Le 31 juillet 2026, le ministère de l’Éducation nationale a rendu publique l’intrusion frauduleuse dont il a été victime dans la nuit du 25 juillet et l’exfiltration de données à caractère personnel qu’elle a pu entraîner, selon le communiqué officiel du ministère. Le texte précise que le ministère avait alors déposé plainte contre X auprès du parquet de Paris et saisi l’Agence nationale de la sécurité des systèmes d’information (ANSSI), ainsi que la Commission nationale de l’informatique et des libertés (CNIL), et qu’une enquête judiciaire est en cours. Des publications ultérieures ont revendiqué la détention de données relatives à des élèves, ce que les expertises techniques devaient encore établir à la date du communiqué. Si ces expertises établissent que d’autres personnes sont concernées, elles en seront informées individuellement, et s’il devait s’agir d’élèves, leurs représentants légaux le seraient également. Dans ce contexte, les réflexes décrits ci-après valent pour chaque famille confrontée au détournement du compte scolaire de son enfant, que ses données figurent ou non parmi celles visées par l’incident national.
Au-delà de cet incident national, de nombreuses familles découvrent le problème à l’échelle individuelle : le compte Pronote ou ENT de leur enfant ne répond plus, des notes ou des messages ont été consultés par un tiers, des identifiants circulent, ou des camarades ont reçu des messages envoyés depuis le compte détourné. La question posée au cabinet est alors très concrète : que faire, dans quel ordre, et sur quels fondements pour sécuriser le compte, faire effacer les données exposées, identifier l’auteur et obtenir réparation. Cet article décrit la méthode complète, telle qu’elle résulte des textes et des décisions vérifiés pour ce dossier.
I. Sécuriser le compte détourné et qualifier pénalement les faits
A. Les réflexes immédiats pour reprendre la main sur le compte
La première heure compte, car un compte de vie scolaire contient des données sensibles : identité, notes, absences, coordonnées des responsables légaux, parfois données de santé signalées à l’établissement. La première mesure consiste à changer le mot de passe depuis un appareil sain et à fermer toutes les sessions actives, puis à vérifier que l’adresse électronique de récupération et le numéro de téléphone associés au compte n’ont pas été modifiés par l’intrus. Toute modification inconnue doit être signalée immédiatement à l’établissement, qui dispose d’un administrateur capable d’intervenir sur les comptes : il faut demander à l’établissement d’imposer le changement des mots de passe concernés : l’administrateur du logiciel de vie scolaire dispose en général d’une fonction qui force les utilisateurs visés, élèves comme responsables, à choisir un nouveau mot de passe à leur prochaine connexion.
La deuxième mesure consiste à activer tous les verrous disponibles. La double authentification, quand l’établissement l’a activée, impose la saisie d’un code complémentaire lors d’une connexion depuis un nouvel appareil, ce qui neutralise en pratique un mot de passe volé. Les familles doivent donc demander à l’établissement si cette option existe dans leur collège ou leur lycée, et l’activer systématiquement quand elle est proposée. Il faut également cesser toute utilisation du mot de passe compromis sur d’autres services, car la réutilisation d’un même mot de passe reste le principal vecteur de rebond d’un compte vers un autre.
La troisième mesure consiste à écrire à l’établissement pour signaler l’incident, par un message qui décrit les faits constatés, leur date et leur heure : connexion impossible, message de changement de mot de passe non sollicité, notes consultées, messages envoyés à des tiers, contenus modifiés. Ce signalement écrit remplit trois fonctions : il permet à l’établissement de prendre des mesures de sécurité, il crée une trace datée utile à toute procédure ultérieure, et il met le responsable du traitement en mesure de respecter ses propres obligations de notification, examinées plus loin. En parallèle, les captures d’écran des messages suspects, des notifications de connexion et des contenus diffusés depuis le compte doivent être conservées avec leurs dates, sans les republier ni les modifier.
