Confier ses données à un fournisseur soumis au droit américain, c'est accepter un risque que l'on ne maîtrise pas. Mais reprendre la main ne veut pas dire bricoler : sécuriser des données sensibles est un métier. Ici, on documente les signaux qui comptent — coupures de service, accès aux données, batailles juridiques, défauts de sécurisation — et les alternatives souveraines qui tiennent la route.
Cette page s'adresse à celles et ceux qui choisissent les outils d'une organisation et portent la responsabilité des données qu'on leur confie : données d'élèves, de patients, d'usagers, de citoyens. Deux écueils symétriques les guettent : confier ces données à un acteur soumis au droit américain, ou croire qu'on peut les héberger soi-même sans en payer le prix. Entre les deux, il y a un métier.
Un risque de coupure
Un service critique hébergé chez un acteur américain peut être suspendu du jour au lendemain, sur décision de Washington — hors de tout contrôle européen.
Un cadre juridique fragile
Les accords qui autorisent l'envoi de données vers les États-Unis ont déjà été invalidés deux fois. Bâtir sa conformité dessus, c'est bâtir sur du sable.
Sécuriser est un métier
Reprendre la main ne veut pas dire bricoler. Un serveur monté « en interne » sans compétences dédiées, sans supervision ni sauvegardes testées, ne supprime pas le risque : il le déplace. L'ANSSI documente des attaques réussies « d'un niveau technique limité », tirant simplement parti du faible niveau de sécurisation des entités visées.
Des alternatives réelles
Des administrations entières migrent vers des solutions souveraines et open source, opérées par des hébergeurs professionnels certifiés (HDS, SecNumCloud). La question n'est plus « est-ce possible », mais « avec qui, et selon quelles garanties ».
Conséquence directe de l'intrusion du 25 juillet : le ministère suspend par précaution l'accès à des applications métiers dans plusieurs académies. Le 21 août, des proviseurs de Nantes, Toulouse et Bordeaux se retrouvent sans messagerie ni portail Arena — le point d'entrée unique vers I-Prof et Siecle. Impossible de savoir quels enseignants sont affectés, de bâtir les emplois du temps, de payer les factures de l'été ou d'écrire aux familles. À Bordeaux, l'ANSSI a fait désactiver le mécanisme d'authentification « OTP-ODA », jugé porteur de vulnérabilités : le dispositif de sécurité lui-même devient le point de rupture. Aucune solution de connexion alternative n'est proposée, et le niveau de verrouillage varie d'une académie à l'autre.
Pour un décideurUne intrusion ne coûte pas que des données : elle coûte des semaines de fonctionnement, au pire moment de l'année. La continuité de service — mode dégradé, accès de secours, délai de remise en route engagé — se prépare avant l'incident. C'est ce qu'un hébergeur professionnel contractualise et qu'un serveur monté en interne n'offre presque jamais.
Dans la nuit du 17 au 18 août 2026, le groupe ZeroBytes publie sa revendication : environ 43 Go répartis dans plus de 2 600 fichiers, extraits via un accès VPN conservé plusieurs semaines. Après déduplication, 1,22 million d'élèves distincts — identité, date et lieu de naissance, adresse, identifiant national élève, responsables légaux, mais aussi notes, évaluations, absences et dossiers disciplinaires. S'y ajoutent plus de 4,35 millions de matricules de personnels issus d'I-Prof et deux annuaires LDAP (environ 602 000 entrées, empreintes de mots de passe comprises), pour des archives remontant à 2005 dans les académies de Créteil et Versailles. Le ministère n'a pas confirmé l'ampleur des données revendiquées.
Pour un décideurLe groupe résume l'échec d'une phrase : « Vous m'aviez détecté, mais vous ne m'aviez pas coupé. » Détecter ne suffit pas : encore faut-il une équipe capable de couper l'accès, jour et nuit, avant que l'exfiltration ne s'achève. Ce sont ici des bulletins et des dossiers disciplinaires d'enfants qui circulent.
