Transport scolaire : ces données d'élèves dont vous êtes gardien

Le transport de voyageurs s'est numérisé. Les cartes de transport scolaire, les badges sans contact, les applications de réservation, les systèmes de comptage et de géolocalisation des cars, les portails parents : tous ces outils génèrent et stockent des données personnelles. Et quand il s'agit de transport scolaire, ces données concernent des mineurs.

Or le RGPD considère les données des enfants comme méritant une protection particulière. Le fichier de billettique d'un réseau scolaire contient typiquement : nom et prénom de l'élève, date de naissance, établissement fréquenté, arrêt de montée et de descente, horaires, parfois une photo et les coordonnées des parents. Croisées, ces informations permettent de savoir où se trouve un enfant donné, à quelle heure, chaque jour. C'est précisément le type de données dont la fuite est la plus préoccupante.

Beaucoup d'autocaristes raisonnent encore en "transporteur" et n'ont pas pris la mesure de ce basculement : exploiter un service scolaire, aujourd'hui, c'est aussi exploiter une base de données nominative d'enfants.

La première question à trancher est celle de votre rôle au sens du RGPD, car il détermine vos obligations.

• Sous-traitant : si vous traitez les données pour le compte d'une autorité organisatrice de la mobilité (région, syndicat de transport) qui définit les finalités, vous agissez sur instruction. Vous devez alors un contrat de sous-traitance conforme, des mesures de sécurité, et la notification de toute violation au responsable de traitement.
• Responsable de traitement : si vous décidez vous-même des finalités et des moyens — par exemple pour votre propre système de réservation ou de fidélité — vous portez l'intégralité des obligations : base légale, information des personnes, registre des traitements, gestion des droits, notification directe à la CNIL.

Dans la réalité, un même autocariste peut cumuler les deux casquettes selon les services. Ce qui ne change jamais, c'est l'exigence de sécurité des données : c'est sur ce terrain que se joue le risque cyber.

Imaginons l'incident. Un poste de l'exploitation est compromis par un rançongiciel ; l'attaquant exfiltre la base de billettique avant de chiffrer les serveurs. Du jour au lendemain, le fichier nominatif de plusieurs milliers d'élèves se retrouve potentiellement entre des mains malveillantes. Que se passe-t-il ?

1. Notification. S'il y a un risque pour les personnes, la violation doit être notifiée à la CNIL, en principe sous 72 heures, et les personnes concernées (familles) informées lorsque le risque est élevé.
2. Investigation technique. Il faut comprendre l'étendue de la compromission : quelles données, quelle période, quel périmètre. Cela mobilise des experts en réponse à incident.
3. Continuité. Pendant ce temps, le service doit tourner : assurer le transport scolaire le lendemain matin malgré des systèmes hors service est un défi opérationnel coûteux.
4. Sanction et réclamations. La CNIL peut prononcer une sanction ; des familles peuvent demander réparation, et la collectivité cliente peut se retourner contre vous au titre du contrat.

Le coût d'un tel incident se compte rarement en un seul poste : il additionne expertise, communication de crise, frais juridiques, éventuelle sanction et perte de confiance — un cumul que la seule RC Pro n'a pas vocation à absorber.

La RC Pro de l'autocariste couvre les conséquences de vos fautes professionnelles dans l'exécution de vos prestations de transport et d'organisation. Elle n'a pas été conçue pour absorber la mécanique très spécifique d'un sinistre numérique.

La garantie Cyber répond précisément à ce qui manque :

• Réponse à incident : mobilisation d'experts pour contenir l'attaque, restaurer les systèmes et limiter la propagation.
• Frais de notification et de gestion de crise : information de la CNIL et des familles, cellule de communication, accompagnement juridique.
• Investigation forensique : déterminer l'origine et l'ampleur de la compromission.
• Défense et responsabilité : prise en charge en cas de réclamations de tiers et de mise en cause liée à la fuite.
• Pertes d'exploitation consécutives à l'indisponibilité des systèmes, selon les contrats.

Pour l'autocariste qui exploite du scolaire, la combinaison RC Pro + Cyber n'est pas un luxe : c'est l'alignement de la couverture sur la réalité de l'activité, où le risque a glissé du seul accident de la route vers la donnée. Notre page métier récapitule les produits pertinents.

Une bonne couverture cyber suppose une hygiène minimale, que les assureurs regardent de près. Voici les chantiers prioritaires :

1. Cartographier vos données. Recenser où sont stockés les fichiers d'élèves, qui y accède, et combien de temps vous les conservez (la durée doit être justifiée).
2. Restreindre les accès. Limiter l'accès aux fichiers nominatifs aux seules personnes qui en ont besoin, avec des comptes individuels et l'authentification renforcée.
3. Sauvegarder hors ligne. Disposer de sauvegardes déconnectées et testées, première parade contre le rançongiciel.
4. Encadrer la sous-traitance. Vérifier que vos prestataires de billettique et d'informatique offrent des garanties contractuelles et de sécurité.
5. Préparer la réaction. Savoir qui appeler et quoi faire dans les 72 heures : c'est ce délai qui fait la différence entre une crise maîtrisée et une sanction aggravée.

Ces mesures réduisent la probabilité d'un sinistre et, lorsqu'il survient malgré tout, accélèrent la prise en charge par la garantie Cyber.