Simulation de phishing : informer les salariés, consulter le CSE, ne sanctionner personne

Le marché français de la simulation de phishing est l’un des plus fournis d’Europe : plus de quarante plateformes s’y disputent les mêmes acheteurs, et elles se différencient presque toutes sur le même terrain — l’hébergement, la souveraineté, le pays des serveurs. Ce sont de vraies questions. Ce ne sont pas celles qui bloquent les projets.

Ce qui les bloque, systématiquement, c’est la question que pose la direction des ressources humaines ou le juriste au moment de valider : a-t-on le droit d’envoyer de faux messages frauduleux à nos propres salariés, et que se passe-t-il si quelqu’un se plaint ? Cette question n’a pratiquement pas de réponse publiée côté fournisseurs. On la trouve chez les éditeurs juridiques, rarement chez ceux qui vendent l’outil.

Voici donc la réponse, dans l’ordre où vous en aurez besoin : la légalité du principe, la base légale à retenir, l’information des salariés, la consultation du CSE, le traitement des résultats, ce qu’il faut inscrire au registre — et un modèle d’annonce interne que vous pouvez reprendre tel quel.

Oui, c’est légal — et voici pourquoi

Le point de départ est simple : l’employeur teste son propre système d’information, ses propres noms de domaine et ses propres boîtes professionnelles. Il n’accède pas à un système d’un tiers, il ne collecte pas de mot de passe réel, il n’usurpe pas l’identité d’une administration. La simulation de phishing (hameçonnage) appartient à la même famille que l’exercice d’évacuation incendie : un événement provoqué, encadré, dont la finalité est de mesurer une réaction réelle plutôt qu’une réaction déclarée.

Ce qui est encadré, ce n’est donc pas le principe, ce sont les conditions. Elles se ramènent à quatre :

1. Une base légale au titre du RGPD, parce que vous traitez des données relatives à des personnes identifiées.


2. L’information préalable des salariés sur l’existence du dispositif. En droit français, un dispositif permettant de collecter des informations sur un salarié doit avoir été porté à sa connaissance avant d’être mis en œuvre.


3. La consultation du comité social et économique, selon l’effectif de l’entreprise.


4. La proportionnalité de l’exécution : des scénarios mesurés, une exploitation agrégée, aucune conséquence individuelle.

Lorsque ces quatre conditions sont réunies, l’exercice ne pose pas de difficulté particulière. Lorsqu’il en manque une — et dans la pratique c’est presque toujours la troisième ou la quatrième — l’incident n’est pas juridique avant d’être social : il se manifeste par un courrier d’un élu du personnel, pas par une plainte devant une autorité.

Si un prestataire externe exécute la campagne, ajoutez la règle qui vaut pour toute prestation de sécurité offensive : elle est réalisée sur mandat écrit, dans un périmètre défini contractuellement (articles 323-1 et suivants du code pénal). C’est la même exigence que pour un test d’intrusion, et elle n’est pas négociable.

La base légale : l’intérêt légitime, pas le consentement

Dès que vous enregistrez qui a reçu, ouvert, cliqué ou signalé, vous mettez en œuvre un traitement de données personnelles. Il lui faut une base légale, et le choix est en réalité très étroit.

Pourquoi l’intérêt légitime

La base pertinente est l’intérêt légitime, article 6, paragraphe 1, point f) du RGPD. Elle tient en trois temps, qu’il faut écrire et conserver :

• L’intérêt est légitime. Vous cherchez à vérifier que les mesures protégeant les données de vos clients et de vos collaborateurs résistent à l’attaque la plus courante. Cet intérêt ne sort pas de nulle part : l’article 32 du RGPD vous impose lui-même de tester et d’évaluer régulièrement l’efficacité de vos mesures de sécurité.


• La mesure est nécessaire. Aucune alternative moins intrusive ne produit la même information. Un questionnaire mesure ce que les gens croient qu’ils feraient ; une session de sensibilisation mesure la présence en salle. Seule une mise en situation mesure le comportement.


• La mise en balance penche du bon côté — à condition que l’exécution le permette. C’est ici que tout se joue : une campagne agrégée, sans conséquence individuelle, avec une conservation courte, passe la mise en balance sans difficulté. Une campagne nominative, remontée aux managers et adossée à un dispositif disciplinaire, ne la passe pas.

