# Brief — Un seul compte de prof volé pendant la nuit, et tous les agents en académie depuis 2001 sont prévenus un par un : si les données d'élèves revendiquées mardi sont confirmées, le ministère devra écrire aux parents **Thème : données personnelles — violation de données dans un ministère, obligation de communication aux personnes concernées (article 34 du RGPD), information des mineurs et de leurs représentants légaux** **Mots-clés :** #rgpd #violation-de-donnees #cnil #education-nationale #mineurs #hameconnage #anssi Le **18 août 2026**, le ministère de l'Éducation nationale a publié un second communiqué sur l'intrusion frauduleuse survenue **dans la nuit du 25 juillet 2026** — un accès obtenu « à la suite de l'**usurpation d'un compte professionnel** », visant le **système d'information dédié à la formation des personnels**, détecté dès le 26 juillet par le centre opérationnel de sécurité du ministère, et rendu public le **31 juillet**. Trois éléments y sont nouveaux : la plainte a été déposée **contre X auprès du parquet de Paris** et une **enquête judiciaire est en cours** ; « l'ensemble des personnels susceptibles d'être concernés ont été **informés individuellement** » ; et « des publications intervenues hier font état de la **mise en ligne** de ces données et **revendiquent la détention de données relatives à des élèves** », le ministère poursuivant ses expertises pour établir « la nature exacte et l'étendue des données exfiltrées ». Sa position est écrite noir sur blanc : si d'autres personnes sont concernées, elles seront informées individuellement, et « **s'il devait s'agir d'élèves, leurs représentants légaux le seraient également** ». Le périmètre annoncé le 31 juillet couvrait les agents ayant exercé en académie **depuis 2001** — identité, statut et fonctions, et pour une partie d'entre eux coordonnées, adresse postale, numéro de téléphone et **numéro de sécurité sociale** —, à l'exclusion de toute donnée bancaire, de tout mot de passe et, dans ce système, de toute donnée d'élève. Le droit distingue deux obligations que le vocabulaire courant confond. La **notification** de l'**article 33 du RGPD** va à l'autorité de contrôle, « dans les meilleurs délais et, si possible, 72 heures au plus tard », dès qu'un risque est probable ; elle s'accompagne d'une obligation de **documenter toute violation**, même non notifiée (art. 33, § 5). La **communication** de l'**article 34** va aux personnes elles-mêmes, sans délai chiffré mais « dans les meilleurs délais », lorsque le risque est **élevé** — avec un contenu minimal, des **termes clairs et simples** (art. 34, § 2), trois exceptions limitatives (données rendues incompréhensibles, mesures ultérieures écartant le risque, efforts disproportionnés remplacés par une **communication publique**, art. 34, § 3) et un pouvoir d'injonction de l'autorité (art. 34, § 4). C'est la seconde qui compte ici : l'exonération d'amende ouverte aux autorités publiques par l'**article 83, § 7**, transposée en France à l'**article 20, III, de la loi n° 78-17 du 6 janvier 1978** — documentée dans le module du 18 août 2026 —, ne porte que sur les amendes administratives. Une administration qui ne peut être condamnée à payer peut parfaitement être **mise en demeure d'informer**. Et si des mineurs figurent dans les fichiers, l'exigence se durcit : l'**article 12, § 1**, du RGPD impose une information « en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant », et l'**article 45 de la loi n° 78-17** impose au responsable, pour les mineurs de moins de quinze ans, une rédaction « aisément compréhensible par le mineur ». Informer les représentants légaux ne dispense donc pas d'écrire lisiblement. Le risque concret n'est ni bancaire ni celui d'un mot de passe compromis : c'est l'**hameçonnage crédible** et l'**usurpation d'identité**. Un message citant votre académie, votre statut, votre adresse et votre NIR franchit sans effort le filtre du bon sens — et le numéro de sécurité sociale, contrairement à une carte bancaire, ne se fait pas réémettre. D'où le paradoxe opérationnel de l'article 34 : le courriel qui