La quatrième mesure relève de la vigilance face aux fraudes secondaires. Après la publication de données volées, les victimes reçoivent souvent des courriels ou des messages qui imitent l’établissement, la plateforme ou l’administration pour soutirer de nouveaux identifiants ou des coordonnées bancaires. Le ministère l’écrit sans détour dans son communiqué : il ne demande jamais par courriel, par téléphone ou par message les identifiants de connexion, les mots de passe ou les coordonnées bancaires, et tout message suspect doit être signalé aux autorités académiques sans y répondre ni cliquer sur les liens qu’il contient. Cette consigne vaut pour chaque famille, que les données de son enfant figurent ou non parmi les données exfiltrées. Les messages reçus après le piratage doivent donc être traités avec méfiance : vérifier l’expéditeur réel, ne jamais saisir ses identifiants depuis un lien reçu, et transmettre les tentatives d’hameçonnage à l’établissement.
Enfin, lorsque le compte détourné a servi à diffuser des contenus portant atteinte à l’enfant ou à des tiers, par exemple des messages injurieux envoyés aux camarades ou des documents publiés en ligne, les représentants légaux doivent agir vite pour en limiter la propagation : demander le retrait auprès de la plateforme, conserver la preuve de chaque diffusion, et noter l’identité des destinataires. Ces diligences préparent les demandes d’effacement et l’action en réparation, sans préjuger de l’identité ni des motivations de l’auteur, que seule l’enquête établira.
B. Les qualifications pénales du piratage d’un compte scolaire
L’accès au compte d’autrui sans autorisation et son utilisation à l’insu de son titulaire relèvent des atteintes aux systèmes de traitement automatisé de données. Le premier alinéa de l’article 323-1 du code pénal dispose que le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 euros d’amende. Le même article ajoute que lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de cinq ans d’emprisonnement et de 150 000 euros d’amende. La fraude, au sens de ce texte, tient à l’absence d’autorisation : se connecter avec des identifiants volés, devinés ou récupérés par hameçonnage, ou se maintenir dans le compte après y être entré, suffit à caractériser l’infraction, même si aucune donnée n’a été détruite.
Lorsque l’intrus ne se contente pas de lire mais copie, diffuse ou modifie les données du compte, un second texte entre en jeu. L’article 323-3 du code pénal punit de cinq ans d’emprisonnement et de 150 000 euros d’amende le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient. L’extraction des notes d’un élève, la transmission de ses données à un tiers, la suppression de messages ou la publication de contenus depuis le compte détourné correspondent à ce texte dès lors qu’elles sont accomplies sans droit. Les deux qualifications se cumulent fréquemment : l’accès frauduleux ouvre la voie, l’extraction ou la diffusion l’aggrave.
La Cour de cassation a précisé la portée de ces textes dans un arrêt publié au Bulletin qui intéresse directement les comptes partagés et surveillés. Le 2 septembre 2025, la chambre criminelle a rejeté le pourvoi d’un administrateur réseau qui prenait connaissance, à l’insu de son dirigeant, du contenu des courriels échangés par ce dernier avec des tiers, à des fins étrangères à sa mission, comme le rapporte la décision 24-83.605. La Cour approuve la cour d’appel d’avoir retenu que le prévenu s’est maintenu dans la messagerie à l’insu du titulaire et à des fins étrangères à sa mission. Elle énonce que se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie. Autrement dit, disposer techniquement d’un accès ne vaut pas autorisation d’en faire n’importe quel usage : lire les données d’autrui à son insu, même quand on connaît les codes, reste un maintien frauduleux. La transposition aux comptes scolaires est directe : un camarade qui utilise le mot de passe d’un élève, même communiqué un jour par complaisance, ou un tiers qui exploite une session restée ouverte, agit sans droit dès qu’il consulte ou utilise le compte à l’insu de son titulaire et hors de tout usage légitime.
