La cyberattaque révélée par le ministère de l’Éducation nationale ouvre un contentieux qui dépasse la simple interruption d’un intranet. Dans son communiqué du 18 août 2026, le ministère indique qu’une intrusion frauduleuse est intervenue dans la nuit du 25 juillet et qu’elle a pu entraîner « l’exfiltration de données à caractère personnel ». Il précise avoir déposé plainte contre X auprès du parquet de Paris, saisi l’ANSSI et la CNIL, et poursuivre ses expertises pour déterminer la nature exacte et l’étendue des données concernées. La question d’une atteinte aux données d’élèves reste formulée avec prudence : si elle est confirmée, les représentants légaux devront être informés.
Le sujet est devenu public à quelques jours de la rentrée, alors que des applications ont été suspendues dans plusieurs académies et que des personnels signalent encore des difficultés d’accès. Les annonces de rétablissement progressif, de généralisation de la double authentification et de maintien de la rentrée ne règlent toutefois pas les droits des personnes exposées. Un agent, un parent ou un élève doit distinguer la fuite avérée, l’accès non autorisé, le risque d’hameçonnage et le préjudice effectivement subi. Cette distinction commande le choix entre demande d’information, réclamation à la CNIL, plainte pénale et action indemnitaire.
I. Que sait-on de la cyberattaque de l’Éducation nationale et de ses conséquences juridiques ?
A. Que sait-on de l’intrusion du 25 juillet 2026 et des données potentiellement concernées ?
Le premier impératif est de séparer les faits établis des affirmations diffusées par des groupes de pirates ou reprises sur les réseaux sociaux. Le communiqué officiel du ministère de l’Éducation nationale retient trois éléments : une intrusion frauduleuse pendant la nuit du 25 juillet 2026, une exfiltration possible de données personnelles et une enquête technique encore en cours. Le même texte précise que les personnels susceptibles d’être concernés ont été informés individuellement. Il ajoute que des publications du 17 août revendiquent la détention de données relatives à des élèves, sans que le ministère ait encore arrêté le périmètre exact.
Cette formulation n’est pas une faiblesse rédactionnelle. Elle traduit la chronologie normale d’une réponse à incident : l’organisation doit isoler les systèmes, préserver les journaux, vérifier les accès, identifier les tables consultées, rapprocher les copies et mesurer le risque avant d’annoncer une liste définitive. Une capture publiée sur un forum ne suffit pas, à elle seule, à établir l’authenticité d’un fichier, son origine ou l’identité de chaque personne figurant dans celui-ci. Inversement, l’incertitude technique ne prive pas les personnes concernées de leurs droits. Elle impose au responsable du traitement de maintenir une information progressive et intelligible.
Les informations publiques doivent aussi être lues à deux niveaux. Le premier concerne le traitement de données consacré à la gestion des personnels, de leurs fonctions et de leurs relations administratives. Le second concerne les bases scolaires, les environnements numériques de travail et les services d’authentification qui peuvent concerner les élèves, les parents, les enseignants et les personnels administratifs. La CNIL rappelle que le secteur de l’éducation traite notamment des données d’inscription, de suivi scolaire et de suivi infirmier. Cette présentation générale ne signifie pas que toutes ces catégories ont été touchées dans l’incident de juillet. Elle explique pourquoi la qualification du risque doit être individualisée.
Le responsable du traitement n’est pas nécessairement la personne qui gère techniquement le serveur. Dans l’écosystème éducatif, plusieurs acteurs peuvent intervenir : ministère, rectorat, établissement, collectivité territoriale, éditeur de logiciel, hébergeur ou autre prestataire. Le responsable décide des finalités et des moyens essentiels du traitement ; le sous-traitant agit pour son compte selon des instructions documentées. Une même personne peut donc recevoir un message du ministère, utiliser un portail académique et dépendre d’un opérateur différent pour un service numérique. Avant toute demande indemnitaire, il faut identifier le traitement précis, son responsable, le service destinataire de la demande et l’acteur qui détenait effectivement la donnée.
