Neil, le blog — Ressources pour directeurs d'établissements privés

Cyberattaque en école supérieure privée : RGPD et sécurité ERP

Rédigé par Laurentina Lopes | 25 août 2026, 15:41:21

Début juillet 2026, un incident de sécurité informatique a touché un réseau d'écoles supérieures privées françaises, exposant potentiellement les données d'étudiants, de candidats et d'anciens élèves.

Cet épisode remet une question simple sur la table : où sont hébergées les données de votre établissement, et que se passe-t-il si elles sont un jour compromises ?

Voici les faits connus à ce stade, les obligations RGPD qui en découlent pour tout établissement, et les critères concrets à vérifier sur votre propre système de gestion interne.

Ce que l'on sait de l'incident

Le Réseau des Grandes Écoles Spécialisées (GES) a confirmé avoir été victime d'un accès non autorisé à l'un de ses environnements informatiques. Selon les informations relayées par Incyber News, l'intrusion a été détectée le 8 juillet 2026 et a immédiatement déclenché des mesures de confinement et de remédiation.

Les systèmes concernés sont ceux du GIE GES, une structure qui mutualise plusieurs services pour les établissements du groupe : gestion des admissions, suivi des candidatures, relation candidats et scolarité. Le groupe a depuis confirmé avoir notifié la CNIL et informé directement les personnes concernées. Il précise que les mots de passe, les données bancaires, les données de santé et les pièces d'identité ne font pas partie du périmètre identifié à ce stade.

Plusieurs bases de données présentées comme provenant d'établissements du groupe ont ensuite été mises en vente sur des forums cybercriminels, avec des volumes précisés au fil des investigations (jusqu'à environ 90 000 fiches pour l'un des établissements concernés), un chiffre qui pourrait toutefois inclure des doublons ou plusieurs dossiers pour une même personne. Ces revendications ne sont, à ce jour, pas toutes confirmées de façon indépendante. Un rappel utile car dans ce type d'affaire, l'ampleur réelle prend souvent plusieurs semaines à être établie.

Pourquoi ce type d'incident touche particulièrement l'enseignement supérieur privé

Les établissements d'enseignement supérieur privé manipulent, souvent au sein d'un même système d'information, des données à fort volume et à forte sensibilité : dossiers de candidature, parcours académiques, contrats de scolarité, parfois des données liées à l'alternance. Quand ces données circulent entre plusieurs outils, ou quand plusieurs campus d'un même groupe partagent une infrastructure mutualisée, la surface d'exposition augmente mécaniquement.

C'est précisément l'enjeu de la sécurité des données étudiantes dans un contexte de croissance du secteur : plus les établissements se structurent en groupes multi-écoles, plus la question de savoir qui héberge quoi, avec quelles garanties, devient centrale, indépendamment de l'incident particulier évoqué ici.

Sur ce sujet, notre article sur la transformation digitale des écoles détaille les fondamentaux d'un système d'information cohérent, sécurité comprise.

Ce que le RGPD impose en cas de violation de données

Le cadre juridique est clair et s'applique à tout établissement, quelle que soit sa taille. Selon la CNIL, dès qu'une violation de données à caractère personnel présente un risque pour les droits et libertés des personnes concernées, le responsable de traitement doit :

Notifier la CNIL dans un délai de 72 heures

La notification doit intervenir au plus tard 72 heures après la prise de connaissance de l'incident. Si toutes les informations ne sont pas encore disponibles, une notification initiale suffit, complétée ensuite au fil des investigations.

Informer les personnes concernées en cas de risque élevé

Lorsque la violation présente un risque élevé pour les personnes (usurpation d'identité, ingénierie sociale, fraude aux frais de scolarité) l'établissement doit les prévenir directement, dans un langage clair, avec des recommandations concrètes (vigilance face aux emails suspects, vérification des expéditeurs, etc.).

Documenter l'incident dans un registre interne

Cette obligation s'applique même lorsque la violation ne nécessite pas de notification à la CNIL. Un registre incomplet ou absent constitue en soi un manquement, indépendamment de la gravité de l'incident initial.

Ces obligations ne sont pas propres aux grands groupes : elles s'appliquent à toute école, quel que soit son nombre d'étudiants, dès qu'elle traite des données personnelles.

Ce qu'un établissement peut vérifier sur son propre système d'information 

Sans attendre un incident, plusieurs points méritent d'être clarifiés avec votre prestataire ou votre équipe SI :

  • Où sont hébergées les données ? Un hébergement en Europe, soumis au RGPD, limite les zones grises juridiques en cas d'incident transfrontalier. C'est aussi ce qui détermine quelle autorité de contrôle est compétente et selon quel droit vos données peuvent être saisies ou consultées.

  • Qui a accès à quoi ? La centralisation des données de scolarité, d'admission et de facturation dans un même outil facilite le contrôle des accès, à condition que les droits soient correctement paramétrés par profil.

  • Comment les sauvegardes sont-elles gérées ? Une sauvegarde régulière et testée conditionne la capacité à restaurer un service rapidement après un incident. L'existence d'une sauvegarde ne suffit pas : encore faut-il savoir à quelle fréquence elle est réalisée et si sa restauration a déjà été testée en conditions réelles.

  • Le contrat avec l'hébergeur prévoit-il une clause de notification rapide ? En cas de sous-traitance (hébergeur cloud, prestataire technique), l'article 28 du RGPD impose que le sous-traitant alerte le responsable de traitement sans délai. Un point à vérifier dans vos contrats existants, car un délai de notification flou côté prestataire peut, à lui seul, vous empêcher de tenir le délai de 72 heures imposé à l'établissement.

Neil, un alié transparent

Neil héberge les données de ses clients sur une infrastructure GCP Europe, conforme RGPD. Concrètement, cela signifie que le traitement reste soumis au droit européen, avec une autorité de contrôle identifiée et un cadre clair pour toute demande d'accès ou de suppression.

La gestion des droits d'accès est nativement intégrée à l'outil, avec un niveau de granularité fin par profil : un établissement peut restreindre précisément la visibilité des données de scolarité, d'admission ou de facturation aux seules personnes qui en ont besoin, sans configuration externe ni contournement.

Cela ne supprime pas à 100% le risque de cyberattaque, qui touche tous les secteurs, mais cela clarifie deux choses essentielles en cas d'incident : la localisation des données et le cadre juridique applicable.

RDGP et sécurité ERP

A lire aussi