Conséquence pratique : les formalités décrites ci-dessous vous incombent. Nous ne pouvons pas les accomplir à votre place, mais nous vous fournissons tout ce qu'il faut pour les remplir vite.

Une campagne de phishing simulé mesure le comportement de vos collaborateurs. À ce titre, elle relève des règles applicables à tout dispositif de mesure de l'activité au travail.

Article L.1222-4 du Code du travail : aucune donnée ne peut être collectée par un dispositif qui n'a pas été porté à la connaissance des personnes concernées avant sa mise en place. Les articles 12 à 14 du RGPD imposent en parallèle une information claire sur le traitement.

Une objection revient souvent : prévenir, n'est-ce pas ruiner l'effet de surprise ? Non, car l'information porte sur l'existence du dispositif, pas sur le calendrier. Annoncer « des simulations de phishing auront lieu au cours de l'année, sans préavis » suffit à remplir l'obligation tout en préservant totalement la valeur pédagogique de l'exercice.

Le canal importe peu (note interne, intranet, charte informatique, livret d'accueil) mais gardez une trace datée : c'est elle qui prouvera l'antériorité de l'information.

Article L.2312-38 du Code du travail : dans les entreprises de 50 salariés et plus, le comité social et économique doit être consulté avant la mise en place de tout moyen ou technique permettant un contrôle de l'activité des salariés.

C'est l'étape la plus souvent oubliée, et celle qui fragilise le plus un dispositif en cas de contentieux. Elle se traite en une fois, pour le programme dans son ensemble : il n'y a pas à reconsulter avant chaque campagne.

Article 30 du RGPD : le traitement doit figurer dans votre registre. Une fiche pré-remplie est fournie en section 6 de cet article, il ne vous reste qu'à compléter les champs propres à votre organisation.

Article L.1121-1 du Code du travail et article 5.1.c du RGPD : le dispositif doit rester proportionné à son objectif. En pratique, cela veut dire viser une fréquence de campagne raisonnable, ne pas cibler nominativement des individus sans motif pédagogique, et ne collecter que ce qui sert la sensibilisation.

C'est le principe le plus important de cet article, et il découle de la finalité que vous avez déclarée. L'article 5.1.b du RGPD interdit de traiter des données d'une manière incompatible avec la finalité pour laquelle elles ont été collectées : vous avez annoncé un objectif pédagogique, les réutiliser pour fonder une sanction constitue un détournement de finalité. S'y ajoute une évidence souvent oubliée : se laisser piéger par une simulation traduit un besoin de formation, pas une faute.

La position de Kamaé est sans ambiguïté : aucune sanction disciplinaire ne devrait être prise sur le fondement des résultats des tests.

Un arrêt de la Cour de cassation du 24 juin 2026 (n° 24-22.792) est parfois cité comme une autorisation d'utiliser ces résultats à des fins disciplinaires. Il faut le lire précisément : il concernait un détournement volontaire et massif du dispositif, la production de la preuve a été admise au terme d'un contrôle de proportionnalité, et la censure porte sur la seule indemnisation du salarié. Mais le traitement est resté qualifié d'illicite par les juges du fond, et à aucun moment la Cour n'a jugé qu'un clic sur une simulation constituait une faute.

Une confusion revient souvent : « ne pas avoir suivi la formation assignée » et « avoir échoué à une simulation » sont traités comme un même manquement. Juridiquement, ce sont deux situations très différentes.

Ne pas réaliser une formation rendue obligatoire est l'inexécution d'une tâche professionnelle. La donnée de la plateforme établit alors un fait simple et vérifiable : le module n'a pas été fait. Cet usage est comparable à celui de n'importe quel outil de suivi de formation et peut légitimement s'inscrire dans votre cadre disciplinaire, à trois conditions : que le caractère obligatoire ait été explicitement porté à la connaissance des collaborateurs, que du temps de travail leur ait été alloué pour s'en acquitter, et que la possibilité d'une suite disciplinaire ait été annoncée avant la collecte plutôt que découverte après.

Échouer à une simulation est autre chose. Le comportement mesuré a été provoqué par un dispositif conçu pour tromper, la mesure est techniquement imparfaite (un clic peut provenir d'un volet de prévisualisation, d'une passerelle de sécurité qui déréférence les liens ou d'un outil de protection qui teste l'URL), et l'échec traduit un besoin de formation plutôt que l'inexécution d'une obligation. Un échec répété, en particulier, démontre d'abord que la remédiation proposée jusqu'ici n'a pas fonctionné pour cette personne.

L'objection est sérieuse et elle règle une partie du sujet. Le règlement intérieur fixe légitimement la nature et l'échelle des sanctions (art. L.1321-1 du Code du travail), et son passage devant le CSE (art. L.1321-4) purge les questions d'information préalable et de consultation. Si vos collaborateurs ont été informés, avant toute collecte, que le suivi du programme est obligatoire et que son non-accomplissement est susceptible d'être sanctionné, la finalité disciplinaire a été déclarée et il n'y a pas de détournement de finalité. Veillez alors à ce que votre registre reflète cette finalité.

Deux limites subsistent.

