Début juillet 2026, un incident de sécurité informatique a touché un réseau d'écoles supérieures privées françaises, exposant potentiellement les données d'étudiants, de candidats et d'anciens élèves.
Cet épisode remet une question simple sur la table : où sont hébergées les données de votre établissement, et que se passe-t-il si elles sont un jour compromises ?
Voici les faits connus à ce stade, les obligations RGPD qui en découlent pour tout établissement, et les critères concrets à vérifier sur votre propre système de gestion interne.
Le Réseau des Grandes Écoles Spécialisées (GES) a confirmé avoir été victime d'un accès non autorisé à l'un de ses environnements informatiques. Selon les informations relayées par Incyber News, l'intrusion a été détectée le 8 juillet 2026 et a immédiatement déclenché des mesures de confinement et de remédiation.
Les systèmes concernés sont ceux du GIE GES, une structure qui mutualise plusieurs services pour les établissements du groupe : gestion des admissions, suivi des candidatures, relation candidats et scolarité. Le groupe a depuis confirmé avoir notifié la CNIL et informé directement les personnes concernées. Il précise que les mots de passe, les données bancaires, les données de santé et les pièces d'identité ne font pas partie du périmètre identifié à ce stade.
Plusieurs bases de données présentées comme provenant d'établissements du groupe ont ensuite été mises en vente sur des forums cybercriminels, avec des volumes précisés au fil des investigations (jusqu'à environ 90 000 fiches pour l'un des établissements concernés), un chiffre qui pourrait toutefois inclure des doublons ou plusieurs dossiers pour une même personne. Ces revendications ne sont, à ce jour, pas toutes confirmées de façon indépendante. Un rappel utile car dans ce type d'affaire, l'ampleur réelle prend souvent plusieurs semaines à être établie.
Les établissements d'enseignement supérieur privé manipulent, souvent au sein d'un même système d'information, des données à fort volume et à forte sensibilité : dossiers de candidature, parcours académiques, contrats de scolarité, parfois des données liées à l'alternance. Quand ces données circulent entre plusieurs outils, ou quand plusieurs campus d'un même groupe partagent une infrastructure mutualisée, la surface d'exposition augmente mécaniquement.
C'est précisément l'enjeu de la sécurité des données étudiantes dans un contexte de croissance du secteur : plus les établissements se structurent en groupes multi-écoles, plus la question de savoir qui héberge quoi, avec quelles garanties, devient centrale, indépendamment de l'incident particulier évoqué ici.
Sur ce sujet, notre article sur la transformation digitale des écoles détaille les fondamentaux d'un système d'information cohérent, sécurité comprise.
Le cadre juridique est clair et s'applique à tout établissement, quelle que soit sa taille. Selon la CNIL, dès qu'une violation de données à caractère personnel présente un risque pour les droits et libertés des personnes concernées, le responsable de traitement doit :
La notification doit intervenir au plus tard 72 heures après la prise de connaissance de l'incident. Si toutes les informations ne sont pas encore disponibles, une notification initiale suffit, complétée ensuite au fil des investigations.
Lorsque la violation présente un risque élevé pour les personnes (usurpation d'identité, ingénierie sociale, fraude aux frais de scolarité) l'établissement doit les prévenir directement, dans un langage clair, avec des recommandations concrètes (vigilance face aux emails suspects, vérification des expéditeurs, etc.).
Cette obligation s'applique même lorsque la violation ne nécessite pas de notification à la CNIL. Un registre incomplet ou absent constitue en soi un manquement, indépendamment de la gravité de l'incident initial.
Ces obligations ne sont pas propres aux grands groupes : elles s'appliquent à toute école, quel que soit son nombre d'étudiants, dès qu'elle traite des données personnelles.
Sans attendre un incident, plusieurs points méritent d'être clarifiés avec votre prestataire ou votre équipe SI :
Neil, un alié transparent
Neil héberge les données de ses clients sur une infrastructure GCP Europe, conforme RGPD. Concrètement, cela signifie que le traitement reste soumis au droit européen, avec une autorité de contrôle identifiée et un cadre clair pour toute demande d'accès ou de suppression.
La gestion des droits d'accès est nativement intégrée à l'outil, avec un niveau de granularité fin par profil : un établissement peut restreindre précisément la visibilité des données de scolarité, d'admission ou de facturation aux seules personnes qui en ont besoin, sans configuration externe ni contournement.
Cela ne supprime pas à 100% le risque de cyberattaque, qui touche tous les secteurs, mais cela clarifie deux choses essentielles en cas d'incident : la localisation des données et le cadre juridique applicable.