Notez la mécanique : ce sont vos choix d’exécution qui rendent votre base légale solide, pas l’inverse. Un DPO qui refuse un projet de simulation refuse presque toujours la restitution nominative, pas le principe de l’exercice.

Pourquoi pas le consentement

Deux raisons, l’une juridique, l’autre pratique.

Juridiquement, un consentement doit être libre. Dans une relation de subordination, il l’est rarement — c’est une position constante des autorités de protection des données, et un consentement fragile est une base légale fragile.

Pratiquement, un consentement individuel obtenu campagne par campagne suppose d’annoncer l’envoi à la personne concernée. Vous obtenez alors un taux de clic proche de zéro et une mesure qui ne vous apprend rien. Le consentement détruit l’objet même du dispositif.

Le bon réflexe : informer tout le monde de l’existence du programme,
ne demander à personne l’autorisation de le déclencher.

Informer les salariés : ce que vous annoncez, ce que vous n’annoncez pas

C’est le point où la plupart des organisations hésitent, parce qu’elles croient qu’informer revient à prévenir. Ce n’est pas le cas.

Ce que vous annoncez — une fois, à l’ensemble du personnel, avant la première campagne :

• qu’un programme de sensibilisation au phishing existe ;


• que des messages frauduleux simulés, sans danger, seront adressés aux adresses professionnelles au cours de la période ;


• la finalité poursuivie, la base légale, les données traitées, les durées de conservation et les droits des personnes ;


• que la restitution est exclusivement agrégée et qu’aucune sanction n’en découlera ;


• le canal par lequel signaler un message suspect.

Ce que vous n’annoncez pas : la date, la fenêtre précise, la population ciblée, le scénario, l’expéditeur simulé. Rien dans l’obligation d’information n’impose de dévoiler le contenu de l’exercice, et tout impose d’en préserver la valeur de mesure.

Les trois supports qui portent cette information

Les trois se complètent : la charte pose le principe, la note de service ouvre le programme, l’intranet porte la notice détaillée. Une organisation qui ne dispose que de l’un des trois n’est pas en faute pour autant, mais elle aura plus de mal à démontrer la transparence le jour où la question sera posée.

Consulter le comité social et économique

C’est la formalité que les plateformes n’évoquent jamais, et c’est celle qui fait dérailler le calendrier.

Qui est concerné

Le comité social et économique est mis en place à partir de onze salariés. Mais ce sont les entreprises d’au moins cinquante salariés, où le CSE dispose d’attributions élargies, qui doivent procéder à une information-consultation préalable avant l’introduction de moyens ou de techniques permettant un contrôle de l’activité des salariés.

Une campagne de simulation de phishing entre dans cette catégorie dès lors qu’elle enregistre, même temporairement, qui a ouvert un message, qui a cliqué et qui a saisi des identifiants. La prudence commande de traiter le programme comme un dispositif de ce type, et non comme une simple action de sensibilisation.

En dessous de cinquante salariés, cette consultation particulière ne s’impose pas ; l’obligation d’information préalable des salariés, elle, demeure quel que soit l’effectif. Et informer le CSE de onze à quarante-neuf salariés, sans y être tenu, reste le meilleur moyen d’éviter que l’exercice soit perçu comme un piège.

Ce que contient le dossier de consultation

Le CSE rend un avis. Ce n’est pas une autorisation, et un avis défavorable n’interdit pas le programme ; il vous oblige en revanche à assumer publiquement un désaccord, ce qui n’est jamais un bon point de départ pour un dispositif qui repose sur la confiance. Un dossier complet évite presque toujours cette situation :

1. La finalité, formulée en termes de sécurité collective et non de contrôle individuel.


2. Le périmètre : quelles populations, sur quelle période, à quelle fréquence.


3. Les données traitées et celles qui ne le sont pas — en particulier : aucun mot de passe réel n’est collecté ni conservé.


4. Le caractère agrégé de la restitution, écrit noir sur blanc, avec le seuil en dessous duquel aucun segment n’est publié.


5. L’absence de conséquence individuelle : pas de sanction, pas de classement, pas de mention au dossier, pas de transmission à la hiérarchie.


6. Les durées de conservation, distinctes pour les données individuelles et pour les statistiques.


7. Le prestataire retenu, sa qualité de sous-traitant au sens du RGPD et le lieu d’hébergement des données.


8. Le dispositif d’accompagnement : page pédagogique affichée après un clic, session de restitution, canal de signalement.

