Brief — Un seul compte de prof volé pendant la nuit, et tous les agents en académie depuis 2001 sont prévenus un par un : si les données d'élèves revendiquées mardi sont confirmées, le ministère devra écrire aux parents

Thème : données personnelles — violation de données dans un ministère, obligation de communication aux personnes concernées (article 34 du RGPD), information des mineurs et de leurs représentants légaux

Mots-clés : #rgpd #violation-de-donnees #cnil #education-nationale #mineurs #hameconnage #anssi

Le 18 août 2026, le ministère de l'Éducation nationale a publié un second communiqué sur l'intrusion frauduleuse survenue dans la nuit du 25 juillet 2026 — un accès obtenu « à la suite de l'usurpation d'un compte professionnel », visant le système d'information dédié à la formation des personnels, détecté dès le 26 juillet par le centre opérationnel de sécurité du ministère, et rendu public le 31 juillet. Trois éléments y sont nouveaux : la plainte a été déposée contre X auprès du parquet de Paris et une enquête judiciaire est en cours ; « l'ensemble des personnels susceptibles d'être concernés ont été informés individuellement » ; et « des publications intervenues hier font état de la mise en ligne de ces données et revendiquent la détention de données relatives à des élèves », le ministère poursuivant ses expertises pour établir « la nature exacte et l'étendue des données exfiltrées ». Sa position est écrite noir sur blanc : si d'autres personnes sont concernées, elles seront informées individuellement, et « s'il devait s'agir d'élèves, leurs représentants légaux le seraient également ». Le périmètre annoncé le 31 juillet couvrait les agents ayant exercé en académie depuis 2001 — identité, statut et fonctions, et pour une partie d'entre eux coordonnées, adresse postale, numéro de téléphone et numéro de sécurité sociale —, à l'exclusion de toute donnée bancaire, de tout mot de passe et, dans ce système, de toute donnée d'élève.

Le droit distingue deux obligations que le vocabulaire courant confond. La notification de l'article 33 du RGPD va à l'autorité de contrôle, « dans les meilleurs délais et, si possible, 72 heures au plus tard », dès qu'un risque est probable ; elle s'accompagne d'une obligation de documenter toute violation, même non notifiée (art. 33, § 5). La communication de l'article 34 va aux personnes elles-mêmes, sans délai chiffré mais « dans les meilleurs délais », lorsque le risque est élevé — avec un contenu minimal, des termes clairs et simples (art. 34, § 2), trois exceptions limitatives (données rendues incompréhensibles, mesures ultérieures écartant le risque, efforts disproportionnés remplacés par une communication publique, art. 34, § 3) et un pouvoir d'injonction de l'autorité (art. 34, § 4). C'est la seconde qui compte ici : l'exonération d'amende ouverte aux autorités publiques par l'article 83, § 7, transposée en France à l'article 20, III, de la loi n° 78-17 du 6 janvier 1978 — documentée dans le module du 18 août 2026 —, ne porte que sur les amendes administratives. Une administration qui ne peut être condamnée à payer peut parfaitement être mise en demeure d'informer. Et si des mineurs figurent dans les fichiers, l'exigence se durcit : l'article 12, § 1, du RGPD impose une information « en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant », et l'article 45 de la loi n° 78-17 impose au responsable, pour les mineurs de moins de quinze ans, une rédaction « aisément compréhensible par le mineur ». Informer les représentants légaux ne dispense donc pas d'écrire lisiblement.

Le risque concret n'est ni bancaire ni celui d'un mot de passe compromis : c'est l'hameçonnage crédible et l'usurpation d'identité. Un message citant votre académie, votre statut, votre adresse et votre NIR franchit sans effort le filtre du bon sens — et le numéro de sécurité sociale, contrairement à une carte bancaire, ne se fait pas réémettre. D'où le paradoxe opérationnel de l'article 34 : le courriel qui prévient d'un risque de phishing ressemble par construction à un phishing, ce qui impose un message dédié, des conseils actionnables et un canal vérifiable indépendamment. Pour qui audite, les points de contrôle se déduisent du récit officiel : robustesse de l'authentification des comptes d'agents sur les applications périphériques — un système de formation est rarement dans le périmètre d'un exercice de sécurité, il est pourtant une porte d'entrée nominative ; détection des extractions anormales, puisqu'un compte usurpé reste légitime pour un contrôle d'accès ; capacité à reconstituer le périmètre exact des enregistrements consultés, sans laquelle la question « qui dois-je prévenir ? » n'a pas de réponse ; conservation de données remontant à 2001 dans un système de formation, qui interroge l'article 5, § 1, e) ; et existence d'un registre des violations, premier document réclamé par une autorité de contrôle. À ce stade, aucune autorité n'a jugé que le ministère aurait manqué à l'article 32 : les revendications d'un attaquant ne prouvent pas un périmètre, et l'appréciation appartient à la CNIL, puis le cas échéant au juge. Le ministre Édouard Geffray tient sa conférence de presse de rentrée le 25 août 2026 ; un plan de renforcement des systèmes d'information est conduit avec l'appui de l'ANSSI.

Brief — Un seul compte de prof volé pendant la nuit, et tous les agents en académie depuis 2001 sont prévenus un par un : si les données d'élèves revendiquées mardi sont confirmées, le ministère devra écrire aux parents

Sources