Le 19 août 2026, le ministre des Comptes publics présente des excuses publiques après une troisième intrusion à la Direction générale des Finances publiques : au moins 678 000 particuliers et professionnels exposés — revenu fiscal de référence, quotient familial, taux de prélèvement, données cadastrales. Le gouvernement reconnaît une dette technique accumulée depuis des décennies sur la protection de ses infrastructures critiques ; le Premier ministre a recadré l'ANSSI par courrier et la CNIL a ouvert ses vérifications. Les attaquants, eux, justifient leurs intrusions par le seul défaut de sécurisation des services visés.
Pour un décideurQuand l'État, avec ses moyens et son agence nationale de cybersécurité, admet des décennies de retard sur ses propres systèmes, l'idée qu'un établissement puisse sécuriser seul ses données d'élèves « pour pas cher » ne résiste pas à l'examen.
Dans la nuit du 25 au 26 juillet 2026, le service de formation des personnels a été compromis par la simple usurpation d'un compte professionnel. Sont concernés « un nombre important d'agents ayant exercé en académie depuis 2001 » : identité, coordonnées, et pour certains le numéro de sécurité sociale. C'est la troisième intrusion de l'année, après le portail Compas et ÉduConnect.
Pour un décideurUn seul compte usurpé suffit à exposer vingt-cinq ans d'archives. Sans détection ni supervision continues, héberger « chez soi » n'est pas se protéger : c'est ignorer l'incident plus longtemps.
Le premier organisme de recherche français bascule d'Exchange vers Zimbra (20 M€ d'économies sur six ans), abandonne Zoom (400 k€/an) et déploie CNRS-Emmy, une IA bâtie avec Mistral déjà utilisée par plus de 13 000 personnes. Un cas concret où la souveraineté allège la facture au lieu de l'alourdir.
Pour un décideurMigrer vers des briques souveraines peut être un levier d'économies, pas seulement une contrainte de conformité.
Après le Schleswig-Holstein, un nouveau Land allemand délaisse SharePoint et les outils Microsoft au profit de Nextcloud et OpenProject, via l'agence publique DVZ-MV. La bascule concerne déjà 5 000 agents, avec une cible de 50 000 fonctionnaires, sur fond de crainte du CLOUD Act.
Pour un décideurLe mouvement open source des administrations européennes s'élargit et se normalise : ce n'est plus un cas isolé.
Le 29 juin 2026, la Cour suprême américaine (Trump v. Slaughter) a validé la révocation par le président de dirigeants d'agences fédérales, sapant l'indépendance de la FTC — indépendance invoquée 259 fois dans la décision d'adéquation qui fonde le DPF. Max Schrems et d'autres appellent l'UE à préparer « une sortie ordonnée du cloud américain ».
Pour un décideurLe socle juridique des transferts UE–États-Unis se fragilise à nouveau : anticiper une possible invalidation du DPF (clauses contractuelles, hébergement souverain) devient prudent.
Présenté le 3 juin 2026, le Cloud and AI Development Act (CADA) vise à tripler la capacité des datacenters européens et instaure une certification cloud à quatre niveaux reprenant des principes de SecNumCloud (protection contre les lois extraterritoriales). Son article 18 pourrait toutefois ouvrir la certification à des fournisseurs non-européens sous conditions d'équivalence, d'où des critiques de « sovereignty-washing ».
Pour un décideurUn label européen de souveraineté cloud arrive, mais ne pas confondre « conforme CADA » et « hors de portée du CLOUD Act » : tout dépendra des arbitrages à venir.
Six ans après sa création chez Microsoft, la Plateforme des données de santé migre vers Scaleway (groupe Iliad), pour un contrat d'environ 6 millions d'euros sur quatre ans. Entre-temps, la CNIL avait toujours refusé d'y transférer le Système national des données de santé, au nom du CLOUD Act et du FISA — paralysant de fait le projet. L'établissement justifiait initialement son choix par l'insuffisance des offres françaises ; il reconnaît aujourd'hui que celles-ci ont rattrapé leur retard.
