Accueil › Enjeux de gouvernance › G-02
Incidents hors de toute obligation de déclaration
Sabotage, déni de service, rançongiciel sans exfiltration : aucune donnée personnelle n'est en cause, donc ni la loi de 2010 ni celle de 2024 n'imposent de déclaration. Ces incidents ne figurent dans aucune statistique publique, quelle que soit leur gravité.
19 incidents rattachés
Sous chaque incident, le motif du rattachement : ce que ce cas précis donne à voir de cet enjeu. Les fiches sont classées de la plus récente à la plus ancienne, par date de l'incident.
-
MINEFOP
Défacement du site d'un ministère par une campagne opportuniste exploitant une faille du framework Helix3 pour Joomla!. Aucune donnée personnelle n'est en cause et aucun texte n'impose à une administration de déclarer l'atteinte à l'intégrité de son propre site : l'incident n'entre dans le champ d'aucune obligation de déclaration. Il n'est connu que parce qu'il était visible depuis la rue — la page d'accueil portait elle-même la revendication.
-
MINESEC
Fuite de sujets d'examen diffusés sur WhatsApp et Telegram avant les épreuves. Aucun texte n'impose de déclarer la compromission d'un secret d'examen : ni le ministère, ni les centres de composition, ni les messageries qui ont servi de canal ne relèvent d'une obligation. L'incident n'est devenu public que parce que sa conséquence — le report de toutes les épreuves restantes pour 208 761 candidats — était impossible à dissimuler.
-
SOCADEL
Faux comptes sociaux, appels et messages au nom des dirigeants d'une entreprise publique naissante, exploitant la fenêtre d'une transition institutionnelle où plus personne ne sait à quoi ressemble une communication authentique de l'entité. Aucune obligation de déclaration ne couvre l'usurpation d'identité d'une organisation : ni l'entreprise usurpée, ni les plateformes qui hébergent les faux comptes n'ont de compte à rendre.
-
MRC
Plateforme de pétition citoyenne devenue inaccessible après un afflux massif de signatures. Un piratage a été dénoncé publiquement ; des analystes indépendants l'ont contesté, attribuant la panne à une surcharge de trafic. Aucune autorité n'a établi les faits, et aucune obligation de déclaration n'existait qui aurait pu y contraindre. C'est la limite extrême de l'enjeu : non seulement l'incident n'a pas à être déclaré, mais sa nature même reste indéterminée faute de tout mécanisme de constat.
-
Tradex
Détournement d'un instrument de paiement électronique privé par un ancien responsable informatique, en complicité avec quatorze gérants de stations. Les cartes Trad'Card ne sont ni un service bancaire ni un service de paiement mobile agréé : elles n'entrent dans le périmètre de surveillance d'aucun régulateur financier, et aucune obligation de déclaration d'incident ne pèse sur leur émetteur. La fraude n'a été connue que par la procédure judiciaire.
-
Camtel
Campagne de sabotage continue contre l'infrastructure de transport nationale, comptée en milliers d'occurrences, sans violation de données à caractère personnel. Aucune obligation de déclaration ne s'y applique : ce que le public en sait vient d'une déclaration volontaire de l'opérateur et de son conflit ouvert avec un concurrent, non d'un dispositif de signalement. Complément (fusion du 9 septembre 2026) : un épisode signalé en juin-juillet 2025 — compromission du système de supervision couplée aux coupures physiques — porterait l'atteinte sur les outils de réponse eux-mêmes, aggravant la panne sans qu'aucune obligation de signalement ne s'applique davantage. Signalement non corroboré, consigné à titre de piste.
-
Ministère des Finances
Tentatives d'injection de faux ordres de virement dans les systèmes de règlement de l'État, par usurpation de messagerie. L'État n'est soumis à aucune obligation de déclarer les incidents affectant ses propres chaînes de paiement, et il n'existe au demeurant aucune autorité devant laquelle il aurait à le faire.
-
Camwater
Fraude durable sur le réseau de distribution — branchements illégaux, vols de compteurs — avec complicité d'agents des unités de distribution, mise en cause publiquement par la direction générale elle-même. La menace interne dans une entreprise publique de service n'entre dans aucun régime de déclaration d'incident : elle relève de la discipline et de la procédure judiciaire.
-
Orange Cameroun
Coupure du service internet national à la suite d'un incident sur le câble sous-marin. L'atteinte est purement une atteinte à la disponibilité : aucune donnée personnelle n'est en cause, et l'article 22 de la loi n° 2024/017 ne s'applique pas. Aucun texte n'impose à un opérateur de déclarer une interruption de service, ni d'en exposer publiquement la cause.
