← Retour au blog

Formation au phishing respectueuse de la vie privée : comités d’entreprise, consentement et essentiels du RGPD

Comment concevoir un programme à la fois efficace *et* convivial pour les employés : options d’anonymisation, conservation des données et avis clairs

Par Équipe Autophish|Publié le 8/24/2025
Cover image for Formation au phishing respectueuse de la vie privée : comités d’entreprise, consentement et essentiels du RGPD

⚖️ Cet article donne des informations générales — pour toute décision spécifique concernant votre organisation, consultez un avocat qualifié dans votre juridiction.

TL;DR

Vous pouvez mener des simulations de phishing efficaces dans l’UE sans braquer les salariés ni risquer la non-conformité, à condition de :

  1. vous appuyer principalement sur les intérêts légitimes (et non sur le consentement) et de documenter une mise en balance ;
  2. associer les comités d’entreprise dès le début et formaliser des garde-fous dans un accord d’entreprise lorsque c’est requis ;
  3. donner la priorité à l’anonymisation/pseudonymisation, à une conservation courte et à des mentions transparentes ; et
  4. réaliser une AIPD si votre contexte fait apparaître un risque élevé (par ex. surveillance systématique).

1) Base légale : pourquoi les intérêts légitimes l’emportent généralement sur le consentement

Dans le contexte de l’emploi, le consentement est rarement librement donné en raison du déséquilibre de pouvoir entre employeur et salarié. Les Lignes directrices 05/2020 sur le consentement du Comité européen de la protection des données soulignent que le consentement des salariés n’est valable que dans des circonstances exceptionnelles, sans conséquence défavorable en cas de refus. Pour des simulations de phishing, l’article 6(1)(f) intérêts légitimes constitue un meilleur fondement, à documenter au moyen d’une évaluation des intérêts légitimes (LIA) qui met en balance vos besoins de sécurité avec les droits et attentes des employés.

Bonnes pratiques pour la LIA

  • Définir l’intérêt poursuivi (sensibilisation à la sécurité ; prévention de la fraude).
  • Cartographier les attentes raisonnables des salariés (la formation est normale ; le profilage clandestin ne l’est pas).
  • Lister les mesures d’atténuation (voir sections 3–5).
  • Expliquer pourquoi le consentement serait inadapté dans votre contexte.

Références : EDPB Lignes directrices 05/2020 sur le consentement ; considérant 47 du RGPD (attentes raisonnables).

2) Comités d’entreprise : l’Allemagne et l’Autriche en ligne de mire

Si vous intervenez dans des pays où la codétermination est forte, impliquez le comité d’entreprise avant le déploiement.

  • Allemagne (BetrVG §87(1) no 6) : le comité d’entreprise codétermine la « mise en place et l’utilisation de dispositifs techniques destinés à surveiller le comportement ou la performance des salariés ». Même des tableaux de bord simples peuvent déclencher cette règle ; un Betriebsvereinbarung (accord d’entreprise) fixant le périmètre, le traitement des données et les garanties est donc une pratique courante.
  • Autriche (ArbVG §96(1) no 3) : les mesures de surveillance et les systèmes techniques susceptibles d’affecter la dignité humaine exigent le consentement du comité d’entreprise (ou un consentement individuel s’il n’existe pas de comité).

Ce qu’il faut inclure dans l’accord/la politique d’entreprise
Finalité et périmètre, base légale, données collectées au strict minimum, aucune utilisation disciplinaire des seuls indicateurs, qui voit quoi, calendrier de conservation et d’anonymisation, liste des prestataires (sous-traitants/sous-sous-traitants), droits des salariés, et clause de révision annuelle.

Sources : Allemagne — BetrVG §87(1) no 6 (texte officiel en anglais) ; analyse de Luther Law. Autriche — résumé Eurofound de l’ArbVG §96(1) no 3 ; note explicative de Schoenherr.

3) Anonymisation vs pseudonymisation (et ce que cela change pour les rapports)

  • Anonymisation (considérant 26 du RGPD) : une fois les données réellement anonymes, le RGPD ne s’applique plus.
  • Pseudonymisation (art. 4(5) RGPD) : les données restent personnelles si elles peuvent être rattachées à nouveau via des clés distinctes ; il faut donc les traiter en conséquence.

Modèle de reporting centré sur la vie privée

  • Par défaut, privilégier des agrégats par équipe/site.
  • Utiliser des identifiants aléatoires stables pour l’analyse des tendances plutôt que des noms ; conserver la clé à part avec un contrôle d’accès strict.
  • Afficher les résultats individuels uniquement à un groupe restreint ayant besoin d’en connaître (par ex. responsable sensibilisation sécurité + RH), et seulement lorsque c’est nécessaire pour un accompagnement ciblé.
  • Ne jamais collecter de vrais mots de passe ; si un utilisateur tente de soumettre des identifiants, afficher une page de formation et rejeter toute saisie.

