L'agence est-elle responsable si le site livré n'est pas conforme ?

La conformité incombe juridiquement à l'exploitant du site : le client. Mais le client sanctionné peut se retourner contre l'agence sur le terrain contractuel si elle ne l'a ni informé ni outillé : le devoir de conseil du professionnel joue en sa défaveur. Délimiter les rôles par écrit dans le devis protège les deux parties.

Faut-il un contrat de sous-traitance avec chaque client ?

Dès que vous traitez des données personnelles pour le compte du client (hébergement, maintenance, accès à la base ou aux formulaires), oui : l'article 28, § 3, du RGPD exige un contrat écrit au contenu précis. Une annexe standard jointe aux devis d'hébergement et de maintenance suffit à couvrir le flux courant.

Que signer quand l'agence utilise elle-même des sous-traitants ?

L'autorisation écrite préalable du client, générale ou spécifique, puis la répercussion des mêmes obligations sur chaque sous-traitant ultérieur : c'est le mécanisme de l'article 28, §§ 2 et 4. L'agence reste responsable envers son client des manquements de ses propres prestataires.

Peut-on revendre la surveillance de conformité comme prestation récurrente ?

Oui, et c'est la suite logique du devoir de conseil : la conformité d'un site se dérègle au fil des mises à jour et des plugins. Les formules multi-sites d'Ordovi permettent de suivre les sites de plusieurs clients depuis un seul compte et d'appuyer un forfait de maintenance sur des rapports mensuels datés.

Guide sectoriel

Site internet d'agence web : vos obligations légales en Belgique

Une agence web est exposée deux fois : par son propre site, qui doit être exemplaire puisqu'il sert de démonstration, et par les sites qu'elle livre, héberge ou maintient pour ses clients. Sur ce second terrain, deux mécanismes engagent sa responsabilité : la sous-traitance de l'article 28 du RGPD, qui impose un contrat écrit, et le devoir d'information et de conseil du professionnel envers son client, qui se règle par écrit dès le devis.

L'essentiel pour une agence web

Rendre son propre site exemplaire : identification XII.6, cookies conformes, politique de confidentialité : c'est la première chose qu'un prospect vérifie.
Signer un contrat de sous-traitance (article 28 du RGPD) avec chaque client dont l'agence héberge, maintient ou administre le site.
Informer et conseiller le client sur les obligations légales de son site : le silence du professionnel se paie sur le terrain contractuel.
Encadrer ses propres sous-traitants (hébergeur, freelances, outils SaaS) : autorisation écrite du client et obligations répercutées (article 28, §§ 2 et 4).
Depuis le 2 août 2026 : signaler les chatbots IA et les contenus générés trompeurs, sur son site comme sur ceux livrés aux clients (article 50 de l'IA Act).

Votre propre site : la vitrine qui doit être exemplaire

Une agence web est jugée sur pièce : son site est la démonstration de son sérieux. Les obligations communes s'y appliquent sans aménagement : identification complète de l'article XII.6 du Code de droit économique (dénomination, adresse, e-mail, numéro d'entreprise, numéro de TVA), politique de confidentialité conforme aux articles 13 et 14 du RGPD, aucun cookie non essentiel avant consentement (article 129 de la loi du 13 juin 2005), HTTPS et en-têtes de sécurité soignés. Un bandeau cookies décoratif ou des mentions légales copiées d'un modèle français se remarquent d'autant plus vite que le visiteur est venu évaluer un professionnel du web.

Ce qu'Ordovi vérifie

Ordovi contrôle les 54 points du référentiel sur votre propre site : c'est l'audit que vos prospects font, consciemment ou non, avant de signer.

Sous-traitant RGPD : l'article 28 vous concerne directement

Dès que l'agence héberge un site client, le maintient, ou a accès à ses données (base de commandes, formulaires, comptes utilisateurs, statistiques), elle traite des données personnelles pour le compte d'un responsable de traitement : elle est sous-traitant au sens de l'article 28 du RGPD. Le contrat écrit n'est pas une option : l'article 28, § 3, en fixe le contenu minimal : traitement sur instructions documentées, confidentialité des personnes autorisées, mesures de sécurité, régime des sous-traitants ultérieurs, assistance au responsable, sort des données en fin de contrat, contribution aux audits.

L'absence de contrat expose les deux parties : le client répond du choix d'un sous-traitant sans garanties, l'agence répond d'un traitement sans cadre. Une annexe de sous-traitance standard, jointe à chaque devis d'hébergement ou de maintenance, règle le point une fois pour toutes.

La responsabilité envers vos clients : le devoir de conseil

La conformité du site livré incombe juridiquement à son exploitant : votre client. Mais le prestataire professionnel doit à son client profane une information et un conseil à la mesure de sa compétence : livrer un site sans bandeau de consentement fonctionnel, sans politique de confidentialité ni mentions légales, sans en avoir averti le client, expose l'agence à une action contractuelle si ce client est ensuite mis en cause.