prévient d'un risque de phishing ressemble par construction à un phishing, ce qui impose un message **dédié**, des conseils **actionnables** et un canal vérifiable indépendamment. Pour qui audite, les points de contrôle se déduisent du récit officiel : robustesse de l'**authentification des comptes d'agents** sur les applications périphériques — un système de formation est rarement dans le périmètre d'un exercice de sécurité, il est pourtant une porte d'entrée nominative ; **détection des extractions anormales**, puisqu'un compte usurpé reste légitime pour un contrôle d'accès ; capacité à **reconstituer le périmètre exact** des enregistrements consultés, sans laquelle la question « qui dois-je prévenir ? » n'a pas de réponse ; conservation de données remontant à **2001** dans un système de formation, qui interroge l'**article 5, § 1, e)** ; et existence d'un **registre des violations**, premier document réclamé par une autorité de contrôle. À ce stade, aucune autorité n'a jugé que le ministère aurait manqué à l'**article 32** : les revendications d'un attaquant ne prouvent pas un périmètre, et l'appréciation appartient à la CNIL, puis le cas échéant au juge. Le ministre **Édouard Geffray** tient sa conférence de presse de rentrée le **25 août 2026** ; un plan de renforcement des systèmes d'information est conduit avec l'appui de l'**ANSSI**. ## Sources - [Ministère de l'Éducation nationale — « Incident de sécurité affectant des données détenues par le ministère de l'Éducation nationale », communiqué du 18 août 2026](https://www.education.gouv.fr/incident-de-securite-affectant-des-donnees-detenues-par-le-ministere-de-l-education-nationale-505441) - [Ministère de l'Éducation nationale — « Incident de sécurité affectant les données de personnels de l'éducation nationale », communiqué du 31 juillet 2026](https://www.education.gouv.fr/incident-de-securite-affectant-les-donnees-de-personnels-de-l-education-nationale-505407) - [Ministère de l'Éducation nationale — Conférence de presse de rentrée d'Édouard Geffray, 25 août 2026 (note aux rédactions)](https://www.education.gouv.fr/conference-de-presse-de-rentree-505447) - [EUR-Lex — Règlement (UE) 2016/679 (RGPD), articles 4, 5, 12, 32, 33, 34 et 83](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679) - [CEPD — Lignes directrices 9/2022 sur la notification de violations de données à caractère personnel au titre du RGPD, version 2.0 (PDF, version française)](https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202209_personal_data_breach_notification_v2.0_fr_0.pdf) - [CEPD — Page de référence des lignes directrices 9/2022](https://www.edpb.europa.eu/documents/guideline/guidelines-92022-on-personal-data-breach-notification-under-gdpr_en) - [CNIL — « Violations de données personnelles : les règles à suivre »](https://www.cnil.fr/fr/violations-de-donnees-personnelles-les-regles-suivre) - [CNIL — « Les violations de données personnelles » (dossier cybersécurité)](https://www.cnil.fr/fr/cybersecurite/les-violations-de-donnees-personnelles) - [CNIL — « Notifier une violation de données personnelles » (service en ligne)](https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles) - [CNIL — « Piratage du système d'information des impôts : les vérifications sont en cours », 18 août 2026](https://www.cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours) - [Légifrance — Loi n° 78-17 du 6 janvier 1978, article 45 (mineur de moins de quinze ans, information en termes clairs et simples)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037823135) - [Légifrance — Loi n° 78-17 du 6 janvier 1978, article 20 (mesures correctrices ; III, 7°)](https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000037822794) - [Droit Vivant — module du 18 août 2026 : violation de données à la DGFiP, pouvoirs de la CNIL et immunité d'amende de l'État](https://maax6.github.io/droit-vivant/archive/2026-08-18/brief-2026-08-18.html) - [Droit Vivant — module du 22 août 2026 : droit à réparation de l'article 82 du RGPD et charge de la preuve](https://maax6.github.io/droit-vivant/archive/2026-08-22/brief-2026-08-22.html)