-
Camtel
Déni de service distribué saturant le backbone national et les serveurs DNS de l'opérateur historique, avec coupures pour les clients particuliers et entreprises. Rien n'a été exfiltré : l'incident relève de la seule disponibilité, hors du champ de l'article 22 de la loi n° 2024/017. Aucune obligation de signalement ne s'applique, et le public n'a connu l'incident que par ses effets.
-
Camtel
Déni de service massif et attaque sur les serveurs DNS : l'internet national devient inutilisable alors que les câbles physiques sont intacts. L'atteinte porte sur la disponibilité, pas sur des données personnelles — l'article 22 de la loi n° 2024/017 ne s'applique donc pas. Un pays peut ainsi perdre l'accès à internet sans qu'aucune déclaration ne soit due à qui que ce soit.
-
Camtel
Sabotage physique de la fibre optique et tentatives d'intrusion dans les systèmes de gestion, affectant la connectivité nationale — Camtel exploitant le backbone utilisé par tous les opérateurs. Aucune donnée à caractère personnel n'est en cause : l'incident touche la disponibilité d'une infrastructure critique, et n'entre donc dans le champ d'aucune obligation de déclaration. L'article 22 de la loi n° 2024/017 ne couvre que les violations de données personnelles, et aucun texte n'impose de signaler une atteinte à la disponibilité, fût-elle nationale.
-
Secteur bancaire camerounais (14 établissements)
Quatorze établissements sont nommés publiquement, et aucun ne réagit — ni pour confirmer, ni pour démentir, ni pour informer ses clients. L'alerte vient d'un chercheur indépendant, sans mandat ni pouvoir de constatation. Aucune autorité ne vérifie, aucune publication ne recense. Les personnes dont les données figureraient dans ce catalogue n'ont, à ce jour, aucun moyen de l'apprendre.
-
Eneo Cameroon
Cyberattaque paralysant les systèmes de facturation prépayée et postpayée du fournisseur national d'électricité, avec désactivation temporaire des applications clients. L'incident touche la disponibilité d'un service essentiel, sans violation de données personnelles avérée : aucune obligation de déclaration ne s'y applique. Un service dont dépend l'accès à l'électricité peut être interrompu sans qu'aucune autorité n'ait à en être informée.
-
BEAC
Déni de service revendiqué contre la banque centrale de la zone, rendant son site et ses portails inaccessibles plusieurs heures. L'incident vise une institution financière régionale et fait l'objet d'une revendication publique, mais ne concerne aucune donnée personnelle : il n'entre dans le champ ni de l'article 22 de la loi n° 2024/017, ni d'aucune obligation sectorielle. Un attaquant a communiqué sur l'incident quand l'institution n'y était pas tenue.
-
BICEC
Une panne du système d'information a interrompu l'ensemble du réseau de guichets automatiques d'une banque, à l'échelle nationale, pendant plusieurs semaines. Aucune donnée à caractère personnel n'ayant été violée, l'épisode n'entre dans le champ d'aucune obligation de déclaration : ni l'article 22 de la loi n° 2024/017, qui ne couvre que les violations de données personnelles, ni un autre texte en vigueur. La banque n'a communiqué publiquement ni pendant, ni après.
-
Ministère des Finances
Cyberattaque contre l'application de gestion des impôts et taxes en 2020, à une date où aucun texte camerounais n'imposait la déclaration d'un incident affectant un système d'information de l'État. La loi de 2010 sur la cybersécurité ne prévoit pas cette obligation, et le dispositif de protection des données personnelles n'était pas encore opérant.
-
Elecam
Prise de contrôle du compte Facebook officiel de l'organe chargé des élections, suivie de la publication d'un photomontage visant une figure de l'opposition. La compromission d'un compte de réseau social n'entre dans le champ d'aucune obligation de déclaration : le compte appartient à l'institution, l'infrastructure appartient à la plateforme, et ni l'une ni l'autre ne doit de compte à une autorité camerounaise.
-
Ministère de la Communication
Défacement du site du ministère de la Communication par exploitation d'un système de gestion de contenu non mis à jour. Comme pour toute atteinte à l'intégrité d'un site institutionnel, aucun texte n'impose de déclaration : la vulnérabilité en cause, sa date de correction et la durée de l'altération restent à la seule discrétion de l'administration touchée.
Le rattachement d'un incident à un enjeu n'existe pas sans un motif écrit. Les règles qui le gouvernent sont exposées sur l'index des enjeux, et toute reformulation d'un enjeu est consignée au registre public des corrections.