Quand le piratage s’accompagne d’une usurpation d’identité, par exemple des messages envoyés aux professeurs ou aux camarades en se faisant passer pour l’élève, l’article 226-4-1 du code pénal s’ajoute aux précédents. Ce texte punit d’un an d’emprisonnement et de 15 000 euros d’amende le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, et il précise que l’infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne. Envoyer des messages insultants depuis le compte d’un élève, répondre aux enseignants sous son nom ou diffuser des contenus en son nom exposent donc leur auteur à cette qualification en plus de l’atteinte au système de traitement automatisé. Les peines citées sont celles encourues devant le juge répressif : elles ne préjugent ni de la culpabilité d’une personne identifiée, ni de la peine qui serait effectivement prononcée, seul le juge appréciant les faits poursuivis.
II. Faire effacer les données, identifier l’auteur et obtenir réparation
A. Effacement, accès et plainte devant la CNIL quand l’établissement ne répond pas
Le droit des données personnelles donne aux familles des leviers directs, distincts de la plainte pénale. Le premier est le droit à l’effacement. L’article 51 de la loi du 6 janvier 1978 dispose que le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement européen sur la protection des données, et il ajoute une protection renforcée pour les mineurs : sur demande de la personne concernée, le responsable du traitement est tenu d’effacer dans les meilleurs délais les données à caractère personnel qui ont été collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne concernée était mineure au moment de la collecte. Les comptes de vie scolaire, les espaces numériques de travail et les applications utilisées par les élèves entrent dans ce cadre, et les parents comme l’enfant lui-même peuvent exercer la demande. Lorsque les données diffusées sans droit ont été reprises par un tiers, le responsable qui les lui a transmises doit en outre prendre des mesures raisonnables, y compris d’ordre technique, pour informer ce tiers que la personne concernée a demandé l’effacement de tout lien, de toute copie ou de toute reproduction.
La demande d’effacement s’adresse d’abord au responsable du traitement : l’établissement scolaire, la collectivité qui exploite l’ENT ou l’éditeur selon les cas, idéalement auprès de son délégué à la protection des données. Elle doit identifier précisément les données visées, par exemple les messages envoyés par l’intrus, les documents publiés depuis le compte, ou les copies qui circulent encore. Si la demande reste sans réponse, la loi organise le recours. Le même article 51 prévoit qu’en cas de non-exécution de l’effacement ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation. Ce double délai structure toute la stratégie : écrire vite, dater la demande, puis saisir la CNIL à l’expiration du mois sans réponse ou sans exécution.
Plus largement, avant toute saisine de la CNIL, la règle procédurale est de s’adresser d’abord à l’organisme. La page officielle de la CNIL consacrée aux plaintes indique que l’organisme doit répondre dans les meilleurs délais, et sous un mois maximum, tout en précisant que face à une demande particulièrement complexe ou nécessitant des investigations, l’organisme peut prolonger de deux mois le délai pour répondre. La CNIL attend donc des familles qu’elles aient accompli cette démarche préalable et qu’elles en conservent la preuve, avec les réponses reçues. Si aucune réponse n’est parvenue après un mois, ou si la réponse est incomplète ou erronée, la réclamation devient recevable, et la contestation préalable de la réponse auprès de l’organisme peut parfois suffire à régler le problème, comme la CNIL l’indique elle-même.
Le deuxième levier tient à la minorité de l’enfant. En application du 1 de l’article 8 du règlement européen du 27 avril 2016, un mineur peut consentir seul à un traitement de données à caractère personnel en ce qui concerne l’offre directe de services de la société de l’information à compter de l’âge de quinze ans, et lorsque le mineur est âgé de moins de quinze ans, le traitement n’est licite que si le consentement est donné conjointement par le mineur concerné et le ou les titulaires de l’autorité parentale, selon l’article 45 de la loi du 6 janvier 1978. Le responsable du traitement doit en outre rédiger en des termes clairs et simples, aisément compréhensibles par le mineur, les informations relatives au traitement. Concrètement, les comptes ouverts pour un collégien de moins de quinze ans sans l’accord conjoint des titulaires de l’autorité parentale reposent sur une base fragile, et les familles peuvent exiger la régularisation, la suspension ou la suppression des traitements concernés. Cette exigence éclaire aussi les partages entre parents séparés : l’ouverture, le paramétrage et la surveillance d’un compte scolaire engagent l’autorité parentale, et le désaccord doit être traité comme tel, sans utiliser le compte de l’enfant comme terrain d’affrontement.
