Assimilé à tort à un débiteur de Monsieur B, Monsieur A reçoit du SPF Finances un tableau des dettes qu’il n’aurait jamais dû recevoir. ©Capture d’écran
Ci-dessous, récit d’un cas vécu. Les noms des deux contribuables impliqués y sont remplacés par Monsieur A et Monsieur B.
Identifié par erreur comme débiteur d’une personne qu’il ne connait pas
Le 21 mai 2026 à 19 h 04, Monsieur A reçoit un courrier électronique de My eBox, la « […] boîte aux lettres électronique où vous retrouvez de manière sécurisée les messages envoyés par de plus en plus de services publics adhérents. ».
Une fois connecté à My eBox, Monsieur A découvre la version électronique d’un recommandé du SPF Finances.
Selon cette saisie-arrêt exécution, « Vous êtes connu(e) de nos services en tant que (qu’) débiteur de Monsieur B, rue et numéro, code postal et commune. C’est pourquoi je procède à la saisie-arrêt exécution de 9387,69 euros sur les sommes et effets que vous devez à votre créancier. »
Le courrier du SPF Finances est difficilement compréhensible pour le contribuable confondu avec un autre. ©Capture d’écran
Rien ne fait sens. Monsieur A ne connaît pas Monsieur B. Monsieur A n’est en aucun cas débiteur de Monsieur B, dont les dettes sont détaillées dans un tableau.
« Vous versez chaque mois 500 € sur son compte », affirme à tort le SPF Finances
Comment l’Administration Générale de la Perception et du Recouvrement (AGPR) a-t-elle relié Monsieur A à Monsieur B ? C’est tout l’enjeu du coup de fil donné le 22 mai 2026 par Monsieur A au Contact Center Service Public Fédéral Finances.
La réponse vaut son pesant de cacahuètes. « Monsieur A, vous versez chaque mois 500 € sur le compte bancaire de Monsieur B. C’est certainement lié à un appartement que vous louez à Monsieur B. Vous avez été identifié via les mouvements bancaires. »
Selon la procédure en cours de saisie-arrêt exécution, ces prochains loyers doivent être payés au SPF Finances et pas à Monsieur B. Sauf que Monsieur A ne connaît toujours pas Monsieur B, ne lui a jamais versé le moindre €, ne lui a jamais loué d’appartement.
« Je vous confirme qu’il y a une erreur »… qui ne sera jamais expliquée
Bref, on est clairement dans un cas d’erreur sur la personne. Monsieur A a été confondu avec un homonyme, un autre Monsieur A.
Un courrier électronique circonstancié envoyé le 22 mai 2026 à la Team Recouvrement de la région de Monsieur B sera nécessaire pour obtenir un simple « Je vous confirme qu’il y a eu une erreur, c’est en ordre ».
Quelle est l’origine de l’erreur ? Mystère.
Au fil de quelques coups de fil supplémentaires, une théorie finit par émerger. « Il est possible que ce recommandé faisait office d’hameçon lancé au vogelpik, dans l’espoir de tomber sur le bon Monsieur A. »
Une violation du RGPD suite à la divulgation de données à caractère personnel
En marge de l’erreur sur la personne se pose surtout sur la question de la violation de données à caractère personnel de Monsieur B, dans le sens du RGPD (Règlement général sur la protection des données).
Absolument pas concerné par ce dossier, Monsieur A ne devait en aucun cas recevoir les coordonnées de Monsieur B, son numéro de TVA, le détail de ses dettes (contributions directes, TVA, non fiscales).
« Tout citoyen peut déclarer au SPF Finances un incident »
Confronté à cet exemple précis, le service de presse du SPF Finances précise que « lorsque le SPF Finances constate qu’il a fait une erreur ou lorsqu’une erreur lui est signalée, il enclenche une procédure interne de traitement d’une fuite de données. Il y a alors signalement et enquête auprès des services concernés, rectification et si possible prise de mesures pour que cela ne se reproduise plus.
Si l’incident engendre un risque pour les personnes concernées, le SPF Finances le notifie à l’Autorité de protection des données en vertu de l’article 33 du RGPD. De plus, il communique directement à la personne concernée si l’incident engendre un risque élevé pour les droits et libertés de celle-ci, en vertu de l’article 34 du RGPD.
Tout citoyen peut déclarer au SPF Finances un incident via le site internet. Toute personne concernée peut déposer plainte auprès de l’Autorité de protection des données violation des données à caractère personnel, au sens du RGPD (Règlement général sur la protection des données). »
Une alerte officielle et des approximations qui laissent penser à une tentative de phishing
Dans le courrier initial adressé à Monsieur A d’abord par voie électronique, trois éléments peuvent faire penser qu’il s’agit d’une tentative de fraude (phishing) :
L’alerte phishing publiée juste au-dessus du message incriminé, dans la boîte de réception My eBox. « ATTENTION. Des courriers phishing sont actuellement en circulation. Plus d’infos sur myebox.be. »L’approximation de la phrase « Vous êtes connu(e) de nos services en tant que (qu’) débiteur de […] »L’amorce « Madame, Monsieur, Vous êtes connu(e) » au lieu de « Monsieur, Vous êtes connu ».
My eBox insiste, des tentatives de phishing circulent généreusement ces derniers temps. ©Capture d’écran
Ce dernier élément pourrait paraître anodin. Sauf que l’alerte phishing de My eBox souligne qu’une accroche de type « Madame, monsieur » doit être considéré comme suspecte.
« D’APPLICATION POUR 100 % DES CAS – Les messages officiels provenant de My eBox s’adressent toujours à leur destinataire en mentionnant leur nom, « Bonjour suivi de votre prénom », dans certains cas par le pseudonyme que vous avez choisi dans votre profil, jamais par « Chère Madame, Cher Monsieur » ou encore par « Cher citoyen ». »
Certes, ce sont deux choses différentes. L’alerte My eBox parle des messages envoyés au nom de My eBox, pas des courriers du SPF Finances. Il n’empêche que dans un contexte où les tentatives de phishing sont quotidiennes, cet avertissement fait résonner une alarme à l’heure de découvrir une missive aussi surréaliste que cette saisie-arrêt exécution.