Après les mots de passe imprimés dans les carnets de correspondance, L’Ouest Républicain poursuit sa grande tournée de la cybersécurité scolaire. Direction le 9-3-Du-Bas pour une application pour le moins surprenante du RGPD au lycée Jacques Feyder : à Épinay-sur-Seine, un lycée a publié sur Internet une liste d’élèves. Alerté par un parent, l’établissement semble avoir découvert une technologie de pointe : le marqueur.
Il fallait bien terminer cette semaine de rentrée comme elle avait commencé.
Il y a quelques jours, nous découvrions qu’un établissement scolaire pouvait encore distribuer à ses élèves un identifiant et un mot de passe imprimés dans un carnet de correspondance, avec même un emplacement permettant soigneusement de recopier le nouveau mot de passe juste à côté.
Nous pensions avoir atteint un joli niveau.
C’était sous-estimer l’Éducation nationale et son formidable réservoir d’innovation numérique.
Cette fois, quittons le Haut-Doubs et prenons la direction du 9-3-Du-Bas, plus précisément du lycée Jacques-Feyder, à Épinay-sur-Seine.
Ici, le sujet n’est plus de savoir où ranger son mot de passe.
Il est de savoir combien d’informations concernant les élèves on peut mettre sur Internet avant que quelqu’un se demande si c’était vraiment une excellente idée.
📰 Dans cet article
🔐 Cet article traite d’accès aux données. Pensez aussi à protéger les vôtres.
Un mot de passe solide ne règle pas tout, mais il évite déjà quelques ennuis. L’Ouest Républicain met à votre disposition un générateur de mot de passe sécurisé, gratuit et utilisable en quelques secondes.
Le mot de passe est généré directement dans votre navigateur : il n’est ni enregistré, ni transmis à notre serveur.
👉 Générer un mot de passe sécurisé
🧑💻 RGPD au lycée : « Consulter sa classe », mais vraiment tout le monde
Un parent d’élève nous a contactés après avoir découvert que les listes de classes avaient été affichées sur les grilles du lycée, côté rue, et publiées sur le site Internet de l’établissement1.
Selon les éléments qu’il nous a transmis, le document que nous avons consulté comporte notamment les noms, prénoms, classes et dates de naissance des élèves.
On ne parle donc pas d’un trombinoscope disponible derrière une authentification ENT, ni d’un document envoyé individuellement aux familles.
On parle d’un document proposé depuis le site Web public du lycée.
Et ce vendredi matin, au moment où nous écrivons ces lignes, la page « Informations de rentrée – Année scolaire 2026/2027 » comporte toujours une rubrique parfaitement explicite : « Consulter sa classe », accompagnée d’un fichier PDF téléchargeable présenté comme la liste complète des élèves. Nous n’avons évidemment pas téléchargé ni exploité ce fichier : constater qu’il est publiquement proposé suffit largement à notre bonheur rédactionnel.
Parce qu’à L’Ouest Républicain, nous sommes vieux jeu.
Quand un fichier est susceptible de contenir des données personnelles concernant des mineurs, notre premier réflexe consiste bizarrement à ne pas exploiter ce qu’il y a dedans.
Une lubie.
🖍️ Alerte RGPD : sortez le marqueur
L’histoire deviendrait presque banale si elle s’arrêtait là.
Une erreur de publication, ça arrive. Un mauvais fichier envoyé, une page mal configurée, un document qui aurait dû être réservé aux familles : on corrige, on retire le fichier, on analyse ce qui s’est passé et on évite de recommencer.
Mais notre lecteur a précisément signalé le problème au lycée dès lundi.
Faute de pouvoir joindre quelqu’un par téléphone, les personnels étant selon lui en séminaire de rentrée, il adresse un courriel à l’établissement.
« Les enfants, ne diffusez jamais inutilement vos informations personnelles sur Internet. Le cours est terminé. Pour connaître votre classe, cliquez sur le PDF public contenant les informations personnelles de vos camarades. »
Résumé du 1er cours consacré à la protection des données de l’enfant
Réponse reçue mardi matin : le nom de son fils a été barré au marqueur sur la liste physique affichée dans la rue.
Pour Internet, en revanche, il lui est expliqué qu’il faudra davantage de temps.
Voilà.
Le RGPD au XXIᵉ siècle avait manifestement besoin d’un Stabilo.
Le parent insiste alors : le problème n’est évidemment pas que son enfant à lui apparaisse sur la liste. Le problème est la publication du document et des informations concernant l’ensemble des élèves qui y figurent.
Et c’est là que l’histoire atteint cette forme de perfection administrative que nous pensions réservée aux Cerfa en quatre exemplaires.
