En cas de fuite de données chez une auto-école ou un opérateur d’examen du code, le RGPD impose au responsable de traitement de notifier la CNIL sous 72 heures et d’informer les personnes concernées lorsque le risque est élevé. Le candidat, lui, peut exercer ses droits d’accès et d’effacement, puis saisir la CNIL en ligne.
Les auto-écoles et les opérateurs agréés de l’examen du code manipulent des données sensibles : identité, NEPH, pièce d’identité, coordonnées bancaires parfois. Quand ces fichiers fuitent, la loi encadre précisément qui doit prévenir qui, et dans quel délai. Voici l’état du droit, les réflexes utiles et les sources officielles à consulter soi-même.
Une fuite de données dans l’écosystème du permis de conduire n’est pas un incident informatique comme un autre. Entre l’inscription en auto-école, la création du compte ANTS et le passage de l’examen du code chez un opérateur agréé, un candidat laisse derrière lui un dossier complet : état civil, adresse, numéro NEPH, copie de la pièce d’identité, photo, parfois un RIB. Ce sont exactement les éléments qu’exploitent l’usurpation d’identité et l’hameçonnage ciblé.
Cet article ne commente aucun incident particulier. Il décrit ce que le droit prévoit de façon stable, quelles que soient l’entreprise concernée et la date de l’événement, et indique où vérifier l’information de première main.
Qu’est-ce qu’une violation de données personnelles au sens du RGPD ?
Le Règlement général sur la protection des données (RGPD, règlement UE 2016/679) définit la violation de données comme une faille de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données personnelles ou l’accès non autorisé à celles-ci.
Trois situations très différentes relèvent donc de la même qualification juridique : le vol de fichiers par un attaquant, la perte de disponibilité (un chiffrement par rançongiciel qui rend les dossiers inaccessibles) et la simple erreur d’envoi d’un fichier d’élèves au mauvais destinataire.
Dans la chaîne du permis, le responsable de traitement est en principe l’organisme qui décide des finalités du fichier : l’auto-école pour ses dossiers d’élèves, l’opérateur agréé pour les données d’inscription à l’examen du code, l’État pour le système national des permis de conduire. Un prestataire informatique qui héberge les données agit le plus souvent comme sous-traitant, avec ses propres obligations de sécurité.
Que doit faire une auto-école ou un opérateur du code après une fuite ?
Les obligations sont posées par les articles 33 et 34 du RGPD. Elles ne dépendent ni de la taille de la structure ni de la nature de l’attaque.
| Obligation | Qui est concerné | Délai |
|---|---|---|
| Notifier la violation à la CNIL | Le responsable de traitement, sauf si la violation est peu susceptible d’engendrer un risque pour les personnes | 72 heures après en avoir pris connaissance |
| Informer les personnes concernées | Le responsable de traitement, lorsque la violation est susceptible d’engendrer un risque élevé | Dans les meilleurs délais |
| Alerter le responsable de traitement | Le sous-traitant (hébergeur, éditeur de logiciel) | Dans les meilleurs délais |
| Documenter la violation dans un registre interne | Tout responsable de traitement | Systématique, même sans notification |
L’information délivrée aux personnes doit décrire en termes clairs la nature de la violation, les catégories de données touchées, les conséquences probables et les mesures prises. Un message vague du type « un incident technique est survenu » ne satisfait pas l’article 34.
Pour un gérant d’auto-école, la notification se fait directement en ligne sur cnil.fr, via le téléservice dédié aux violations de données. La CNIL publie également un guide de la sécurité des données personnelles qui sert de référence pour justifier des mesures mises en place.
Quelles données du permis de conduire sont les plus exposées ?
- Le numéro NEPH (numéro d’enregistrement préfectoral harmonisé) : identifiant unique du candidat, utilisé pour toutes les démarches liées au permis.
- La copie de la pièce d’identité et la photo d’identité numérique, pièces maîtresses d’une usurpation.
- Les coordonnées : adresse postale, téléphone, e-mail, date de naissance.
- Les données de paiement ou de financement, lorsque l’inscription a été réglée en ligne ou via un dispositif de financement.
- L’historique de formation : examens passés, résultats, heures de conduite.
Le risque dominant après une telle fuite n’est pas la publication des résultats d’examen, mais le phishing contextualisé. Un escroc qui connaît votre nom, votre auto-école, votre NEPH et la date de votre épreuve rédige un message bien plus crédible qu’un spam générique.
Comment réagir quand on est candidat au permis ?
- Ne cliquez sur aucun lien reçu par SMS ou e-mail annonçant un « problème de dossier », un « remboursement d’examen » ou une « reprogrammation urgente ». Les organismes officiels ne demandent jamais de coordonnées bancaires par message.
- Passez par les canaux que vous connaissez déjà : le site de l’ANTS pour votre dossier, le numéro de votre auto-école pris sur votre contrat, le site de l’opérateur tapé à la main dans le navigateur.
- Changez vos mots de passe, en particulier si le même était réutilisé sur plusieurs services, et activez la double authentification quand elle existe.
- Surveillez vos comptes bancaires pendant plusieurs mois et faites opposition immédiatement en cas de prélèvement inconnu.
- Exercez vos droits RGPD auprès de l’organisme : droit d’accès (quelles données détient-il sur vous ?), droit de rectification, droit d’effacement. La demande se fait par écrit, au délégué à la protection des données s’il en existe un.
- Saisissez la CNIL si l’organisme ne répond pas sous un mois ou si sa réponse ne vous satisfait pas. La plainte s’effectue en ligne sur cnil.fr.