Le message adressé à une personne doit être conservé dans sa forme originale. Il permet de vérifier si l’administration a indiqué la nature de la violation, les catégories de données, les conséquences probables, le point de contact du délégué à la protection des données et les mesures prises. Une notification qui se limite à recommander la prudence ne répond pas forcément à toutes les questions ; elle peut être complétée lorsque l’expertise avance. La date de réception, l’adresse d’expédition, le numéro de dossier et les pièces jointes peuvent devenir utiles si la personne doit démontrer qu’elle a été informée tardivement ou de façon incomplète.
À ce stade, l’article doit rester prudent sur les données qui auraient été extraites. Le ministère a évoqué la possibilité de données d’élèves et l’information individuelle des personnels concernés ; il n’a pas publié une cartographie définitive applicable à chaque famille. Il serait donc imprudent de conclure que chaque élève est victime d’une fuite, que chaque numéro d’identification est exposé ou qu’une indemnisation est déjà due. Le raisonnement juridique doit partir de la notification reçue, du traitement concerné et du dommage personnel, non d’un chiffre anonyme circulant en ligne.
B. Pourquoi une indisponibilité informatique peut aussi constituer une violation de données ?
Une cyberattaque ne se réduit pas à la divulgation de fichiers. La définition publiée par la CNIL est précise : « Une violation de la sécurité se caractérise par la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données, de manière accidentelle ou illicite. » Elle ajoute que l’incident peut compromettre leur intégrité, leur confidentialité ou leur disponibilité. Une messagerie coupée, une liste d’élèves inaccessible ou un portail métier neutralisé peuvent donc relever de la disponibilité, même si aucune publication de base n’est démontrée.
Les témoignages relayés le 25 août par la presse locale toulousaine illustrent cette seconde dimension. Des personnels ont indiqué ne plus pouvoir badger, imprimer des documents ou recevoir certains courriels ; le rectorat a expliqué que des applications étaient suspendues par mesure de prévention et qu’elles seraient rétablies progressivement. Cette reprise de terrain ne prouve pas, pour chaque agent, un dommage indemnisable. Elle montre que la disponibilité des outils et la confidentialité des données sont deux questions liées mais distinctes.
Le compte rendu du Monde du 25 août fait état d’un audit complet et de la généralisation de la double authentification, tandis que le ministre affirme que les enfants pourront reprendre le chemin des cours. Le fonctionnement de la rentrée et la conformité de la sécurité constituent deux plans différents. La restauration d’un service ne fait pas disparaître une consultation non autorisée antérieure ; de même, une interruption préventive peut réduire le risque de diffusion tout en produisant des conséquences professionnelles ou familiales qu’il faudra documenter.
La protection pénale doit elle aussi être répartie selon les auteurs. L’attaque contre le système relève potentiellement de l’atteinte à un système de traitement automatisé de données. L’article 323-3 du Code pénal vise notamment le fait « d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». Le même texte prévoit une aggravation lorsque l’infraction vise un système de données personnelles mis en œuvre par l’État. Cette disposition concerne d’abord l’auteur de l’intrusion et ceux qui participent à l’exploitation ou à la diffusion des données.
Il ne faut pas en déduire que l’État serait automatiquement pénalement responsable du fait de l’attaque. L’article 121-2 du Code pénal dispose que « les personnes morales, à l’exclusion de l’État, sont responsables pénalement » dans les conditions prévues par le texte. Cette exclusion ne rend pas l’administration intouchable : elle laisse subsister les obligations du responsable de traitement, le contrôle de la CNIL, la responsabilité administrative et la responsabilité pénale individuelle lorsque les conditions légales sont réunies. Elle interdit surtout de présenter une plainte contre X comme la preuve d’une faute pénale du ministère.