Deux conseils de calendrier. D’abord, transmettez le dossier avant de signer avec la plateforme, pas après : un élu qui découvre un contrat déjà conclu lit la consultation comme une formalité de façade. Ensuite, anticipez le délai : le CSE dispose d’un délai encadré par les textes pour rendre son avis, et la consultation s’inscrit dans un ordre du jour. Comptez au minimum un cycle de réunion complet entre la transmission du dossier et la première campagne.

Enfin, faites consigner l’avis au procès-verbal et conservez-le avec la mise en balance écrite. C’est ce dossier, et non la plaquette du fournisseur, qui répondra le jour où quelqu’un contestera le dispositif.

Mesurez l’organisation, pas les personnes

C’est la règle qui décide de tout le reste — et celle qui distingue un exercice utile d’un incident social.

Les résultats sont restitués de façon exclusivement agrégée ;
aucun salarié n’est évalué, classé ni identifié.

Ce que vous mesurez

Découpez ces chiffres par site, par direction ou par famille de métiers si vous le souhaitez, mais ne descendez jamais en dessous d’un seuil permettant de réidentifier quelqu’un. En pratique, ne publiez aucun segment de moins d’une dizaine de personnes : dans une équipe de quatre, « 25 % de clic » désigne une personne précise, et tout le monde le sait.

Ce que vous ne faites pas

• Pas de classement, pas de mur de la honte, pas de podium inversé. Le procédé circule ; il produit de la dissimulation, pas de la vigilance.


• Pas de remontée nominative à la hiérarchie. Le manager reçoit les résultats de son périmètre, agrégés, comme tout le monde.


• Pas de mention au dossier individuel, pas de sanction. Un exercice de sensibilisation annoncé comme tel ne peut pas devenir, après coup, un instrument disciplinaire : cela changerait la finalité déclarée, fragiliserait la base légale et ruinerait la confiance dont dépend la remontée des vrais incidents.


• Pas de scénario qui blesse. Prime exceptionnelle, plan social, résultats médicaux, décès : ces prétextes fonctionnent — et c’est précisément pourquoi il ne faut pas les utiliser. Le coût social dépasse de très loin la valeur de la mesure.


• Pas d’usurpation d’une administration ni d’un partenaire réel sans accord écrit. Imiter un service de l’État ou la marque d’un tiers vous expose sur un terrain qui n’a rien à voir avec la sécurité.

Reste le cas concret que tout le monde finit par poser : que fait-on des personnes qui cliquent à chaque campagne ? La réponse compatible avec ce qui précède est un accompagnement automatique et non nominatif vers la hiérarchie : l’outil affiche une page pédagogique immédiate, propose une courte session complémentaire, et c’est tout. Ce que vous ne transmettez pas au manager, vous n’avez pas à le justifier au CSE.

Sur les variantes plus intrusives — vishing et smishing —, la prudence s’impose davantage encore : un numéro de téléphone personnel n’est pas un outil de travail. N’utilisez que des lignes professionnelles, et faites figurer explicitement ces canaux dans l’information préalable et dans le dossier de consultation.

Ce que vous inscrivez au registre des traitements

Créez une fiche distincte au registre des activités de traitement (article 30 du RGPD). Ne la rattachez pas à la fiche « messagerie » ni à la fiche « ressources humaines » : la finalité n’est pas la même, et c’est justement cette fiche que l’on vous demandera.

Deux compléments :

• L’analyse d’impact (AIPD). Pour une campagne ponctuelle et proportionnée, elle n’est en général pas requise. La question se pose sérieusement pour un programme permanent qui suit le comportement de personnes identifiables dans la durée. Posez-la à votre délégué à la protection des données avant le lancement du programme, pas après la première campagne.


• La souveraineté, à sa juste place. Savoir où résident les données est une exigence légitime, et un prestataire européen y répond sans clause de transfert ni difficulté particulière : le RGPD s’applique directement, et le fournisseur intervient comme sous-traitant au sens de l’article 28. Mais un hébergement irréprochable ne vous dispense d’aucune des trois formalités décrites plus haut — et c’est sur ces trois-là que les projets s’arrêtent.

Modèle d’annonce interne, à reprendre

Ce texte couvre l’information préalable des salariés et la notice RGPD. Adaptez les mentions entre crochets, faites-le relire par votre délégué à la protection des données et diffusez-le avant la première campagne.

