Le ministère de l'Éducation jugé en infraction après une fuite de données sensibles

L'Autorité de protection de la vie privée du ministère de la Justice a annoncé jeudi avoir achevé une procédure de contrôle administrative à l'encontre du ministère de l'Éducation, statuant que ce dernier a enfreint la loi sur la protection de la vie privée et les règlements de sécurité des données à la suite d'une grave fuite d'informations personnelles et médicales sensibles concernant environ 21 000 élèves de l'éducation spécialisée du secteur hassidique et ultra-orthodoxe.

La procédure de contrôle a été ouverte en mars 2025 à la suite de reportages médiatiques selon lesquels les données avaient été diffusées en ligne à des tiers non autorisés. L'enquête a révélé qu'en mai 2024, des employées du ministère avaient créé un formulaire numérique pour rationaliser les affectations et extrait un fichier de données comprenant des détails d'identification, des adresses, l'appartenance religieuse et des informations médicales détaillées sur les handicaps des élèves. Le fichier et le formulaire étaient configurés avec un lien ouvert sans aucune protection ni mot de passe, et ont été envoyés à des responsables d'établissements éducatifs.

L'autorité a statué que le ministère avait manqué à ses obligations en matière de gestion des autorisations, de gestion et d'exploitation du système, de cryptage des données, et qu'il ne disposait ni d'un document de définition de base de données, ni de procédure de sécurité des données, ni d'évaluation des risques valide. En outre, l'argument du ministère de l'Éducation selon lequel sa certification à la norme internationale ISO/IEC 27001 l'exonérerait du respect des règlements a été rejeté. L'autorité a souligné qu'il s'agit d'une violation grave de l'article 17 de la loi sur la protection de la vie privée, qui met en avant l'obligation des organismes publics de protéger les informations sensibles des mineurs.