La question d’une sécurité insuffisante peut être examinée sur le fondement de l’article 226-17 du Code pénal, qui sanctionne le fait de traiter des données personnelles « sans mettre en œuvre les mesures prescrites » par certaines dispositions du RGPD et de la loi Informatique et Libertés. Le texte ne transforme pas chaque piratage en infraction. Il faut établir le traitement, les obligations applicables, l’absence de mesures requises, l’élément imputable à la personne poursuivie et les autres conditions de la poursuite. La présence d’un attaquant extérieur ne suffit ni à exonérer automatiquement le responsable, ni à démontrer automatiquement une carence.
Le même raisonnement s’applique à la notification. L’article 226-17-1 du Code pénal réprime, dans les hypothèses qu’il vise, le fait pour un responsable de traitement de ne pas notifier la violation à la CNIL ou à la personne concernée en méconnaissance des articles 33 et 34 du RGPD. La réponse du ministère — plainte, saisine de la CNIL, information des personnels et expertise progressive — devra être appréciée au regard des faits, des délais et du risque identifié. Le public ne peut pas conclure à une infraction en comparant simplement la date de l’attaque et celle d’un communiqué.
Un autre risque apparaît après la mise en ligne alléguée : des tiers pourraient copier, trier, vendre ou réutiliser les données. L’article 226-18 du Code pénal punit la collecte de données personnelles par un moyen frauduleux, déloyal ou illicite ; les articles 226-21 et 226-22 de la même section peuvent également entrer en discussion selon le détournement ou la divulgation. La Cour de cassation a rappelé, dans son arrêt du 30 avril 2024, n° 23-80.962, que « le fait que les données à caractère personnel collectées par le prévenu aient été pour partie en accès libre sur internet ne retire rien au caractère déloyal de cette collecte » lorsque l’utilisation est dévoyée et réalisée à l’insu des personnes. Cette décision concernait une autre situation ; elle rappelle néanmoins qu’une donnée visible en ligne n’est pas librement exploitable pour n’importe quelle finalité.
Enfin, la CNIL et le juge ne poursuivent pas le même objectif. Une sanction administrative peut prendre en compte la portée de la violation, le nombre de personnes et les catégories de données. Le Conseil d’État l’a illustré dans sa décision du 27 juin 2022, n° 451423, en relevant parmi les critères la « nature, la gravité et la durée de la violation », le nombre de personnes affectées, les catégories de données et la coopération avec l’autorité de contrôle. Cette décision, rendue dans un dossier de traceurs publicitaires, ne tranche pas la cyberattaque de l’Éducation nationale et ne fixe aucune somme pour les victimes. Elle montre seulement que le contrôle institutionnel et la réparation individuelle obéissent à des logiques différentes.
II. Quels recours pour les agents, parents et élèves après une exfiltration de données ?
A. Comment obtenir une information complète et demander une indemnisation ?
Le premier recours est une demande écrite adressée au point de contact mentionné dans la notification, au délégué à la protection des données du responsable du traitement et, si nécessaire, à l’autorité académique concernée. La demande doit rester ciblée. Elle peut demander : le traitement concerné ; les catégories de données effectivement touchées ou encore en cours de vérification ; la date de détection ; la date de notification à la CNIL ; les catégories de destinataires ; le risque retenu ; les mesures de sécurisation ; les consignes de changement d’identifiant ; la durée de conservation des journaux ; et le canal à utiliser pour signaler une tentative d’escroquerie.
Cette démarche s’appuie sur les droits d’accès, de rectification et, lorsque les conditions sont réunies, d’effacement ou de limitation. Elle ne permet pas d’exiger la suppression d’une donnée que l’administration doit conserver pour une obligation légale ou une mission de service public. Elle permet en revanche de demander quelles données personnelles sont traitées, à quelles fins et dans quel périmètre la violation a été évaluée. Une réponse négative doit être motivée ; l’absence de réponse ou une réponse trop générale peut justifier une réclamation à la CNIL.