Pour un exemple concret de mise en œuvre de ces concepts par une plateforme, consultez l’aperçu d’anonymisation d’AutoPhish : https://autophish.io/anonymization

4) Conservation : plus court, c’est plus sûr (et imposé par le principe)

Le principe de limitation de la conservation du RGPD impose de conserver des données personnelles sous une forme permettant d’identifier les personnes pas plus longtemps que nécessaire au regard de la finalité déclarée. Pour les programmes de phishing, de nombreuses PME adoptent une fenêtre en deux temps :

  • Fenêtre opérationnelle (par ex. 30–90 jours) : données identifiables disponibles pour le coaching et la remédiation.
  • Après campagne, analytique : ensuite, agréger/anonymiser, et ne garder que des tendances non identifiantes pour le suivi des KPI à long terme.

Documentez cela dans votre registre des activités de traitement de l’article 30 et dans votre notice d’information destinée aux salariés.

5) Mentions d’information : soyez transparents et simples (art. 13)

Avant votre première campagne, fournissez une courte note interne (ou mettez à jour votre politique de confidentialité interne) qui explique : la finalité (sensibilisation à la sécurité), la base légale (intérêts légitimes), les données collectées (par ex. e-mail, service, événements de clic/signalement), la durée de conservation, qui peut accéder aux données au niveau individuel (rôles limités), l’absence d’usage disciplinaire d’un événement isolé, les droits des salariés (accès/opposition) et un contact (DPO ou responsable vie privée).

Modèle prêt à adapter à votre contexte

Nous menons régulièrement des simulations de phishing pour renforcer la sensibilisation à la sécurité et réduire le risque de fraude. Nous traitons votre nom, votre adresse e-mail professionnelle, votre service et vos interactions avec les simulations (par ex. ouvert/signalé/saisi). Notre base légale est l’intérêt légitime (RGPD art. 6(1)(f)). Les données au niveau individuel ne sont visibles que par l’équipe sensibilisation sécurité (et les RH lorsque c’est nécessaire pour un accompagnement ciblé). Nous conservons les données identifiantes pendant [X jours] puis les agrégons/anonymisons. Nous ne stockons jamais de vrais mots de passe. Vous pouvez exercer vos droits (accès/opposition, etc.) via [contact]. Voir [lien vers votre notice complète de confidentialité pour les salariés].

6) Avez-vous besoin d’une AIPD ?

Une analyse d’impact relative à la protection des données (AIPD) est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes concernées (art. 35). Les autorités et le CEPD indiquent que la surveillance des salariés peut déclencher une AIPD — surtout lorsque le traitement est systématique ou concerne des personnes vulnérables. Si votre programme introduit un nouvel outil, des métriques à grande échelle ou des transferts transfrontaliers, mieux vaut faire une AIPD par prudence.

À couvrir : finalité/nécessité, alternatives (options moins intrusives), flux de données, risques, mesures d’atténuation (anonymisation, minimisation, accès par rôles, conservation courte, coaching sans culpabilisation) et plan de révision périodique.

7) Fournisseurs et transferts internationaux

Si vous utilisez une plateforme, vous êtes le responsable de traitement et elle est sous-traitante ; signez un accord de traitement des données conforme aux exigences de l’article 28 (sécurité, contrôle des sous-traitants ultérieurs, assistance pour les droits des personnes, suppression en fin de service). Si le fournisseur ou ses sous-traitants ultérieurs sont situés hors de l’EEE, mettez en place les clauses contractuelles types et réalisez une évaluation du risque de transfert.

8) NIS2 : si vous êtes concerné, la formation n’est plus optionnelle

Pour les entités couvertes par la directive NIS2, la direction doit superviser les mesures de gestion des risques cyber (art. 20) et veiller à une formation appropriée ainsi qu’à des processus de gestion des incidents (art. 21). Même si vous n’êtes pas concerné, l’exigence posée par NIS2 constitue un bon point de repère pour les PME.

9) Une architecture pratique, respectueuse de la vie privée, qui fonctionne quand même

  • Entrée de données : nom, e-mail, équipe et manager (facultatif). Pas d’e-mails personnels ; pas de catégories particulières.
  • Pendant la campagne : ne collecter que les données d’événements (délivré, cliqué, signalé, saisi). Si un utilisateur tente d’entrer des identifiants, afficher une formation et ne capturer aucun secret.
  • Contrôle d’accès : l’équipe sensibilisation peut voir les cohortes et les identifiants anonymisés
  • Conservation : 30–90 jours pour les données identifiées → anonymisation automatique ; conserver les agrégats pour les tendances d’une année sur l’autre.
  • Résultats : le rapport de direction affiche des taux et des tendances, pas des noms.
  • Gouvernance : LIA + (si nécessaire) AIPD archivées ; registre de l’article 30 mis à jour ; accord d’entreprise approuvé.

Réflexion finale

La sensibilisation au phishing respectueuse de la vie privée n’est pas une contradiction. Avec la bonne base légale, une représentation authentique des salariés et des garde-fous techniques comme l’anonymisation et une conservation courte, votre programme peut protéger les personnes et leurs données tout en réduisant sensiblement le risque. En cas de doute, demandez un avis juridique adapté à votre situation.

Références juridiques (Allemagne et Autriche)

Lectures complémentaires

← Retour à tous les articles

Lancez votre premier test de phishing en 10 minutes.

Inscrivez-vous gratuitement — sans carte bancaire. Essayez l'offre Pro gratuitement pendant 7 jours quand vous serez prêt.

Commencer la simulationBesoin d'une démo pour une équipe plus grande ? Contactez-nous →