Simulation de phishing : RGPD, CSE et information des collaborateurs

Une simulation de phishing traite des données personnelles et touche à la relation de travail. Que faut-il faire avant de la lancer ? Voici ce que disent le RGPD, la CNIL et le Code du travail, en distinguant les obligations des recommandations. À jour au 3 novembre 2026 ; cet article ne remplace pas l'avis de votre délégué à la protection des données (DPO) ou de votre juriste.

Ce que recommande la CNIL

La CNIL encourage les simulations de phishing. Son guide de la sécurité des données personnelles cite les « simulations d'attaque », comme les campagnes d'hameçonnage, parmi les moyens de sensibiliser les utilisateurs. La version mise à jour en 2026 recommande d'adapter les campagnes aux fonctions et d'organiser ces exercices avec l'encadrement nécessaire à tout exercice de sécurité.

La CNIL n'a pas publié de position propre aux simulations de phishing. En revanche, pour tout dispositif de contrôle de l'activité des personnes employées, elle pose trois conditions cumulatives :

• le dispositif doit être justifié et proportionné à l'objectif poursuivi ;
• il doit être soumis aux représentants du personnel : le CSE dans les entreprises d'au moins 50 salariés, le comité social compétent dans le secteur public ;
• les personnes doivent en être informées au préalable.

Une simulation dont les résultats sont nominatifs peut être vue comme un tel dispositif. Aucun texte ni aucune décision ne tranche ce point : le plus prudent est d'appliquer ces trois conditions.

Les obligations du RGPD

Quel que soit votre secteur, une campagne de simulation traite des données personnelles (adresse e-mail, clics, saisies sur la page de simulation). Le RGPD s'applique donc pleinement :

• principes de loyauté, de transparence, de limitation des finalités, de minimisation et de conservation limitée (article 5) ;
• information des personnes concernées (article 13) ;
• contrat de sous-traitance avec l'éditeur de la solution (article 28) ;
• inscription au registre des traitements (article 30) ;
• sécurité du traitement (article 32), qui prévoit d'ailleurs de tester régulièrement l'efficacité des mesures de sécurité ;
• pour les organismes publics, un DPO est obligatoire (article 37) : associez-le dès le départ.

Quelle base légale ?

Pour un employeur privé, la base généralement retenue est l'intérêt légitime (article 6.1.f) : protéger le système d'information contre l'hameçonnage. Pour une autorité publique, l'intérêt légitime n'est pas ouvert dans l'exercice de ses missions ; on retient alors la mission d'intérêt public (article 6.1.e). Le consentement est peu adapté dans la relation de travail, où il est rarement libre, comme le rappellent les lignes directrices du Comité européen de la protection des données. Ce choix reste à valider avec votre DPO.

Analyse d'impact et durée de conservation

La liste de la CNIL des traitements soumis à analyse d'impact vise la surveillance constante des employés, ce qui ne correspond pas à des campagnes ponctuelles. Une analyse documentée reste recommandée. Aucun texte ne fixe de durée de conservation pour les résultats : à vous de la définir et de la limiter, par exemple à la durée du programme, avant de ne garder que des statistiques agrégées.

Dans le secteur privé : le Code du travail

• Information préalable (article L1222-4) : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance. C'est une obligation : les salariés doivent savoir qu'un programme de simulations existe. Le texte n'impose pas d'annoncer la date de chaque campagne, ce qui fausserait l'exercice.
• Proportionnalité (article L1121-1) : toute restriction aux droits des salariés doit être justifiée par la tâche et proportionnée au but recherché.
• Évaluation (article L1222-3) : si les résultats servent à évaluer les salariés, ceux-ci doivent être informés au préalable de la méthode, et les résultats rester confidentiels.
• CSE (articles L2312-38 et L2312-8) : à partir de 50 salariés, le CSE est informé et consulté avant la mise en place de moyens de contrôle de l'activité, ainsi que sur l'introduction de nouvelles technologies. Si la simulation est qualifiée de moyen de contrôle, la consultation est obligatoire ; en pratique, présentez-lui le programme avant son lancement.

Dans la fonction publique : le comité social

Les articles du Code du travail cités plus haut ne s'appliquent pas aux fonctionnaires. L'obligation d'information découle alors du RGPD, et la CNIL applique les mêmes trois conditions aux agents publics.

Dans la fonction publique territoriale, le comité social territorial (CST) connaît des questions d'organisation des services et de régulation des outils numériques (article L253-5 du Code général de la fonction publique), et rend un avis sur les projets relatifs au fonctionnement des services. Aucun texte n'impose expressément de le consulter pour une simulation de phishing. La bonne pratique consiste à lui présenter le programme et à l'inscrire dans la charte informatique de la collectivité.

La check-list avant la première campagne

1. Définir l'objectif (sensibiliser, mesurer les progrès) et vérifier que le dispositif y est proportionné.
2. Associer le DPO, compléter le registre des traitements et signer le contrat de sous-traitance avec l'éditeur.
3. Présenter le programme au CSE ou au comité social, et l'inscrire dans la charte informatique.
4. Informer l'ensemble des collaborateurs qu'un programme de simulations existe, sans annoncer les dates.
5. Limiter l'accès aux résultats nominatifs aux personnes qui en ont besoin, et fixer leur durée de conservation.
6. Prévoir la suite d'un clic : une sensibilisation immédiate et bienveillante.
7. Communiquer les résultats de façon agrégée, par service ou pour toute l'organisation.

Comment LePhish vous aide

Avec LePhish, les mots de passe saisis sur les pages de simulation ne sont jamais conservés, et les données sont hébergées en France, chez OVHcloud. LePhish agit comme sous-traitant au sens du RGPD, dans le cadre prévu par ses conditions générales. Le collaborateur qui clique reçoit le lendemain un rappel pédagogique adapté au scénario, puis un serious game une semaine plus tard : l'objectif est d'apprendre, et le tableau de bord permet de suivre les résultats par service. Pour aller plus loin, consultez notre politique de confidentialité ou contactez-nous.