Belgique : un bug informatique à l’AFSCA expose des documents internes
L’Agence fédérale pour la sécurité de la chaîne alimentaire (AFSCA) reconnaît un dysfonctionnement dans son système informatique de traitement des plaintes. Un citoyen a pu consulter des informations internes auxquelles il n’aurait pas dû avoir accès. Le problème est corrigé, mais l’agence ignore encore si d’autres dossiers ont été concernés. Une affaire qui pose quelques questions sur la sécurité informatique de nos administrations.
Quand un citoyen voit ce qu’il ne devrait pas voir
L’AFSCA, chargée de surveiller la sécurité de notre chaîne alimentaire, vient de découvrir que son propre système informatique avait quelques difficultés à respecter les règles de confidentialité. Pour une administration habituée à contrôler les autres, voilà une situation légèrement embarrassante.
Dans un communiqué officiel publié le 30 octobre 2026, l’agence explique avoir constaté, le mercredi 28 octobre, un dysfonctionnement dans son application de traitement des plaintes. Au moins, ils font preuve de transparence et c’est une bonne chose. Je remarque par contre que la presse n’en parle pas. C’est une personne qui m’a interpellées cet après-midi qui m’a fait réagir.
En fait, lorsqu’un citoyen introduit une plainte, différentes informations et pièces jointes peuvent être ajoutées à son dossier. Certaines sont accessibles au plaignant, tandis que d’autres sont exclusivement réservées aux agents de l’AFSCA.
Sauf que cette séparation n’a pas fonctionné correctement : un plaignant a pu consulter des informations internes associées à son dossier. L’agence ne précise pas la nature de ces documents, leur éventuelle sensibilité ni les circonstances exactes de leur consultation.
Un seul dossier identifié, mais combien de personnes concernées ?
L’AFSCA affirme avoir connaissance d’un seul dossier concerné. Cela ne signifie toutefois pas que le problème était nécessairement limité à ce cas. Une enquête est en cours pour déterminer si d’autres plaignants ont également pu consulter des informations ou des fichiers internes.
La distinction est importante : un accès non autorisé est confirmé, mais l’étendue réelle du dysfonctionnement reste inconnue. Il faudra notamment déterminer depuis combien de temps le problème existait et si les journaux informatiques permettent de retrouver d’éventuelles consultations supplémentaires.
Autrement dit, l’agence a identifié une porte mal fermée, mais ignore encore combien de visiteurs auraient pu l’emprunter.
Authentification et autorisation : deux notions très différentes
Pouvoir se connecter à une application ne signifie pas avoir le droit de consulter toutes les informations qu’elle contient. Toute la différence est là.
Le système vérifie votre identité, par exemple à l’aide d’un mot de passe, d’itsme ou d’une autre méthode de connexion.
Le système vérifie vos droits et détermine les documents, données ou fonctionnalités auxquels vous pouvez accéder.
Le citoyen se connecte avec son identité : authentification réussie.
Il consulte les informations de son dossier auxquelles il a droit : accès autorisé.
Il consulte un document interne réservé à l’administration : contrôle d’accès défaillant.
Le dysfonctionnement décrit par l’agence évoque un problème de contrôle d’accès, mais sa cause technique précise n’a pas été communiquée. Il serait donc prématuré de désigner une vulnérabilité particulière ou de parler de cyberattaque.
En résumé : avoir la clé de l’immeuble ne signifie pas avoir celle de tous les appartements. Encore faut-il que les serrures fonctionnent.
Le problème est corrigé, mais l’enquête continue
Selon l’AFSCA, les mesures nécessaires ont été prises dès la découverte du dysfonctionnement. Les plaignants ne peuvent désormais consulter que les pièces jointes auxquelles ils sont autorisés à accéder.
L’agence poursuit néanmoins son enquête pour comprendre les causes de l’incident et déterminer les mesures supplémentaires nécessaires. Car corriger un problème ne suffit pas à connaître ses conséquences. Il reste notamment à savoir quels documents ont été exposés, pendant combien de temps et si d’autres utilisateurs ont pu y accéder.
L’AFSCA indique qu’elle communiquera des informations complémentaires lorsque son analyse permettra d’établir une vision suffisamment fiable de la situation, si cela s’avère nécessaire.
Et si des données personnelles avaient été exposées ?
Le communiqué parle d’informations internes, sans préciser si elles contenaient des données à caractère personnel. Si tel était le cas, l’incident pourrait relever des obligations prévues par le RGPD.
Une violation de données personnelles doit en principe être notifiée à l’Autorité de protection des données dans les 72 heures suivant sa découverte, sauf si elle est peu susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Une information individuelle peut également être obligatoire en cas de risque élevé.
À ce stade, rien ne permet d’affirmer que ces conditions sont réunies ni que l’AFSCA aurait manqué à ses obligations.
Une affaire à suivre, sans sortir immédiatement les sirènes
Pour l’instant, les faits sont relativement simples : un dysfonctionnement reconnu, un dossier confirmé, une correction annoncée et une enquête toujours en cours. Il serait excessif de parler de fuite massive ou de piratage. Mais il serait tout aussi regrettable de minimiser un problème touchant à la confidentialité des informations administratives.
Les citoyens doivent pouvoir faire confiance aux systèmes qui traitent leurs plaintes, particulièrement lorsqu’ils transmettent des informations potentiellement sensibles.
Reste une petite ironie : l’organisme chargé de contrôler ce qui entre dans nos assiettes découvre que certaines informations sortaient un peu trop facilement de ses dossiers. En cuisine, on évite les contaminations croisées. En informatique, on devrait également éviter les permissions croisées.
Dans les deux cas, mieux vaut découvrir le problème avant qu’il ne se retrouve au menu de tout le monde.
Sources et références
Cet article repose sur une communication officielle de l’AFSCA, complétée par les recommandations de l’OWASP en matière de sécurité informatique et les informations de l’Autorité de protection des données concernant le RGPD.
L’AFSCA enquête sur un problème technique dans son système informatique de traitement des plaintes
Communiqué officiel confirmant la découverte du dysfonctionnement le 28 octobre, l’accès à des informations internes dans un dossier, la correction du problème et la poursuite des investigations pour déterminer son étendue.
Notifier et gérer une violation de données personnelles
Présentation des obligations de notification prévues par le RGPD, notamment le délai de principe de 72 heures et l’évaluation des risques pour les personnes concernées.
Les bons plans du jour
Aucun bon plan disponible pour le moment.