Pour un décideurUn mauvais choix d'hébergeur a bloqué six ans un projet national de recherche. Vérifier l'immunité juridique de son hébergeur avant de démarrer coûte infiniment moins cher que migrer après.
Quatre fuites en quelques mois : des élèves via ÉduConnect (décembre 2025, révélée en avril), 243 000 enseignants diffusés sur le dark net, 770 000 usagers des Crous, 1,5 million de personnes à l'enseignement catholique. Toutes par usurpation de compte — alors que le ministère admet son retard sur la double authentification et une « dette technique » majeure : des applications nationales dupliquées dans 30 académies, sur des centres informatiques obsolètes. Le budget de sécurité informatique atteint 6 millions d'euros en 2026, pour 12 millions d'élèves et 1,2 million de personnels.
Pour un décideurLe ministère le reconnaît : « nous ne pouvons pas tout faire d'un coup ». Quand la sécurité dépend d'un rattrapage étalé sur des années, les données, elles, sont déjà dehors — et ce sont des attaquants aux capacités techniques moyennes qui les ont prises.
Selon le Future of Technology Institute, 23 des 28 pays étudiés (UE et Royaume-Uni) font reposer des fonctions essentielles à leur sécurité nationale sur des technologies américaines ; 16 sont jugés très exposés à un « kill switch » américain, dont l'Allemagne, la Pologne et le Royaume-Uni. La France est classée à risque moyen. Le rapport souligne que les offres « cloud souverain » vendues par les acteurs américains ne règlent pas la dépendance : elles restent soumises au droit américain, et leurs mises à jour de sécurité peuvent être suspendues en cas de sanctions.
Pour un décideurLe précédent existe : les États-Unis ont privé l'Ukraine des images satellites de Maxar après une brouille diplomatique. Un fournisseur peut couper le service — ou, plus discrètement, cesser de le maintenir à jour. Le second cas est tout aussi grave.
La direction interministérielle du numérique acte son passage de Windows à Linux et demande à chaque ministère un plan de souveraineté (postes de travail, outils collaboratifs, bases de données…) avant l'automne 2026. C'est la traduction opérationnelle, au sommet de l'État, des alertes sur la dépendance aux géants américains.
Pour un décideurL'État français passe du constat à l'obligation d'agir : DSI et fournisseurs publics doivent intégrer un plan de sortie de dépendance daté.
Le 24 mars 2026, le CNOUS annonce l'exfiltration des données du site mesrdv.etudiant.gouv.fr, qui gère les rendez-vous avec les services sociaux et du logement — soit dix ans d'historique. Pour 635 000 personnes, nom, adresse e-mail et objet du rendez-vous ont été dérobés ; pour 139 000 autres, ce sont les pièces jointes déposées dans leur dossier. Le site a été suspendu, la CNIL saisie et une plainte déposée.
Pour un décideurL'objet d'un rendez-vous avec un service social en dit long sur la situation d'une personne. Une donnée « administrative » devient sensible dès qu'on la recoupe : c'est le contexte qu'il faut protéger, pas seulement la case du formulaire.
Le 21 mars 2026, l'application de gestion du premier degré Gabriel, éditée par NetSTIM pour le Secrétariat général de l'Enseignement catholique — qui fédère 96 % des établissements privés sous contrat —, a livré les données administratives de 1,5 million de personnes : 800 000 élèves du primaire, leurs familles et 40 000 enseignants. Deux jours plus tard, le portail Compas de l'Éducation nationale exposait 243 000 agents et stagiaires, via l'usurpation d'un compte externe.
Pour un décideurLes données d'élèves se revendent, et les structures qui les gèrent sont rarement outillées pour les défendre. Exiger de son éditeur ou de son hébergeur des garanties vérifiables — certification, audits, plan de réponse à incident — n'est pas une formalité.
Sur les 1 366 incidents portés à la connaissance de l'ANSSI en 2025, l'éducation et la recherche pèsent 34 % des cas, devant les ministères et collectivités territoriales (24 %) et la santé (10 %). L'agence relève que plusieurs attaques contre des établissements du secondaire ont été menées par « des attaquants d'un niveau technique limité, mais tirant parti du faible niveau de sécurisation de ces entités ».