Les articles 33 et 34 du RGPD sont accessibles dans le texte officiel du règlement. L’article 33 prévoit la notification à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures suivant la connaissance de la violation, sauf absence probable de risque. L’article 34 vise l’information de la personne lorsqu’un risque élevé est susceptible d’affecter ses droits et libertés. La notification à la personne doit décrire, en termes clairs et simples, la nature de la violation, ses conséquences probables et les mesures prises ou proposées. Le délai de 72 heures est donc une obligation pesant sur le responsable envers la CNIL ; ce n’est pas un délai imposé à la victime pour réclamer une indemnisation.
Une réclamation à la CNIL est pertinente lorsque l’identité du responsable, l’information reçue, la sécurité ou la réponse à une demande de droits posent difficulté. La CNIL explique que les articles 33 et 34 du RGPD organisent la réaction aux violations. La réclamation doit être accompagnée de la notification reçue, des échanges, des relances et des éléments permettant de comprendre le risque. La CNIL peut contrôler, demander des explications, imposer des mesures ou prononcer une sanction lorsqu’elle est compétente. Elle ne remplace pas le juge de l’indemnisation et ne verse pas directement des dommages-intérêts à la personne qui la saisit.
La demande d’indemnisation repose sur un autre mécanisme. L’article 82 du RGPD ouvre un droit à réparation du dommage matériel ou moral causé par un traitement qui méconnaît le règlement. La personne doit rattacher trois éléments : une violation, un dommage et un lien de causalité. La Cour de justice l’a formulé dans l’arrêt du 4 mai 2023, C-300/21, Österreichische Post : « Le droit à réparation prévu par le RGPD est subordonné de manière univoque à trois conditions cumulatives : une violation du RGPD, un dommage matériel ou moral résultant de cette violation et un lien de causalité entre le dommage et la violation. » La simple annonce d’un incident ne suffit donc pas à établir une créance automatique.
La jurisprudence européenne reconnaît toutefois que le dommage moral n’exige pas nécessairement une atteinte spectaculaire. Dans l’arrêt du 14 décembre 2023, C-340/21, Natsionalna agentsia za prihodite, la Cour de justice indique que « La crainte d’un potentiel usage abusif de ses données à caractère personnel par des tiers qu’une personne éprouve à la suite d’une violation du RGPD est susceptible, à elle seule, de constituer un “dommage moral”. » Le même arrêt rappelle que le juge doit examiner concrètement le caractère approprié des mesures de sécurité et que la divulgation par des cybercriminels ne fait pas disparaître, par elle-même, la responsabilité possible du responsable du traitement.
Cette solution ne doit pas être caricaturée. Dans l’arrêt du 25 janvier 2024, C-687/21, MediaMarktSaturn, la Cour a exigé que la personne établisse un dommage et a refusé de déduire un dommage moral du seul fait qu’un document avait été transmis à un tiers qui n’en avait pas pris connaissance, lorsque la crainte de diffusion restait abstraite. Le dossier d’un agent qui reçoit un courriel de phishing reprenant des informations exactes, d’un parent confronté à une usurpation de compte ou d’une personne dont les données sont effectivement publiées ne présente pas le même degré de preuve. La demande doit expliquer ce qui s’est passé, quand et pourquoi l’incident est la cause du dommage invoqué.
Le choix du juge dépend de l’auteur du traitement et de la nature de la demande. Lorsque la réclamation vise directement le fonctionnement d’un service public et la responsabilité de l’État ou d’un établissement public, le contentieux indemnitaire relève en principe de la juridiction administrative, sous réserve des textes et de la qualification exacte. L’article L. 211-1 du Code de justice administrative dispose que les tribunaux administratifs sont les « juges de droit commun du contentieux administratif ». Pour situer le traitement dans son environnement de responsabilité et de contentieux, la page Droit des affaires présente la verticale éditoriale dans laquelle s’inscrit l’analyse des responsabilités des organisations. Une demande indemnitaire préalable adressée à l’administration permet de fixer l’objet du litige et de réunir les pièces ; la requête contentieuse doit ensuite respecter les délais et règles de compétence applicables.