Le troisième levier concerne les obligations du responsable après une violation. Lorsque des données d’élèves sont exfiltrées ou exposées, c’est au responsable du traitement, établissement, collectivité ou ministère selon le système compromis, qu’il appartient de documenter l’incident et de le notifier. La procédure officielle de notification prévoit une notification initiale dans un délai de 72 heures si possible à la suite de la constatation de la violation, avec l’obligation d’expliquer les motifs du retard si ce délai est dépassé, puis une notification complémentaire dès que les informations complémentaires sont disponibles. Les familles n’ont pas à accomplir cette notification elles-mêmes, mais elles peuvent s’en prévaloir : demander à l’établissement s’il a notifié la violation, s’il a informé les personnes concernées et quelles mesures de confinement il a prises. Dans l’incident national de l’été 2026, le ministère a saisi la CNIL et indiqué que les représentants légaux des élèves concernés seraient informés individuellement, ce qui illustre exactement ce circuit : notification à l’autorité par le responsable, puis information des personnes et de leurs représentants.
B. Identifier l’auteur, déposer plainte et chiffrer le préjudice
Identifier l’auteur d’un piratage est souvent la difficulté principale : pseudonymes, comptes jetables, connexions masquées. Le droit processuel offre ici un outil puissant, l’article 145 du code de procédure civile, qui permet d’obtenir avant tout procès la communication des données d’identification détenues par les plateformes. Ce texte dispose que s’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé, selon l’article 145 du code de procédure civile. Le demandeur doit justifier d’un procès en germe, c’est-à-dire un litige futur crédible et non manifestement voué à l’échec, et la mesure doit améliorer sa situation probatoire.
Une ordonnance de référé rendue le 11 juin 2025 par le tribunal judiciaire de Paris montre l’efficacité de ce mécanisme après le piratage massif des données d’un opérateur téléphonique. Les sociétés victimes avaient assigné en référé un fournisseur de messagerie pour obtenir les données d’identification des titulaires de deux adresses utilisées par l’auteur du chantage, sur le fondement de cet article. Le juge a retenu qu’il existe en conséquence un procès pénal en germe, non manifestement voué à l’échec, sur le fondement des textes précités, et il a ordonné la communication de l’ensemble des données d’identification en possession des fournisseurs, en leur enjoignant de ne pas informer les titulaires des adresses concernées. Surtout, l’ordonnance rappelle qu’un dépôt de plainte n’est pas de nature à priver le juge des référés des pouvoirs que lui confère l’article 145 du code de procédure civile dès lors qu’aucun juge du fond n’est saisi. Les familles peuvent s’inspirer de ce schéma : plainte pénale d’un côté, et en parallèle, référé devant le président du tribunal judiciaire pour obtenir de la plateforme, du réseau social ou du fournisseur de messagerie les données d’identification de l’auteur des messages ou des diffusions, afin de diriger ensuite l’action au fond contre lui. À Paris comme dans les autres ressorts, cette voie suppose de caractériser précisément les faits, les qualifications envisagées et les données sollicitées, sans quoi le juge refuse la mesure.
La plainte pénale reste le socle de la procédure. Après un piratage de compte scolaire, elle peut être déposée auprès du procureur de la République ou dans un commissariat, en visant les qualifications correspondant aux faits constatés : accès ou maintien frauduleux, extraction ou diffusion frauduleuse de données, usurpation d’identité lorsque des messages ont été envoyés sous le nom de l’élève. Le récépissé de plainte et le procès-verbal doivent être conservés, car ils conditionnent la suite : enquête, identification technique de l’auteur, et constitution de partie civile pour obtenir réparation devant le juge répressif. Dans l’incident national, le ministère a déposé plainte contre X auprès du parquet de Paris, ce qui n’empêche pas chaque famille victime de faits propres à son enfant de déposer sa propre plainte pour ses propres faits. Aucune des décisions consultées pour ce dossier ne tranche de question de prescription applicable à ces faits, et cet article n’énonce en conséquence aucun délai de prescription ni aucun point de départ : les familles doivent agir sans attendre, dès les faits constatés.
