Mme Clémence Guetté interroge Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur la multiplication récente d'inquiétantes fuites de données à grande échelle d'organismes publics ou liés à l'État. Le dernier exemple en date est celle qui a touché près d'un million d'étudiants et d'anciens étudiants à la suite de cyberattaques contre les réseaux des CROUS. Mardi 24 mars 2026, le Centre national des œuvres universitaires et scolaires (Cnous) a annoncé que les données personnelles de 774 000 étudiants avaient été piratées. Selon le groupe cybercriminel Dumpsec, qui a revendiqué l'attaque, ce chiffre atteindrait même deux millions. Parmi ces victimes, 139 000 personnes ont fait l'objet d'une exfiltration de pièces jointes, telles que des photos de pièces d'identité ou des bulletins de salaire. Au total, on recense l'équivalent de 329 000 documents exfiltrés. Cette attaque massive et systémique n'est pas un cas isolé. Au cours du seul mois de mars 2026, deux autres bases de données du secteur de l'enseignement ont été piratées. Ainsi, 243 000 agents de l'éducation nationale ont vu leurs données personnelles piratées, notamment leur adresse personnelle. Par ailleurs, le Secrétariat général de l'enseignement catholique (Sgec) a également été victime d'une cyberattaque de masse la semaine dernière, entraînant le piratage des données administratives d'un million et demi de personnes. Ces millions de données sont désormais mises en vente sur le dark web afin de générer d'importants profits illégaux. Au-delà de la violation manifeste du droit à la protection des données personnelles, ces cyberattaques mettent gravement en danger des millions d'individus. En effet, les victimes peuvent être exposées à du harcèlement, du chantage, des menaces de mort ou encore à des attaques de la part d'individus malveillants en possession de leurs informations personnelles. Alors que le droit à la sûreté est un droit fondamental garanti par la Convention européenne des droits de l'Homme, celui-ci n'a pas été assuré en raison des failles des systèmes de sécurité des bases de données attaquées. Il est urgent de mettre en œuvre les moyens nécessaires pour prévenir les attaques de cybercriminels, toujours plus sophistiquées et sournoises, afin de respecter les dispositions du Règlement général sur la protection des données (RGPD) de 2018. La sécurité des Français se joue désormais en premier lieu sur le terrain numérique. Elle ne peut être garantie sans un investissement massif et ambitieux dans la protection des données personnelles et la cybersécurité. Ainsi, elle lui demande comment elle compte mobiliser tous les moyens nécessaires afin d'éviter aux concitoyens d'être à nouveau victimes de telles fuites de données et de garantir une protection intégrale des utilisateurs.

La menace liée aux vols de données connaît une augmentation notable depuis plusieurs années. En 2025, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a traité 196 incidents ayant donné lieu à des exfiltrations de données, soit une hausse d'environ 70 % par rapport à 2024. Si ces attaques ne constituent que 15 % des attaques informatiques traitées par l'ANSSI en 2025, cette évolution témoigne d'un changement significatif dans les modes opératoires des cybercriminels, avec un pivotement de ces acteurs vers le vol de données. Ce type d'attaques est plus facile et moins coûteux à réaliser que le déploiement de rançongiciels. Cette évolution est également marquée par un recours désormais important des attaquants à des pratiques de bluff, qui se caractérisent par des revendications fantaisistes ou exagérées. Ains, en 2025, l'ANSSI a recensé 460 événements signalés ou revendiqués comme des fuites de données, dont seulement 42 % correspondaient à des compromissions avérées. Dans ce contexte, l'ensemble des organisations, publiques et privées en possession d'un volume important de données, en particulier des données personnelles, ou disposant de données sensibles d'intérêt stratégique peut être visé. Il en va de même des services de l'État. C'est pourquoi le Gouvernement a mis au cœur des priorités de la Stratégie nationale de cybersécurité parue le 29 janvier 2025, le renforcement du socle de cybersécurité de l'Etat. Cette priorité est déclinée dans la Feuille de route des efforts prioritaires en matière de sécurité numérique de l'Etat 2026-2027 présentée par le Premier ministre le 9 avril 2025. Cette feuille de route vise à corriger les fragilités persistantes dans les infrastructures numériques de l'Etat. Elle définit des échéances ambitieuses, notamment en matière de renforcement des authentifications et des accès, mais aussi de traitement des obsolescences, qui tirent directement les conséquences des attaques de ces derniers mois. L'application de cette feuille de route sera rigoureusement suivie par le Gouvernement.