Pour un décideurCe ne sont pas des attaques sophistiquées qui font tomber ces établissements, mais l'absence de compétences dédiées. La sécurité est une fonction à financer et à confier à des professionnels, pas une case à cocher.
Dans un rapport du 31 octobre 2025, la Cour des comptes juge la bataille du matériel et du logiciel perdue et désigne la maîtrise des données sensibles comme seul vrai levier ; elle dénonce des clouds ministériels (Nubo, Pi) sous-utilisés et non convergents, et formule cinq recommandations (stratégie chiffrée pilotée par la DINUM, cartographie des données sensibles, outils souverains dès 2026).
Pour un décideurLe juge des comptes valide la priorité aux données sensibles et à une stratégie chiffrée : une caution institutionnelle utile pour justifier des budgets de souveraineté.
Le recours du député Philippe Latombe contre l'accord encadrant les transferts de données UE–États-Unis a été rejeté par le Tribunal de l'UE, mais la contestation se poursuit devant la Cour de justice. Le socle juridique reste fragile.
Pour un décideurLe cadre qui autorise aujourd'hui l'envoi de données vers les USA a déjà été invalidé deux fois (Safe Harbor, Privacy Shield). Bâtir sa conformité dessus, c'est bâtir sur du sable.
Après les sanctions américaines visant la CPI, le compte de messagerie Microsoft du procureur Karim Khan a été désactivé. Un fournisseur privé a exécuté, de fait, une décision politique de Washington contre une institution internationale basée en Europe.
Pour un décideurUn service critique hébergé chez un acteur américain peut être suspendu du jour au lendemain, pour des motifs géopolitiques totalement hors de votre contrôle.
Dans le sillage d'un land allemand (Schleswig-Holstein), le Danemark engage la migration de son administration vers Linux et LibreOffice, explicitement pour reprendre le contrôle de sa souveraineté numérique.
Pour un décideurSortir des solutions américaines n'est pas une utopie : des administrations entières le font. La question n'est plus « est-ce possible » mais « quand commence-t-on ».
Le futur schéma européen de certification cloud (EUCS) a été vidé de ses exigences d'immunité aux lois extraterritoriales. La CNIL met en garde : un cloud « certifié européen » pourrait rester légalement accessible aux autorités étrangères.
Pour un décideurUn label « européen » ne garantit pas l'étanchéité juridique. Il faut regarder qui contrôle réellement l'entreprise et à quel droit elle est soumise.
L'Éducation nationale confirme que les versions gratuites d'Office 365 et Google Workspace ne peuvent plus être utilisées dans les établissements, faute de conformité RGPD — dans le sillage de l'Allemagne, du Danemark et des Pays-Bas.
Pour un décideurLe « gratuit » des GAFAM se paie en données et en risque juridique. Pour des données d'élèves, l'outil par défaut est rarement l'outil conforme.
Dès 2019, l'hébergement des évaluations de CP sur un serveur Amazon en Irlande enflamme les salles des maîtres. Surtout, le RGPD fait du chef d'établissement le « responsable de traitement » de toutes les applications utilisées entre ses murs — sans lui en donner les moyens : « je n'ai pas le personnel qualifié », résume le proviseur d'un lycée de 1 800 élèves. Un fonctionnaire de rectorat rappelle qu'il suffit de croiser deux fichiers ordinaires pour reconstituer, de fait, des données sensibles.
Pour un décideurOn transfère une responsabilité juridique par circulaire, jamais une compétence. Confier la protection de données scolaires à des équipes sans expertise dédiée, c'était organiser l'échec — annoncé sept ans avant les fuites de 2026.
Aucune entrée pour ce thème pour l'instant.
La souveraineté, ce n'est pas un slogan
PSYCAJOUR héberge des données scolaires et de santé sensibles en France, sous certification HDS et sans dépendance aux GAFAM. Ni cloud américain, ni bricolage maison : protéger ces données est un métier, qui s'exerce avec des garanties vérifiables. Cette veille prolonge cet engagement.