L’atteinte à la vie privée de l’enfant fonde en outre l’action civile en cessation et en réparation. L’article 9 du code civil proclame que chacun a droit au respect de sa vie privée, et il permet aux juges, sans préjudice de la réparation du dommage subi, de prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, ces mesures pouvant, s’il y a urgence, être ordonnées en référé. La diffusion des notes, des appréciations, des photographies ou des échanges d’un élève depuis un compte piraté constitue une atteinte de cette nature, et le juge des référés peut ordonner le retrait des contenus, l’interdiction de toute nouvelle diffusion et, le cas échéant, une astreinte. L’urgence se caractérise ici par la propagation en ligne : chaque jour de diffusion aggrave le préjudice et justifie la saisine rapide.
Le préjudice réparable comprend plusieurs postes qu’il faut documenter séparément. Le préjudice moral de l’enfant et de ses parents, lié à l’intrusion dans la scolarité, à l’exposition des notes ou des échanges, aux moqueries ou à l’exclusion qui peuvent suivre, et à la perte de confiance dans l’outil scolaire. À titre d’illustration d’espèce, dans l’arrêt criminel du 2 septembre 2025 cité plus haut, la cour d’appel avait évalué à la somme de 10 000 euros le préjudice certain et important subi par la victime du maintien frauduleux, et la Cour de cassation a jugé qu’elle avait retenu, à bon droit, que la perte de confiance éprouvée par la victime était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal, selon la décision publiée. Ce montant illustre une espèce déterminée et ne constitue ni un barème ni une promesse : chaque préjudice s’apprécie selon les faits, l’âge de l’enfant, l’ampleur de la diffusion et ses conséquences concrètes. S’y ajoutent les préjudices matériels, par exemple les frais engagés pour sécuriser les comptes, faire constater les faits ou republier des contenus, et le temps passé aux démarches. Les captures, les attestations de l’établissement, les signalements, les échanges avec le délégué à la protection des données et la réponse ou l’absence de réponse dans le mois constituent les pièces qui permettent au juge de chiffrer.
En pratique, la chronologie utile tient en cinq temps : sécuriser et tracer dès la découverte, signaler par écrit à l’établissement, exercer les droits auprès du responsable du traitement, saisir la CNIL en cas d’absence de réponse dans le mois, et déposer plainte tout en préparant, si l’auteur reste inconnu, un référé sur le fondement de l’article 145 pour obtenir son identification. Les familles d’Île-de-France suivent exactement le même circuit, avec la particularité que le parquet de Paris est déjà saisi de la plainte du ministère pour l’incident national, sans que cela remplace leur propre plainte pour les faits subis par leur enfant. La réparation suppose des preuves conservées tôt et des demandes formulées avec précision, car le juge n’accorde que ce qui est démontré.
Conclusion
Un compte Pronote ou ENT piraté n’est ni un simple incident technique ni une fatalité de la vie scolaire : les textes punissent l’accès frauduleux, l’extraction et la diffusion des données, ainsi que l’usurpation d’identité commise en ligne, et ils ouvrent aux familles des voies précises pour sécuriser le compte, faire effacer les contenus, identifier l’auteur et obtenir réparation. L’incident national de l’été 2026, reconnu par le ministère lui-même avec plainte contre X et saisine de l’ANSSI et de la CNIL, rappelle que la sécurité des données scolaires engage des responsables identifiés, soumis à des obligations de notification et d’information. Pour chaque enfant concerné, la méthode reste la même : agir vite pour couper l’accès de l’intrus, écrire pour tracer, exercer les droits dans les délais que la loi attache à chaque demande, et porter les faits devant le juge avec des preuves conservées. C’est cette rigueur, plus que la gravité des faits eux-mêmes, qui conditionne l’effacement effectif et la réparation.