Un prestataire privé, une société éditrice ou un organisme distinct peut relever du juge judiciaire, selon son rôle, le contrat et la nature du traitement. Les articles 1240 et 1241 du Code civil sont utiles pour les acteurs soumis au droit civil : l’article 1240 énonce que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » ; l’article 1241 ajoute que chacun répond du dommage causé « par sa négligence ou par son imprudence ». Ces textes ne déterminent pas, à eux seuls, le juge compétent pour un traitement administratif et ne dispensent pas de démontrer une faute, un dommage et un lien causal lorsque le régime applicable les exige.
Pour un agent public, le préjudice peut être lié à la confidentialité de ses coordonnées, à une utilisation frauduleuse de son identité, à une perte financière ou à une interruption de travail. Une demande doit distinguer la violation de données et le préjudice professionnel né de l’indisponibilité des applications. Les heures perdues, les démarches imposées, les frais de remplacement, une convocation manquée ou une difficulté de rémunération ne se présument pas : il faut les relier à une période et à un service précis. Un agent peut demander à son administration une attestation de l’indisponibilité, les consignes de continuité et la conservation des traces d’accès utiles au dossier.
Pour un élève mineur, le représentant légal exerce les démarches dans l’intérêt de l’enfant, sous réserve des règles applicables à l’exercice des droits. Il ne doit pas attendre que des données apparaissent sur un site clandestin pour demander des explications. Il peut solliciter la confirmation du traitement, conserver la notification reçue par l’établissement et demander quelles mesures concernent le compte de l’enfant. Si aucune notification individuelle ne confirme que cet élève est concerné, une action indemnitaire fondée sur une simple rumeur serait fragile. La prudence protège aussi la vie privée : il ne faut jamais joindre à un courrier une copie inutile de données sensibles ni republier la liste supposée volée.
La compétence peut devenir plus complexe lorsque le traitement associe plusieurs acteurs. Une adresse de messagerie académique, un compte d’authentification et un dossier scolaire peuvent relever de responsables différents. Il est alors possible d’adresser une demande coordonnée à chacun, en décrivant la donnée et le service concernés, puis de déterminer la part de responsabilité de chaque intervenant. Le RGPD n’autorise pas à choisir le défendeur le plus visible sans vérifier son rôle. Une demande trop générale risque d’être renvoyée d’un interlocuteur à l’autre ; une demande structurée par traitement permet de réduire ce risque.
Une action collective ou un mandat par une association peut être envisagé dans les conditions du RGPD et du droit français, mais cette voie ne dispense pas de documenter le dommage propre à chaque personne lorsqu’une indemnisation individuelle est sollicitée. La réparation d’un dommage moral n’est pas un forfait automatique attaché à la qualité d’agent, de parent ou d’élève. Le juge apprécie les conséquences concrètes, la nature des données, la durée du risque, la réalité des démarches subies et la causalité. Les barèmes annoncés sur les réseaux sociaux ne remplacent pas cette analyse.
B. Quelles démarches effectuer immédiatement pour préserver ses droits ?
La première démarche consiste à constituer un dossier chronologique. Il faut conserver le courriel ou le courrier officiel, l’en-tête technique lorsque cela est possible, les captures de l’espace numérique, les messages de l’établissement, les interruptions constatées et les réponses du service d’assistance. Pour chaque événement, notez la date, l’heure, le compte concerné, le service inaccessible, la personne contactée et la conséquence. Un journal daté vaut mieux qu’un récit reconstitué plusieurs mois plus tard. Les fichiers doivent être conservés dans leur format d’origine et ne pas être modifiés par des annotations.
La deuxième démarche consiste à ne pas aggraver l’exposition. Il ne faut pas télécharger, tester, commenter ou transmettre un fichier présenté comme issu de l’attaque. Il ne faut pas saisir ses identifiants sur une page reçue par courriel, même si elle reprend le nom d’une académie. Le ministère rappelle qu’il ne demande jamais par message les mots de passe, les identifiants ou les coordonnées bancaires. Un message suspect doit être conservé, puis signalé par un canal officiel sans cliquer sur son lien. La preuve de l’hameçonnage peut comprendre le message, son adresse d’expédition, la date, la capture de la page et toute perte consécutive.
