art. 4, 12) — définition de la « violation de données à caractère personnel » : destruction, perte, altération, divulgation ou accès non autorisés, de manière accidentelle ou illiciteart. 33, § 1 — notification à l'autorité de contrôle « dans les meilleurs délais et, si possible, 72 heures au plus tard » après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque ; art. 33, § 5 — obligation de documenter toute violation, y compris celles qui ne sont pas notifiéesart. 34, § 1 — communication à la personne concernée dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé ; art. 34, § 2 — contenu minimal, en termes clairs et simples ; art. 34, § 3 — trois exceptions (données rendues incompréhensibles, par exemple par chiffrement ; mesures ultérieures écartant le risque élevé ; efforts disproportionnés, remplacés alors par une communication publique) ; art. 34, § 4 — l'autorité de contrôle peut exiger la communicationart. 12, § 1 — information « d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant »art. 5, § 1, e) et f) — limitation de la durée de conservation ; intégrité et confidentialité ; art. 32 — sécurité du traitement, appréciée au regard de l'état de l'art et du risqueart. 45 — pour le mineur de moins de quinze ans, le responsable rédige l'information « en des termes clairs et simples, aisément compréhensibles par le mineur »art. 20, III — mesures correctrices de la CNIL applicables à l'État ; RGPD art. 83, § 7 — option nationale d'exonération d'amende administrative pour les autorités publiques (voir le module du 18 août 2026)art. 226-17 — défaut de mise en œuvre des mesures de sécurité prescrites : 5 ans d'emprisonnement et 300 000 € d'amende (régime général applicable aux responsables de traitement)Selon le communiqué du ministère de l'Éducation nationale publié le 31 juillet 2026, un accès frauduleux a été réalisé dans la nuit du 25 juillet 2026, « à la suite de l'usurpation d'un compte professionnel », et a visé « le système d'information dédié à la formation des personnels ». Le centre opérationnel de sécurité des systèmes d'information du ministère en a été alerté dès le 26 juillet ; l'accès externe au système a été suspendu et une cellule de crise activée.
Le périmètre annoncé est large dans le temps : les données susceptibles d'avoir été exfiltrées concernent « les agents du ministère ayant exercé en académie depuis 2001 » — éléments d'identité et informations professionnelles (statut, fonctions), auxquels s'ajoutent, pour une partie d'entre eux, coordonnées, adresse postale, numéro de téléphone et numéro de sécurité sociale. Le ministère précise que ce système d'information « ne contient ni données bancaires, ni mots de passe, ni données relatives aux élèves ». Plainte a été déposée, l'ANSSI et la CNIL ont été saisies.
Le 18 août 2026, un second communiqué acte trois choses. D'abord que la plainte a été déposée contre X auprès du parquet de Paris et qu'une enquête judiciaire est en cours. Ensuite que « l'ensemble des personnels susceptibles d'être concernés ont été informés individuellement » — soit l'exécution, en pratique, de l'art. 34. Enfin que « des publications intervenues hier font état de la mise en ligne de ces données et revendiquent la détention de données relatives à des élèves », le ministère poursuivant ses expertises techniques « afin d'établir la nature exacte et l'étendue des données exfiltrées ». Sa position juridique est explicite : « si ces expertises établissent que d'autres personnes sont concernées, elles en seront informées individuellement, dans les mêmes conditions que les personnels. S'il devait s'agir d'élèves, leurs représentants légaux le seraient également. »
À ce stade, aucune autorité n'a jugé que le ministère aurait manqué à l'art. 32 du RGPD : les revendications d'un attaquant ne sont pas une preuve du périmètre, et l'appréciation appartient à la CNIL puis, le cas échéant, au juge. Le ministre Édouard Geffray, qui tient sa conférence de presse de rentrée le 25 août 2026, a annoncé la conduite d'un plan de renforcement de la sécurité des systèmes d'information avec l'appui de l'ANSSI.
Il faut distinguer deux obligations que le vocabulaire courant confond. La notification de l'art. 33 va au régulateur, sous 72 heures, dès qu'un risque est probable. La communication de l'art. 34 va aux personnes, sans délai chiffré mais « dans les meilleurs délais », et seulement si le risque est élevé. La seconde est la plus coûteuse politiquement, la plus utile concrètement, et la seule qui subsiste intégralement lorsque le responsable est l'État : l'exonération d'amende ouverte par l'art. 83, § 7, et transposée en France, porte sur les amendes administratives, jamais sur les obligations de fond. Une administration qui ne peut être condamnée à payer peut parfaitement être mise en demeure d'informer (art. 34, § 4).
Le risque, ici, n'est ni bancaire ni la compromission d'un mot de passe : c'est l'hameçonnage crédible et l'usurpation d'identité. Un message qui cite votre statut exact, votre académie, votre adresse et votre numéro de sécurité sociale franchit sans effort le filtre du bon sens. Et le NIR n'est pas un secret révocable : on ne le fait pas réémettre comme une carte bancaire — d'où une conservation de données remontant à 2001 dans un système de formation, qui interroge directement la limitation des durées de l'art. 5, § 1, e), un point que les vérifications de la CNIL trancheront.
La communication elle-même est un problème d'ingénierie, et c'est le paradoxe du dossier : le courriel qui prévient d'un risque de phishing ressemble, par construction, à un phishing. D'où les règles pratiques que la CNIL et le CEPD imposent en creux — un message dédié, jamais noyé dans une lettre d'information ; des conseils concrets et actionnables ; un canal que la personne peut vérifier indépendamment ; et l'exception d'« efforts disproportionnés » qui bascule vers une communication publique plutôt que vers le silence. Pour un mineur, l'art. 12, § 1 du RGPD et l'art. 45 de la loi de 1978 ajoutent une exigence de lisibilité qui n'est pas cosmétique : un texte que l'élève ne comprend pas ne remplit pas l'obligation, et informer les représentants légaux ne dispense pas d'écrire de manière compréhensible.
Pour qui audite, l'affaire fournit une liste de points de contrôle bien plus précise qu'un référentiel : robustesse de l'authentification des comptes d'agents sur les applications périphériques — un système de formation est rarement la cible d'un exercice de sécurité, il est pourtant une porte d'entrée nominative ; détection des extractions anormales, puisqu'un compte usurpé reste légitime pour un contrôle d'accès et ne devient suspect que pour un moteur de comportement ; capacité à reconstituer le périmètre exact des enregistrements consultés, faute de quoi la question « qui dois-je prévenir ? » devient insoluble et l'obligation de l'art. 34 impossible à exécuter correctement ; et existence d'un registre des violations au titre de l'art. 33, § 5, premier document que réclame une autorité de contrôle. Un incident se juge autant sur la qualité des journaux que sur celle des pare-feux.