Objet : sécurité des systèmes d’information — exercices de messages frauduleux simulés

Bonjour à toutes et à tous,

Le phishing (hameçonnage) reste le point d’entrée le plus fréquent des attaques informatiques. Pour mesurer notre capacité collective à le repérer et à le signaler, [Entreprise] met en place un programme permanent de sensibilisation.

En pratique : des messages frauduleux simulés, sans aucun danger, seront adressés aux adresses professionnelles au cours des [douze] prochains mois. Nous ne communiquons ni les dates, ni les scénarios : l’exercice n’aurait plus aucune valeur de mesure.

Finalité : évaluer et renforcer la capacité de l’organisation à détecter et à signaler un message frauduleux, et adapter nos actions de sensibilisation en conséquence.

Base légale : l’intérêt légitime de [Entreprise] à assurer la sécurité de ses systèmes d’information et des données qu’ils contiennent — article 6, paragraphe 1, point f) du règlement général sur la protection des données.

Données traitées : votre adresse professionnelle et, le cas échéant, l’ouverture du message, le clic, la saisie d’informations sur la page simulée et le signalement. Aucun mot de passe réel n’est collecté ni conservé.

Restitution : exclusivement agrégée, au niveau de l’entreprise et des grandes entités. Aucun résultat individuel ne sera communiqué à votre responsable hiérarchique, ni versé à votre dossier.

Aucune sanction : ce programme est un dispositif de sensibilisation. Cliquer sur un message simulé n’entraînera aucune sanction ni aucune conséquence sur votre situation professionnelle.

Conservation : les données individuelles sont supprimées au plus tard [trente] jours après la fin de chaque campagne. Seules les statistiques agrégées sont conservées au-delà.

Vos droits : vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition, que vous pouvez exercer auprès de [contact / délégué à la protection des données].

Ce que nous vous demandons : au moindre doute, signalez le message via [bouton de signalement / adresse dédiée]. Un signalement inutile ne coûte rien ; un signalement manquant peut coûter très cher. C’est ce réflexe, et lui seul, que nous cherchons à développer.

Le comité social et économique a été informé et consulté le [date].

[Signature — direction des systèmes d’information / responsable de la sécurité]

Conservez la version diffusée, avec sa date et la liste de diffusion. C’est la pièce que l’on vous demandera en premier.

La séquence, en sept étapes

Comptez six à huit semaines entre l’étape 1 et l’étape 6 dans une entreprise dotée d’un CSE. C’est le délai que les projets sous-estiment, et c’est la seule raison pour laquelle une campagne prévue en septembre part en décembre.

Questions fréquentes

En résumé

La simulation de phishing n’est pas un sujet juridiquement complexe en France. Elle est procéduralement exigeante, ce qui n’est pas la même chose : quatre documents et une réunion suffisent à sécuriser le dispositif, mais ils doivent exister avant le premier envoi, pas après le premier incident.

Une base légale écrite, une information préalable qui annonce le programme sans dévoiler l’exercice, un CSE consulté en amont, des résultats agrégés et aucune sanction : ces cinq décisions règlent la quasi-totalité des objections que vous rencontrerez en interne. Elles ont aussi un effet secondaire utile — elles rendent la mesure plus fiable, parce qu’une organisation qui ne craint pas l’exercice signale davantage.

Chez Haxoris, nous exécutons ces campagnes dans ce cadre : restitution agrégée, jamais nominative, accompagnement du dossier de consultation, et enchaînement immédiat sur la sensibilisation plutôt que sur le reproche. Le détail de la plateforme figure sur la page PhishGun — simulation de phishing, et la démarche complète, phishing ciblé et vishing compris, sur notre page ingénierie sociale.

Pour aller plus loin : qu’est-ce que l’ingénierie sociale pose les bases des techniques utilisées ; reconnaître un phishing généré par IA explique ce que change un attaquant outillé sur la difficulté des scénarios ; et l’arnaque au président et le deepfake vocal traite du cas où la cible n’est plus une boîte de messagerie mais une décision de virement. Si vous préférez commencer par le programme de fond, voyez la sensibilisation à la cybersécurité.

Dernière vérification : 11 septembre 2026. La référence exacte au code du travail fondant la consultation du comité social et économique doit être contrôlée sur Légifrance avant toute reprise dans vos documents internes.

Nos services associés : pentest d’ingénierie sociale et simulations de phishing · sensibilisation de vos collaborateurs à la cybersécurité