La troisième démarche est technique et immédiate : changer, depuis le portail officiel, tout mot de passe réutilisé sur un autre service ; activer la double authentification lorsqu’elle est proposée ; déconnecter les sessions inconnues ; vérifier les règles de transfert automatique d’une messagerie ; et surveiller les connexions ou opérations inhabituelles. Un changement de mot de passe ne répare pas une exfiltration déjà réalisée. Il limite cependant le risque qu’un identifiant récupéré dans un ancien fichier serve à prendre le contrôle d’un compte actuel. Les familles doivent également vérifier les comptes parent, les espaces de travail et les applications connectées au compte de l’enfant.
La quatrième démarche consiste à écrire au bon interlocuteur. Un courrier ou courriel doit indiquer l’identité de la personne, le traitement concerné, la qualité d’agent, de parent ou d’élève, la date de la notification et les questions précises. La personne peut demander la confirmation de son inclusion dans le périmètre, la catégorie de données, les mesures de réduction du risque et le point de contact pour les demandes de droits. Elle doit éviter d’envoyer une pièce d’identité complète si elle n’est pas nécessaire ; si une vérification est exigée, demandez le canal sécurisé et la finalité de la copie.
La cinquième démarche est la réclamation à la CNIL si la réponse reste absente, incohérente ou insuffisante. Joignez la notification, la demande initiale, les relances et la réponse reçue. Expliquez le risque sans reproduire la donnée prétendument volée. Une plainte à la CNIL ne suspend pas automatiquement les délais d’une action indemnitaire et ne remplace pas une demande préalable à l’administration. Si la personne souhaite obtenir réparation, elle doit mener les deux démarches en parallèle avec une stratégie cohérente : l’autorité de contrôle examine la conformité générale ; le juge examine le dommage individuel et sa causalité.
La sixième démarche concerne la plainte pénale. Une personne victime d’un hameçonnage, d’une usurpation, d’un prélèvement ou d’une diffusion de données peut signaler les faits à la police ou à la gendarmerie, ou adresser une plainte au procureur de la République. La plainte du ministère contre X n’interdit pas une plainte individuelle décrivant un fait distinct ou un dommage personnel. Les messages, numéros de téléphone, adresses de sites, relevés bancaires, captures et certificats d’incident doivent être conservés. Ne vous présentez pas comme détenteur d’une base volée si vous n’avez fait que recevoir un message ou voir une publication : décrivez exactement ce que vous avez consulté et comment.
La septième démarche est la demande indemnitaire. Pour un agent ou un usager rattaché au traitement d’un service public, adressez une demande motivée à l’administration identifiée comme responsable, en chiffrant séparément les frais, pertes, temps consacré, conséquences professionnelles et préjudice moral. Pour une donnée gérée par un prestataire privé, adressez une demande à ce prestataire et à son donneur d’ordre si le rôle de chacun le justifie. La lettre doit rappeler la date de l’incident et de la notification, décrire la donnée, exposer le dommage, joindre les pièces et demander la conservation des journaux ainsi que des éléments d’enquête utiles. Elle ne doit pas présenter comme certain un périmètre que le ministère dit encore vérifier.
La huitième démarche est la préservation des éléments de causalité. Une opération bancaire frauduleuse doit être signalée immédiatement à la banque et documentée par le relevé, le message d’alerte et la réponse de l’établissement. Une usurpation d’identité doit être signalée aux services compétents, avec copie des démarches. Une incapacité à travailler doit être rapprochée des plages d’indisponibilité des applications et des instructions hiérarchiques. Une anxiété liée à la crainte d’un usage abusif doit être exposée de façon circonstanciée : appels reçus, démarches, surveillance imposée, perturbation du quotidien, consultation médicale éventuelle. La seule formule « mes données sont peut-être en ligne » est moins probante qu’un faisceau d’éléments datés, sans qu’un dommage spectaculaire soit nécessaire.
