=chatgpt.com aux liens qui mènent vers les sites, ce qui permet de mesurer ce trafic dans un outil d’analyse. Ce marqueur ne sert donc que si vous utilisez un tel outil, lequel reste soumis aux règles vues plus haut.

Ces sources ont une limite nette : elles décrivent la façon dont les moteurs affichent votre site, pas le parcours des visiteurs une fois chez vous (pages vues, formulaires envoyés). Pour une PME qui veut surtout savoir si elle apparaît quand on cherche son métier dans sa région, ces rapports donnent déjà une partie de la réponse. Un guide séparé explique comment mesurer sa visibilité dans les moteurs IA.

Check-list : auditer la bannière de cookies de votre site

Cette liste se parcourt dans l’ordre, dans une fenêtre de navigation privée, en notant pour chaque ligne « conforme » ou « à corriger ». Elle reprend chaque exigence de l’APD sous forme de contrôle vérifiable.

Avant tout clic

• Si le site dépose des éléments non exemptés, l’information et le choix sont proposés avant tout dépôt, quelle que soit la page d’entrée.
• Aucun cookie ni stockage hors des deux exemptions n’est présent dans les outils de développement avant le choix.
• Aucun contenu tiers (vidéo, carte, widget) ne se charge avant le choix s’il dépose quoi que ce soit hors exemption.

Première couche de la bannière

• Les boutons « Tout accepter » et « Tout refuser » figurent sur le même écran, avec une visibilité comparable, sur ordinateur comme sur téléphone.
• La finalité de chaque catégorie est expliquée en mots simples avant les boutons.
• Aucune phrase du type « en poursuivant votre navigation » ne remplace le clic.

Après un refus

• Le site reste entièrement utilisable, formulaires compris : le refus ne crée pas de mur.
• En naviguant sur plusieurs pages, aucun nouvel élément non exempté n’apparaît.

Panneau de détail

• Aucune catégorie non exemptée n’est cochée à l’ouverture.
• L’outil de statistiques figure dans sa propre catégorie, hors des éléments nécessaires.
• La catégorie verrouillée ne contient que des éléments qui entrent dans l’une des deux exemptions.

Retrait

• Un lien permanent dans le pied de page rouvre le panneau de préférences.
• Après retrait, les scripts concernés ne se chargent plus.

Suivi

• Conservez une trace datée de l’audit : captures d’écran de la bannière et liste des éléments relevés.
• Refaites l’audit à chaque ajout d’outil, d’extension ou de contenu intégré, et quand la page de l’APD change de date de mise à jour.

Sur un site construit avec un gabarit et de nombreuses extensions, chacune peut ajouter ses propres scripts : listez-les toutes au moment de l’audit. Un site sur mesure sans gabarit ne dispense pas de ce contrôle : chaque outil ou contenu intégré ajouté par la suite doit être inventorié de la même façon.