L’Agence fédérale pour la sécurité de la chaîne alimentaire (AFSCA) reconnaît un dysfonctionnement dans son système informatique de traitement des plaintes. Un citoyen a pu consulter des informations internes auxquelles il n’aurait pas dû avoir accès. Le problème est corrigé, mais l’agence ignore encore si d’autres dossiers ont été concernés. Une affaire qui pose quelques questions sur la sécurité informatique de nos administrations.
L’AFSCA, chargée de surveiller la sécurité de notre chaîne alimentaire, vient de découvrir que son propre système informatique avait quelques difficultés à respecter les règles de confidentialité. Pour une administration habituée à contrôler les autres, voilà une situation légèrement embarrassante.
Dans un communiqué officiel publié le 30 octobre 2026, l’agence explique avoir constaté, le mercredi 28 octobre, un dysfonctionnement dans son application de traitement des plaintes. Au moins, ils font preuve de transparence et c’est une bonne chose. Je remarque par contre que la presse n’en parle pas. C’est une personne qui m’a interpellées cet après-midi qui m’a fait réagir.
En fait, lorsqu’un citoyen introduit une plainte, différentes informations et pièces jointes peuvent être ajoutées à son dossier. Certaines sont accessibles au plaignant, tandis que d’autres sont exclusivement réservées aux agents de l’AFSCA.
Sauf que cette séparation n’a pas fonctionné correctement : un plaignant a pu consulter des informations internes associées à son dossier. L’agence ne précise pas la nature de ces documents, leur éventuelle sensibilité ni les circonstances exactes de leur consultation.
L’AFSCA affirme avoir connaissance d’un seul dossier concerné. Cela ne signifie toutefois pas que le problème était nécessairement limité à ce cas. Une enquête est en cours pour déterminer si d’autres plaignants ont également pu consulter des informations ou des fichiers internes.
La distinction est importante : un accès non autorisé est confirmé, mais l’étendue réelle du dysfonctionnement reste inconnue. Il faudra notamment déterminer depuis combien de temps le problème existait et si les journaux informatiques permettent de retrouver d’éventuelles consultations supplémentaires.
Autrement dit, l’agence a identifié une porte mal fermée, mais ignore encore combien de visiteurs auraient pu l’emprunter.
Pouvoir se connecter à une application ne signifie pas avoir le droit de consulter toutes les informations qu’elle contient. Toute la différence est là.
Le système vérifie votre identité, par exemple à l’aide d’un mot de passe, d’itsme ou d’une autre méthode de connexion.
Le système vérifie vos droits et détermine les documents, données ou fonctionnalités auxquels vous pouvez accéder.
Le dysfonctionnement décrit par l’agence évoque un problème de contrôle d’accès, mais sa cause technique précise n’a pas été communiquée. Il serait donc prématuré de désigner une vulnérabilité particulière ou de parler de cyberattaque.
En résumé : avoir la clé de l’immeuble ne signifie pas avoir celle de tous les appartements. Encore faut-il que les serrures fonctionnent.
Selon l’AFSCA, les mesures nécessaires ont été prises dès la découverte du dysfonctionnement. Les plaignants ne peuvent désormais consulter que les pièces jointes auxquelles ils sont autorisés à accéder.
L’agence poursuit néanmoins son enquête pour comprendre les causes de l’incident et déterminer les mesures supplémentaires nécessaires. Car corriger un problème ne suffit pas à connaître ses conséquences. Il reste notamment à savoir quels documents ont été exposés, pendant combien de temps et si d’autres utilisateurs ont pu y accéder.
L’AFSCA indique qu’elle communiquera des informations complémentaires lorsque son analyse permettra d’établir une vision suffisamment fiable de la situation, si cela s’avère nécessaire.
Le communiqué parle d’informations internes, sans préciser si elles contenaient des données à caractère personnel. Si tel était le cas, l’incident pourrait relever des obligations prévues par le RGPD.
Une violation de données personnelles doit en principe être notifiée à l’Autorité de protection des données dans les 72 heures suivant sa découverte, sauf si elle est peu susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Une information individuelle peut également être obligatoire en cas de risque élevé.
À ce stade, rien ne permet d’affirmer que ces conditions sont réunies ni que l’AFSCA aurait manqué à ses obligations.
Pour l’instant, les faits sont relativement simples : un dysfonctionnement reconnu, un dossier confirmé, une correction annoncée et une enquête toujours en cours. Il serait excessif de parler de fuite massive ou de piratage. Mais il serait tout aussi regrettable de minimiser un problème touchant à la confidentialité des informations administratives.
Les citoyens doivent pouvoir faire confiance aux systèmes qui traitent leurs plaintes, particulièrement lorsqu’ils transmettent des informations potentiellement sensibles.
Reste une petite ironie : l’organisme chargé de contrôler ce qui entre dans nos assiettes découvre que certaines informations sortaient un peu trop facilement de ses dossiers. En cuisine, on évite les contaminations croisées. En informatique, on devrait également éviter les permissions croisées.
Dans les deux cas, mieux vaut découvrir le problème avant qu’il ne se retrouve au menu de tout le monde.
Cet article repose sur une communication officielle de l’AFSCA, complétée par les recommandations de l’OWASP en matière de sécurité informatique et les informations de l’Autorité de protection des données concernant le RGPD.
L’AFSCA enquête sur un problème technique dans son système informatique de traitement des plaintes
Communiqué officiel confirmant la découverte du dysfonctionnement le 28 octobre, l’accès à des informations internes dans un dossier, la correction du problème et la poursuite des investigations pour déterminer son étendue.
Notifier et gérer une violation de données personnelles
Présentation des obligations de notification prévues par le RGPD, notamment le délai de principe de 72 heures et l’évaluation des risques pour les personnes concernées.
Ce vendredi 30 octobre 2026, les valeurs technologiques américaines traversent une séance particulièrement agitée. Intel…
Ça n'arrête pas ! Après les ennuis informatiques du SPF Finances, de l'IFAPME et le…
Je vais essayer, dans ce petit billet d'humeur, d'être le plus factuel possible. Pas de…
Pendant des décennies, le réveil a rempli une mission relativement simple : afficher l'heure et…
Amazon vient de publier ses résultats financiers du troisième trimestre 2026 et, à première vue,…
C’est Marie, sur Twitter, qui m’a fait comprendre que mon premier article sur le piratage…