Selon son récit, une nouvelle version de la liste a ensuite été publiée jeudi.
Avec la date de naissance de son fils masquée.
La sienne.
On imagine le raisonnement : un parent signale un problème concernant potentiellement tout un fichier ; on protège les données de l’enfant du parent qui s’est plaint.
Pour les autres, merci de prendre un ticket.
🔐 La CNIL avait pourtant laissé le corrigé
Le plus cruel est que la question n’exige même pas un master en cybersécurité.
La CNIL consacre précisément une fiche aux listes de classes affichées lors de la rentrée scolaire. Elle rappelle que l’affichage à l’extérieur d’un établissement peut révéler des informations importantes, notamment la localisation d’un enfant pendant sa scolarité. Surtout, elle rappelle le principe le plus élémentaire du RGPD : la minimisation des données.
La date de naissance ?
La CNIL indique qu’elle ne devrait apparaître que si elle est réellement nécessaire, par exemple pour distinguer des homonymes.
Autrement dit, la règle n’est pas : « Puisque nous possédons l’information, imprimons-la. »
Encore moins : « Puisque nous l’avons imprimée, mettons le PDF sur Internet. »
Quant au ministère de l’Éducation nationale, il rappelle lui-même que, dans le second degré, le chef d’établissement est responsable de traitement pour les traitements relevant de l’établissement. Le ministère présente par ailleurs le RGPD comme un cadre imposant une démarche responsable et protectrice concernant les données des élèves.
C’est contrariant, ces sites officiels.
Ils laissent des traces.
🌐 Une fuite de données sans pirate, c’est plus écologique
Ces derniers mois, les administrations françaises ont suffisamment fourni l’actualité en matière de cybersécurité pour qu’on puisse éventuellement commencer à distinguer deux concepts.
Il y a d’abord la cyberattaque : quelqu’un cherche à obtenir des informations qu’il n’est pas censé posséder.
Et puis il existe une méthode beaucoup plus économique : mettre soi-même le document sur son site Internet.
- Pas besoin de phishing.
- Pas besoin de ransomware.
- Pas besoin de mot de passe « Azerty1234 ».
- Pas même besoin de demander à Djäysonne de redémarrer le serveur avec du vinaigre blanc.
- Un navigateur suffit.
L’Éducation nationale consacre par ailleurs une partie de son discours institutionnel à apprendre aux élèves à protéger leur identité numérique, leurs données et leur vie privée. C’est une excellente idée.
La pédagogie par l’exemple présente néanmoins quelques limites.
« Les enfants, ne diffusez jamais inutilement vos informations personnelles sur Internet. Le cours est terminé. Pour connaître votre classe, cliquez sur le PDF public contenant les informations personnelles de vos camarades. »
Même Djäysonne trouverait le scénario un peu gros.
🧀 Dans le Haut-Doubs, on va finalement garder nos carnets
Nous avions commencé la semaine avec des mots de passe distribués sur papier.
Nous la terminons avec des données d’élèves publiées sur le Web et un parent qui doit apparemment expliquer qu’en matière de protection des données, résoudre uniquement son cas personnel ne résout pas le problème collectif qu’il vient précisément de signaler.
Finalement, notre établissement au carnet de correspondance vintage vient presque de remonter dans le classement.
Presque.
À L’Ouest Républicain, nous attendons désormais avec impatience le troisième volet de cette rentrée numérique.
À ce rythme, vendredi après-midi, quelqu’un devrait nous envoyer un fichier Excel intitulé :
« NE PAS DIFFUSER – Élèves – données confidentielles – version publique.xlsx »
En attendant, petit rappel révolutionnaire à destination des établissements scolaires : les données personnelles des élèves ne sont pas des fournitures de rentrée.
Et contrairement aux cahiers 24 × 32, elles ne sont pas forcément destinées à être distribuées à tout le monde.
Retrouvez
RGPD au lycée Jacques Feyder : les élèves sont servis sur le Web 🧑💻
sur nos réseaux
🍷 Le débat se poursuit dans Le Comptoir de L’Ouest Républicain, le groupe de discussion rattaché à la page, et modéré par Gisèle.
🔗 D’autres rebondissements, révélations ou photos floues à propos de ce sujet vous attendent sur nos réseaux :
🔗 Des mots vous semblent obscurs dans cet article ? Vous êtes probablement des gens du Doubs-Du-Bas, ou de la France-Du-Bas. Pas de panique : on vous aime quand-même, mais on vous suggère fortement de jeter un œil à notre glossaire.
- Site consulté le 04/09/2026 à 10:50, la liste est toujours en ligne ↩︎