Le portail cybermalveillance.gouv.fr, dispositif national d’assistance aux victimes, propose un parcours dédié à l’usurpation d’identité et à l’hameçonnage, avec la liste des démarches et le dépôt de plainte. Les messages suspects peuvent être signalés sur la plateforme Signal Spam ou par le service 33700 pour les SMS.
Peut-on obtenir une indemnisation après une fuite de données ?
L’article 82 du RGPD ouvre un droit à réparation pour toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement. La jurisprudence européenne retient qu’il faut démontrer un dommage réel : la seule existence de la fuite ne suffit pas automatiquement à fonder une indemnisation.
Concrètement, un candidat qui peut établir un préjudice — fraude bancaire, usurpation d’identité avérée, démarches contraintes — dispose d’un fondement plus solide qu’un candidat simplement informé d’une exposition de ses coordonnées. L’action se mène devant le juge civil, indépendamment de la procédure de contrôle menée par la CNIL, qui, elle, sanctionne l’organisme sans indemniser les personnes.
Que doit faire un gérant d’auto-école pour se mettre en conformité ?
Les obligations ne se limitent pas à la gestion de crise. Elles existent en amont, et c’est leur absence qui transforme un incident en manquement sanctionnable.
- Tenir un registre des activités de traitement, obligatoire pour la quasi-totalité des entreprises traitant des données d’élèves.
- Définir des durées de conservation et purger les dossiers des anciens élèves au-delà du délai utile.
- Encadrer les sous-traitants par un contrat conforme à l’article 28 du RGPD : logiciel de gestion d’auto-école, plateforme de code en ligne, prestataire de paiement.
- Limiter les accès aux dossiers selon le rôle de chaque salarié et éviter les comptes partagés.
- Préparer un mode opératoire de notification pour tenir le délai de 72 heures sans improviser.
Où vérifier l’information de première main
Lorsqu’un incident est rendu public, la seule information fiable est celle qui vient des sources primaires, pas des reprises successives :
- Le communiqué officiel de l’entreprise concernée, publié sur son site ou adressé directement aux personnes touchées : il précise les catégories de données en cause et les mesures prises.
- La CNIL (cnil.fr) : textes applicables, téléservice de notification, formulaire de plainte, et le cas échéant communications de l’autorité sur l’affaire.
- cybermalveillance.gouv.fr pour les réflexes de victime et les modèles de démarches.
- Le texte du RGPD et la loi Informatique et Libertés, consultables sur legifrance.gouv.fr et eur-lex.europa.eu.
Règle simple pour un candidat : aucune de ces institutions ne vous contactera pour vous demander un paiement, un code reçu par SMS ou vos identifiants bancaires.
À retenir
- Le RGPD impose au responsable de traitement de notifier une violation de données à la CNIL dans les 72 heures suivant sa prise de connaissance.
- Les personnes concernées doivent être informées individuellement lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.
- Dans le secteur du permis, les données les plus sensibles sont le numéro NEPH, la copie de la pièce d’identité et les coordonnées de paiement.
- Le risque principal après une fuite est l’hameçonnage ciblé : aucun organisme officiel ne demande de coordonnées bancaires par SMS ou e-mail.
- Un candidat peut exercer ses droits d’accès, de rectification et d’effacement, puis déposer plainte en ligne sur cnil.fr si l’organisme ne répond pas.
- L’indemnisation prévue par l’article 82 du RGPD suppose de démontrer un dommage réel, matériel ou moral, devant le juge civil.
Questions fréquentes
Mon auto-école doit-elle me prévenir si mes données ont fuité ?
Oui, lorsque la violation est susceptible d’engendrer un risque élevé pour vos droits et libertés, l’article 34 du RGPD impose au responsable de traitement de vous informer dans les meilleurs délais, en termes clairs, en précisant la nature de la fuite, les données concernées, les conséquences probables et les mesures prises.
Que faire si je reçois un e-mail douteux après une fuite de données ?
Ne cliquez sur aucun lien et ne répondez pas. Vérifiez l’information en passant par un canal que vous connaissez : le site de l’ANTS tapé à la main, ou le numéro figurant sur votre contrat d’auto-école. Signalez le message sur Signal Spam, ou au 33700 s’il s’agit d’un SMS.
Mon numéro NEPH peut-il être utilisé contre moi ?
Le NEPH est un identifiant administratif, pas un moyen de paiement. Son principal risque est de rendre crédible une tentative d’hameçonnage : un escroc qui le connaît paraît légitime. Combiné à une copie de pièce d’identité, il peut en revanche faciliter une usurpation d’identité.
Comment porter plainte auprès de la CNIL ?
La plainte se dépose en ligne sur cnil.fr, via le formulaire dédié. Il est recommandé d’avoir d’abord contacté l’organisme concerné, ou son délégué à la protection des données, et d’attendre sa réponse, le délai de réponse de principe étant d’un mois.
Puis-je être indemnisé pour une fuite de mes données personnelles ?
L’article 82 du RGPD ouvre un droit à réparation du dommage matériel ou moral, mais il faut démontrer un préjudice réel : fraude bancaire, usurpation avérée, démarches subies. L’action se mène devant le juge civil, la CNIL sanctionnant l’organisme sans vous indemniser.
Dois-je changer de mot de passe même si celui de l’auto-école n’a pas fuité ?
Oui si vous réutilisiez le même mot de passe ailleurs. La réutilisation est la principale voie d’exploitation d’une fuite : un identifiant compromis sur un service est automatiquement testé sur d’autres. Activez la double authentification partout où elle est proposée.
Restez informé sur le permis de conduire
Conseils, actu des auto-écoles et bons plans — directement dans votre boîte mail.
Cet article vous a aidé ?
Recevez nos prochains guides et bons plans directement dans votre boîte mail.
