Suis-je responsable si l’un de mes employés tombe dans le piège d’une attaque de phishing ?
Comprendre l’exposition juridique, les risques de non-conformité et les stratégies de prévention intelligentes pour les PME
Pour les petites et moyennes entreprises (PME), un seul e-mail de phishing peut déclencher une cascade de conséquences graves : identifiants volés, perte de données, atteinte à la réputation — et action en justice. Mais votre entreprise est-elle légalement responsable si un employé tombe dans le piège d’une arnaque de phishing ?
La réponse dépend de l’endroit où vous opérez et du type de données en jeu. Dans l’Union européenne (UE), au Royaume-Uni (RU) et aux États-Unis (US), les lois et les attentes varient — mais une idée reste constante : les mesures préventives comptent.
Dans cet article, nous allons explorer :
- Ce que dit la loi dans différentes juridictions
- Dans quels cas les entreprises sont tenues responsables des erreurs de leurs employés
- Comment la formation et les simulations de phishing réduisent les risques
⚖️ Ceci ne constitue pas un conseil juridique. Consultez toujours un avocat qualifié dans votre juridiction pour des conseils précis.
UE : RGPD et NIS2 — La formation comme obligation légale
Dans l’Union européenne, la protection des données est principalement régie par le Règlement général sur la protection des données (RGPD) et, plus récemment, par la directive NIS2.
RGPD : la règle des 72 heures et au-delà
En vertu de l’article 33 du RGPD, les organisations doivent notifier à leur autorité nationale de protection des données toute violation de données à caractère personnel dans un délai de 72 heures à compter du moment où elles en ont connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes concernées.
Si un employé se fait avoir par un e-mail de phishing qui expose des données personnelles (par exemple des e-mails de clients, des dossiers RH, des informations financières), l’organisation doit :
- Informer le régulateur
- Éventuellement informer les personnes concernées (si le risque est « élevé »)
- Documenter l’incident et les mesures d’atténuation prises
L’important n’est pas de savoir si l’attaque de phishing était sophistiquée, mais si l’entreprise disposait de mesures de protection adéquates.
NIS2 : sécurité pour les entités essentielles et importantes
La directive NIS2, en vigueur depuis 2023, relève encore le niveau d’exigence pour les entreprises des secteurs comme la logistique, les transports, la finance, la santé et les services numériques. Elle impose :
- La gestion des risques en cybersécurité
- Des formations régulières des employés
- Des obligations de signalement des incidents
- Des amendes en cas de non-conformité
À retenir ? Même si votre employé a commis une erreur, votre responsabilité peut dépendre de la qualité de votre préparation.
Source : ENISA Threat Landscape 2024
Royaume-Uni : un RGPD à l’anglaise et des sanctions bien réelles
Après le Brexit, le Royaume-Uni a conservé le cadre du RGPD sous la forme du UK GDPR et du Data Protection Act 2018. La plupart des obligations sont identiques à celles de l’UE :
- Signaler les violations de données dans un délai de 72 heures
- Informer les personnes concernées en cas de « risque élevé » pour elles
- Tenir un registre interne de toutes les violations et décisions
Étude de cas : amende d’Interserve (£4,4M)
En 2022, l’ICO a infligé une amende de 4,4 millions de livres sterling à Interserve après qu’une attaque de phishing a exposé plus de 100 000 dossiers d’employés. L’ICO a pointé du doigt une formation insuffisante, des logiciels obsolètes et une surveillance inadéquate comme principales défaillances — pas l’erreur de l’employé.
Au Royaume-Uni, les employeurs sont censés instaurer une culture de sensibilisation à la sécurité. Cela signifie :
- Des formations régulières
- Des simulations d’incidents
- La journalisation et la documentation des risques et des réponses
Source : ICO Enforcement Action
Bonne pratique : NCSC Small Business Guide
États-Unis : un patchwork de lois, avec un seul message — agir vite
Les États-Unis ne disposent pas d’une loi nationale unique sur la notification des violations de données, mais les 50 États ont chacun leurs propres textes. Ceux-ci exigent généralement :
- La notification des personnes concernées
- Souvent dans un délai de 30 à 60 jours après la découverte
- Certains États exigent une notification aux régulateurs
Des États comme la Californie, New York et le Colorado ont des exigences plus strictes, en particulier lorsque des données sensibles sont compromises.
Action fédérale via la FTC
La Federal Trade Commission (FTC) peut sanctionner les entreprises pour des « pratiques déloyales ou trompeuses » — y compris en matière de cybersécurité insuffisante. Ces dernières années, la FTC a clairement indiqué que la formation des employés et la prévention du phishing faisaient partie d’une cybersécurité raisonnable.
- En 2021, la FTC a lancé une campagne d’alerte visant les entreprises qui ne forment pas leurs employés à l’ingénierie sociale.
- Dans plusieurs affaires d’application, l’absence de réaction face à des risques de phishing connus a été qualifiée de négligence.
Source : FTC Data Breach Response Guide
Êtes-vous responsable ? Cela dépend de la préparation
Même si les lois varient, le consensus juridique général dans les différentes juridictions est le suivant :
- Vous n’êtes peut-être pas directement responsable si un employé clique sur un lien de phishing
- Mais vous pouvez être tenu responsable si vous n’avez pas pris de mesures raisonnables pour prévenir l’incident ou en limiter l’impact
Qu’est-ce qu’une mesure raisonnable ?
- Une formation documentée à la sécurité
- Des simulations régulières de phishing
- Un contrôle d’accès et une surveillance solides
- Des plans d’intervention clairs
Les tribunaux et les régulateurs évaluent si la violation était prévisible et si vous avez fait preuve de négligence en la prévenant.
Une équipe formée et bien informée est votre meilleure défense juridique.
Comment les simulations de phishing aident
Les simulations de phishing ne sont pas seulement un outil informatique — ce sont aussi un outil de conformité et de gestion du risque juridique.
Les avantages comprennent :
- Prouver votre diligence raisonnable lors des audits
- Réduire le risque de violations réelles
- Sensibiliser les employés à l’aide d’exemples concrets
- Suivre des indicateurs et les progrès au fil du temps
Des plateformes comme AutoPhish facilitent cela pour les PME :
- Tests de phishing générés par l’IA
- Entièrement conformes au RGPD
- Aucune collecte de données réelles
- Indicateurs continus pour assurer la responsabilité
« Nous formons nos équipes » est une bonne histoire. « Nous simulons, nous rendons compte et nous améliorons » en est une meilleure.
Mot de la fin : documentez tout
En matière d’incidents liés au phishing, votre documentation est votre assurance. Si un régulateur vous interpelle, vous devez être en mesure de montrer :
- Quand la formation a eu lieu
- Comment les simulations ont été menées
- À quelle vitesse vous avez réagi à la violation
- Si les utilisateurs concernés ont été informés (et quand)
✅ Conservez les preuves
✅ Mettez vos politiques à jour régulièrement
✅ Faites travailler ensemble les équipes juridiques et IT
La loi peut pardonner une erreur — mais pas un manque de préparation.
🧑⚖️ Consultez toujours un conseiller juridique afin d’aligner votre programme de cybersécurité sur les lois locales et les exigences propres à votre secteur.