La neuvième démarche consiste à préserver la stratégie de procédure. Les échanges avec l’administration doivent rester courtois et factuels ; les demandes multiples et contradictoires compliquent la lecture du dossier. Si une juridiction administrative est susceptible d’être saisie, le demandeur doit vérifier la nécessité d’une décision préalable, les règles de délai et l’adresse exacte du défendeur. L’article L. 911-1 du Code de justice administrative prévoit que le juge peut prescrire une mesure d’exécution lorsqu’une décision implique nécessairement qu’une personne publique prenne une mesure déterminée. Cette disposition ne constitue pas une injonction automatique de publier la liste des données ; elle peut soutenir, selon le litige, une demande précise de mesure administrative lorsque les conditions sont réunies.
La dixième démarche est de distinguer la réparation de la suppression d’une donnée. Si une information exacte a été copiée sur un site tiers, les demandes de retrait, de déréférencement et de limitation peuvent suivre des régimes différents. Dans sa décision du 5 juin 2019, n° 18-14.675, la première chambre civile de la Cour de cassation a examiné la demande de déréférencement de données relatives à une condamnation ancienne et a rappelé que la finalité du moteur de recherche pouvait être différente de celle du site source. Cette décision ne traite pas l’attaque de l’Éducation nationale et ne promet pas un effacement généralisé. Elle montre que la stratégie doit identifier le détenteur, le moteur, le contenu, la finalité du traitement et la mesure demandée.
Un dernier point concerne la rentrée et la continuité du service. Si un établissement demande de transmettre une information par un canal de secours, utilisez le canal communiqué par l’administration et conservez la preuve de l’envoi. Si une famille ne peut pas accéder à un document scolaire, elle doit demander une solution alternative plutôt que chercher une copie sur un forum. Si un agent subit un retard ou une erreur en raison d’une application indisponible, il doit avertir sa hiérarchie et demander une consigne écrite. Ces démarches limitent la perte de chance et permettent de séparer, dans le futur dossier, le dommage dû à l’attaque de celui dû à une absence de continuité après la découverte de l’incident.
Conclusion
La cyberattaque de l’Éducation nationale est juridiquement ouverte, mais son périmètre n’est pas encore définitivement public. Les faits officiels établissent une intrusion du 25 juillet, une exfiltration possible, une plainte contre X, la saisine de l’ANSSI et de la CNIL, ainsi qu’une information individuelle des personnels susceptibles d’être touchés. Les revendications relatives aux données d’élèves doivent encore être confrontées aux expertises techniques. Cette incertitude interdit les affirmations générales, mais elle justifie une action méthodique.
Chaque agent, parent ou élève doit d’abord identifier le traitement et le responsable, préserver la notification, sécuriser ses comptes et demander des explications précises. La CNIL peut contrôler la conformité de la réaction ; la plainte pénale peut documenter l’attaque et les fraudes ; le juge compétent peut être saisi d’une demande de réparation lorsque la violation, le dommage et le lien causal sont établis. La crainte d’un usage abusif peut constituer un dommage moral, mais la seule existence d’une actualité ne crée pas une indemnité automatique. La qualité du dossier dépendra de la chronologie, des pièces et de la distinction entre risque théorique, indisponibilité du service et préjudice personnel.
Besoin d’un avis rapide sur votre dossier.
Une consultation téléphonique en 48 heures avec un avocat du cabinet permet d’évaluer la notification reçue, les pièces à préserver et le responsable du traitement à saisir.
Une consultation téléphonique en 48 heures avec un avocat du cabinet permet également de choisir entre réclamation, plainte et demande indemnitaire, selon le dommage réellement documenté.
06 46 60 58 22 — Prendre contact avec le cabinet
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.