Informatique/TIC - Un fichier de notes partagé par WhatsApp : que faire après la fuite ?
Au lycée de Maradi, un enseignant de mathématiques crée un tableur nommé notes_2024.xlsx. Il y saisit les noms, dates de naissance, notes trimestrielles, adresses et numéros de téléphone des parents de 1 200 élèves. Pour gagner du temps, il dépose le fichier sur un stockage en ligne et partage un lien sans mot de passe dans un groupe WhatsApp de 45 personnes, comprenant des collègues, des surveillants et quelques parents. Une élève découvre le lien, ouvre le fichier et publie une capture d’écran montrant les notes et les numéros de téléphone de plusieurs camarades. L’enseignant affirme qu’il n’a « rien fait de grave » car le groupe est privé et que le fichier n’est qu’une simple liste. La seule sauvegarde du fichier se trouve sur une clé USB personnelle, non chiffrée, rangée dans son bureau.
1. Identifier les manquements en matière de protection des données, de sécurité et de continuité du service.
Read the worked answer
Trois familles de problèmes.
- Minimisation et finalité : le fichier contient des données non nécessaires aux notes (adresses, téléphones des parents, dates de naissance) et n’a pas de durée de conservation.
- Accès : lien ouvert, sans mot de passe, partagé à 45 personnes, dont des parents ; aucun contrôle des rôles.
- Sécurité et continuité : fichier non chiffré, une seule sauvegarde sur clé USB personnelle, aucune procédure de restauration.
S’y ajoutent l’absence d’information des familles et la diffusion d’une capture d’écran, qui aggrave l’exposition. Un groupe WhatsApp « privé » n’est pas un espace sécurisé : les membres peuvent transférer, et les données peuvent être copiées. Dire que ce n’est « qu’une liste » minimise la nature personnelle des informations.
2. Proposer un plan de mesures immédiates et structurelles pour corriger la situation.
Read the worked answer
Mesures immédiates : révoquer le lien, supprimer le fichier du stockage en ligne, demander aux membres du groupe de supprimer la copie et la capture, ne pas rediffuser.
Mesures structurelles : plateforme scolaire avec comptes nominatifs et authentification à deux facteurs ; principe du moindre privilège (enseignants → leurs classes, direction → agrégats) ; pseudonymes ou identifiants plutôt que noms ; chiffrement de la clé USB ; deux sauvegardes, dont une hors site ; politique de conservation et de suppression ; registre des incidents ; désigner un responsable. Former les enseignants : un lien partagé n’est pas une autorisation.
Enfin, vérifier la base légale et informer les familles. La sécurité doit être proportionnée au risque, pas ajoutée après la fuite.
3. L’enseignant minimise. Que doit faire la direction : communiquer aux familles, sanctionner, signaler ? Rédiger une position argumentée.
Read the worked answer
Transparence d’abord : informer le proviseur et le responsable de la protection des données, puis les familles concernées, avec des faits vérifiés et des excuses. Expliquer les risques (hameçonnage, moqueries, usurpation) et les mesures prises. Ne pas minimiser par « rien de grave » : la gravité vient de la nature des données et de la diffusion.
Éviter de punir l’élève de manière disproportionnée ; elle a révélé une faille, mais la diffusion de la capture doit être traitée selon le règlement. Si des données sensibles ou un grand nombre de personnes sont concernées, signaler à l’autorité nationale de protection des données. Enfin, tirer un enseignement : revoir les pratiques de toute l’équipe, pas seulement celles de l’enseignant.