Le dispositif juridique en Belgique
En 2018, l'Autorité de protection des données a pris la place de la Commission de la vie privée (Loi du 3 décembre 2017). Deux organes la composent : une chambre contentieuse, dont les décisions sont publiées (APD), et un service de première ligne chargé des médiations (APD). Dès lors qu'un service s'adresse à des personnes vivant sur le territoire belge, le RGPD lui est opposable, quand bien même l'entreprise aurait son siège en dehors de l'Union européenne (RGPD, 2016).
La Belgique n'a pas de régime entièrement à elle : le règlement général sur la protection des données (UE) 2016/679 y est directement applicable (RGPD, 2016). La loi belge intervient seulement pour compléter les quelques points que ce règlement renvoie aux États, sans le remplacer.
Ce qu'il faut retenir en un coup d'œil
| Texte de référence | Le règlement général sur la protection des données (RGPD), en vigueur depuis le 25 mai 2018 (RGPD art. 99, CNIL) |
|---|---|
| Vos droits | Consulter ses données, les faire corriger ou effacer, en limiter l'usage, les récupérer, s'opposer à un traitement et refuser qu'une machine décide seule à son sujet (APD) |
| Temps de réponse | Un mois ; ce délai peut s'allonger de deux mois si la demande est complexe (RGPD, 2016) |
| Prix de la démarche | Aucun, sauf si les demandes sont manifestement excessives (RGPD, 2016) |
| Amendes encourues | Jusqu'à 20 millions d'euros, ou 4 % du chiffre d'affaires mondial (RGPD art. 77 à 83, CNIL) |
| Informations sensibles | Santé, vie sexuelle, orientation sexuelle, convictions : leur traitement est interdit, hormis consentement explicite ou exception prévue par la loi (RGPD art. 5 à 9, CNIL) |
| Cookies et traceurs | Soumis à des règles propres : refuser doit être aussi facile qu'accepter (CNIL) |
| Fuite de données | L'autorité doit être prévenue dans les 72 heures, et les personnes concernées aussi lorsque le risque est élevé (RGPD art. 33 et 34, CNIL) |
| Recours collectif | Ouvert par l'intermédiaire d'associations agréées (RGPD art. 77 à 83, CNIL) |
| Indemnisation | Le juge civil peut accorder réparation d'un préjudice moral (RGPD art. 77 à 83, CNIL) |
Marche à suivre
- Commencez par écrire à l'organisme qui traite vos données, par courriel ou par lettre, en vous référant à l'article 15 du RGPD.
- Gardez la preuve de l'envoi et sa date, car le délai d'un mois se compte depuis la réception de votre demande (RGPD art. 12 à 22, CNIL).
- Sans réponse, ou face à un refus, déposez en ligne une plainte auprès de l'autorité de contrôle du pays où vous résidez (RGPD, 2016).
- S'il s'agit d'une application de rencontre ou de santé, réclamez expressément la liste des destinataires de vos données ainsi que celle des transferts en dehors de l'Union européenne.
- Adressez votre demande au délégué à la protection des données ; ses coordonnées sont indiquées dans la politique de confidentialité (RGPD art. 33 et 34, CNIL).
- Lorsque la réponse reste incomplète, il suffit de quelques minutes pour déposer la plainte en ligne auprès de l'Autorité de protection des données (APD).
Combien cela coûte
Déposer plainte devant l'autorité de contrôle ne coûte rien. Rien n'empêche, en même temps, d'engager devant le juge civil une action pour obtenir réparation (RGPD art. 77 à 83, CNIL).
Dernières nouveautés
Applicable depuis 2024, le Digital Services Act vient s'ajouter au RGPD pour la modération des contenus (Commission européenne, DSA) ; le Data Act, applicable depuis septembre 2025 (Commission européenne, Data Act), en fait autant pour le partage des données produites par les objets connectés.
À qui s'adresser
- L'autorité de contrôle nationale, qui propose un formulaire de plainte en ligne.
- Le délégué à la protection des données de l'organisme visé, dont les coordonnées doivent apparaître dans sa politique de confidentialité.
- Les associations de défense des droits numériques, pour mener une action collective.
Bon à savoir
Le droit d'accès est l'arme la plus efficace et la moins employée : l'entreprise doit vous dire ce qu'elle détient sur vous, l'origine de ces informations et leurs destinataires (RGPD art. 12 à 22, CNIL). Cette réponse sert très souvent de point de départ à une demande d'effacement qui aboutit.
Sources et liens officiels
- belgium.be — portail officiel des services publics fédéraux
- Moniteur belge — textes légaux publiés