C'est pourquoi la distinction précédente compte : adossée au non-suivi d'une formation obligatoire, une mesure disciplinaire repose sur un fait établi ; adossée au seul résultat d'une simulation, elle repose sur un fait ambigu que vous avez vous-même provoqué. Dans tous les cas, faites valider la rédaction de ces clauses par votre DPO et votre direction juridique.

Cela peut arriver : un collaborateur qui clique systématiquement et volontairement, ou qui cherche à saboter le dispositif. Dans ce cas, sortez du cadre pédagogique plutôt que d'en détourner les données : traitez le sujet comme un incident de sécurité à part entière, avec ses propres constats, sa propre base légale et l'implication de votre DPO et de votre direction juridique. N'improvisez pas à partir d'un tableau de bord de sensibilisation.

Deux précisions utiles pour votre DPO :

La visibilité des résultats individuels dépend donc entièrement des droits que vous attribuez. C'est votre principal levier de minimisation : voir Gestion des droits utilisateurs.

Si votre politique interne impose une durée plus courte pour les données comportementales, deux leviers : supprimer les comptes des collaborateurs sortis dès leur départ, et cadrer la conservation de vos propres exports (voir ci-dessous).

C'est ici que se joue l'essentiel, et c'est la question qui nous est le plus souvent posée : qu'est-ce qu'on fait des données à la fin d'une campagne ?

Pilotez à l'agrégé. Le taux de clic par population, son évolution d'une campagne à l'autre, la comparaison entre scénarios : voilà les indicateurs qui décrivent votre exposition réelle. Un résultat individuel isolé ne dit rien de fiable : un clic peut venir d'un aperçu automatique, d'une lecture sur mobile dans un couloir, d'une journée chargée.

Réservez le niveau individuel à la remédiation. Le résultat d'une personne sert à lui proposer un module adapté, à elle et à personne d'autre. C'est d'ailleurs le fonctionnement par défaut de la plateforme, qui restitue directement le résultat au collaborateur.

Restreignez les comptes administrateurs. Chaque administrateur supplémentaire élargit le cercle des personnes voyant les comportements individuels. Limitez-les à l'équipe qui pilote réellement le programme, et revoyez la liste périodiquement.

Ne diffusez jamais de résultats nominatifs. Ni dans un comité, ni dans une newsletter interne, ni dans un classement affiché. C'est le point qui fait basculer un programme pédagogique en dispositif de stigmatisation.

Encadrez vos exports. Un export CSV de résultats sort du périmètre technique de Kamaé et devient un fichier de données personnelles sous votre seule responsabilité. Stockez-le dans un espace à accès restreint, ne le rediffusez pas par e-mail, et supprimez-le dès qu'il a servi. C'est souvent le maillon faible d'un dispositif par ailleurs conforme.

Communiquez les résultats globaux à tout le monde. Partager la tendance collective (« nous étions à 18 % de clics, nous sommes à 9 % ») entretient l'adhésion et rappelle que l'objectif est collectif.

À adapter à votre organisation. Les champs entre crochets sont à compléter.

Vos collaborateurs disposent des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Les demandes vous sont adressées, en tant que responsable de traitement : vous restez l'interlocuteur.

En pratique :

Doit-on recueillir le consentement des collaborateurs ?
Non, et ce serait même une erreur. Dans une relation de travail, le consentement n'est généralement pas libre au sens du RGPD. La base légale appropriée est l'intérêt légitime (art. 6.1.f).

Faut-il annoncer chaque campagne ?
Non. L'obligation porte sur l'existence du dispositif, une fois, en amont. Le caractère inopiné de chaque campagne est préservé.

Peut-on sanctionner un collaborateur qui ne fait jamais ses modules ?
C'est une situation différente de l'échec à une simulation, et elle est défendable si le caractère obligatoire de la formation a été annoncé en amont, si du temps a été alloué et si la possibilité d'une suite disciplinaire figurait dans votre cadre interne avant la collecte. Voir la section 3.

Une AIPD est-elle obligatoire ?
Rarement pour ce type de traitement : pas de données sensibles, pas de décision automatisée, périmètre limité. Votre DPO peut conclure autrement selon votre contexte. Nous pouvons alors vous communiquer les éléments techniques utiles à votre analyse.

Un manager peut-il voir les résultats de son équipe ?
C'est possible techniquement, mais à peser. Une restitution agrégée par équipe suffit généralement au pilotage ; l'accès nominatif d'un manager aux résultats de ses collaborateurs augmente sensiblement le risque perçu de contrôle. Si vous l'ouvrez, mentionnez-le dans l'information aux collaborateurs.

Peut-on conserver les résultats moins longtemps ?
La suppression d'un utilisateur entraîne l'effacement définitif de ses données sous trois mois. Pour vos besoins de suivi pluriannuel, privilégiez la conservation d'indicateurs agrégés plutôt que de résultats nominatifs.

Que se passe-t-il en cas de violation de données ?
En tant que sous-traitant, Kamaé vous informe afin que vous puissiez remplir vos obligations, dont l'éventuelle notification à la CNIL dans les 72 heures. C'est à vous, responsable de traitement, qu'il revient d'apprécier l'opportunité de cette notification.

Une question sur ce sujet ? Écrivez à [email protected].