La parade est simple et se vend bien : documenter le conseil (une checklist de conformité remise à la livraison), délimiter les rôles dans le devis (qui fournit les textes légaux, qui configure le consentement, qui maintient la conformité dans le temps), et proposer la surveillance continue comme prestation récurrente plutôt que comme faveur implicite.

Ce qu'Ordovi vérifie

Le rapport d'Ordovi objective l'état d'un site à la livraison et à chaque rescan mensuel : une preuve datée que l'agence peut remettre à son client. Et quand une mise à jour dérègle la conformité, le rescan suivant la fait apparaître au rapport.

La sous-traitance en cascade : freelances, hébergeurs, SaaS

L'agence qui recourt elle-même à des sous-traitants, hébergeur, freelance, outil d'e-mailing ou de statistiques, doit obtenir l'autorisation écrite préalable de son client, générale ou spécifique, et répercuter sur chaque maillon les obligations de son propre contrat (article 28, §§ 2 et 4). Les outils dont les serveurs sont situés hors de l'Union européenne ajoutent la question des transferts internationaux du chapitre V du RGPD : le choix d'un hébergement européen simplifie le dossier, pour l'agence comme pour ses clients.

L'IA dans vos livrables : transparence des deux côtés

Depuis le 2 août 2026, l'article 50 du règlement (UE) 2024/1689 s'applique aux sites que vous exploitez comme à ceux que vous livrez : un chatbot doit s'annoncer comme une IA, et les contenus générés susceptibles d'être pris pour authentiques doivent être signalés. Pour l'agence, l'enjeu est double : configurer la mention de transparence des assistants qu'elle intègre chez ses clients, et rester mesurée avec les visuels générés dans ses propres portfolios : une fausse « photo de réalisation » réaliste relève du signalement.

Ce qu'Ordovi vérifie

Ordovi détecte les interfaces conversationnelles et l'absence de mention de transparence, sur votre site comme sur ceux de vos clients suivis dans votre compte.

Par où commencer ?

Gratuit

Le scan gratuit

Votre site, ou celui d'un client, vérifié en deux minutes : 54 points sur 7 axes, mentions légales, RGPD, cookies et traceurs, sécurité, accessibilité, IA Act, vente et marketing direct.

Analyser un site →

paiement unique

Audit complet

Le rapport entier de votre site, livré en une fois, sans abonnement.

Voir les tarifs →

Votre profession est prise en compte

Quand le moteur reconnaît une activité réglementée, il ajoute les points propres à celle-ci : mention de l'ordre professionnel, du titre et des règles déontologiques. Le rapport complet les traite comme les autres, avec leur base légale et leur correctif.

Questions fréquentes

L'agence est-elle responsable si le site livré n'est pas conforme ?: La conformité incombe juridiquement à l'exploitant du site : le client. Mais le client sanctionné peut se retourner contre l'agence sur le terrain contractuel si elle ne l'a ni informé ni outillé : le devoir de conseil du professionnel joue en sa défaveur. Délimiter les rôles par écrit dans le devis protège les deux parties.
Faut-il un contrat de sous-traitance avec chaque client ?: Dès que vous traitez des données personnelles pour le compte du client (hébergement, maintenance, accès à la base ou aux formulaires), oui : l'article 28, § 3, du RGPD exige un contrat écrit au contenu précis. Une annexe standard jointe aux devis d'hébergement et de maintenance suffit à couvrir le flux courant.
Que signer quand l'agence utilise elle-même des sous-traitants ?: L'autorisation écrite préalable du client, générale ou spécifique, puis la répercussion des mêmes obligations sur chaque sous-traitant ultérieur : c'est le mécanisme de l'article 28, §§ 2 et 4. L'agence reste responsable envers son client des manquements de ses propres prestataires.
Peut-on revendre la surveillance de conformité comme prestation récurrente ?: Oui, et c'est la suite logique du devoir de conseil : la conformité d'un site se dérègle au fil des mises à jour et des plugins. Les formules multi-sites d'Ordovi permettent de suivre les sites de plusieurs clients depuis un seul compte et d'appuyer un forfait de maintenance sur des rapports mensuels datés.

Pour comprendre avant d'agir

Guide vérifié le 16 août 2026 par l'équipe Ordovi. Références : RGPD, articles 13, 14 et 28 et chapitre V (eur-lex.europa.eu/eli/reg/2016/679) ; Code de droit économique, article XII.6, et loi du 13 juin 2005, article 129 (www.ejustice.just.fgov.be) ; règlement (UE) 2024/1689, article 50.