---
title: GDPR Legal Basis for Phishing Simulation and Risk Scoring
description: Phishing simulation with individual risk scores is profiling under GDPR. Recent peer-reviewed evidence is now challenging its legal basis.
image: https://www.cybercoach.com/hubfs/featured-image-legal.png
---

[![CyberCoach Full Logo with Bot Icon](https://www.cybercoach.com/hubfs/CyberCoach_Full_Logo_Black-2.svg)](https://www.cybercoach.com?hsLang=fr)

- [Français](https://www.cybercoach.com/fr/legal-basis-phishing-simulation)
- [English](https://www.cybercoach.com/legal-basis-phishing-simulation)
- [Suomi](https://www.cybercoach.com/fi/legal-basis-phishing-simulation)
- [Svenska](https://www.cybercoach.com/sv/phishing-training)

- PRODUIT
  
  ## CyberCoach en un coup d’œil
  
  CyberCoach est une application de formation à la sensibilisation en cybersécurité qui révolutionne le secteur, disponible sur Teams, Slack ou directement sur navigateur. 

  ### [La science derrière CyberCoach Pourquoi les simulations de phishing traditionnelles ne fonctionnent pas, selon une étude scientifique évaluée par des pairs menée par l’ETH Zurich.](https://www.cybercoach.com/fr/science-behind-cybercoach?hsLang=fr)

  ### [Les simulations de phishing sont-elles légales au regard du RGPD ? Les 9 étapes exigées par le RGPD avant de lancer une simulation de phishing auprès de vos employés, ainsi qu’une nouvelle approche de simulation qui n’en nécessite aucune.](https://www.cybercoach.com/fr/legal-basis-phishing-simulation)

  ### [Tarification Plans flexibles, disponibles également mensuellement.](https://www.cybercoach.com/pricing?hsLang=fr)

  ### [BLOG Derniers insights sur la sensibilisation à la sécurité et nouveautés de CyberCoach.](https://blog.cybercoach.com?hsLang=fr)

  ### [Té­moi­gna­ges clients Découvrez comment CyberCoach a aidé des organisations de différents secteurs à moderniser leur approche de la formation en sécurité.](https://www.cybercoach.com/customer-stories?hsLang=fr)

  ### [Formation à la sécurite OT Formation ciblée pour les employés qui travaillent avec des technologies OT.](https://www.cybercoach.com/ot-security-training?hsLang=fr)
- [SÉCURITÉ IA](https://www.cybercoach.com/ai-security-training?hsLang=fr)
  
  ## [Formation en Sécurité IA La bibliothèque de formation en sécurité et conformité IA la plus complète du marché.](https://www.cybercoach.com/ai-security-training?hsLang=fr)

  ### [Formation en sécurité IA Pourquoi choisir CyberCoach pour vos besoins en formation IA ?](https://www.cybercoach.com/ai-security-training?hsLang=fr)

  ### [Exigences de formation du règlement européen sur l’IA : ce que vous devez réellement faire La formation à la maîtrise de l’IA est obligatoire depuis février 2025.](https://www.cybercoach.com/fr/eu-ai-act-training-requirements?hsLang=fr)
- [POUR LES DÉVELOPPEURS](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=fr)
  
  ## [Pour les Développeurs Allez au-delà du OWASP Top10 et proposez des formations interactives et pratiques spécifiques aux profils techniques.](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=fr)

  ### [Compétences en Codage Sécurisé Répondez aux exigences ISO/IEC 27001 ou SOC 2 autour des pratiques de développement sécurisé, grâce à des formations concrètes pour vos développeurs et autres rôles techniques, directement dans Microsoft Teams ou Slack.](https://www.cybercoach.com/secure-development-training-for-developers?hsLang=fr)
- [ENTREPRISE](https://www.cybercoach.com/about-us?hsLang=fr)
  
  ## [À propos de nous Nous évoluons pour devenir l’entreprise de sensibilisation la plus diversifiée au monde.](https://www.cybercoach.com/about-us?hsLang=fr)

  ### [À Propos de Nous Rencontrez notre équipe internationale](https://www.cybercoach.com/about-us?hsLang=fr)

  ### [Contactez-Nous Prenez contact.](https://www.cybercoach.com/contact-us?hsLang=fr)

  ### [Carrières Nous recrutons.](https://www.cybercoach.com/careers?hsLang=fr)

  ### [Partenariat En savoir plus sur notre programme partenaires.](https://www.cybercoach.com/partnerships?hsLang=fr)

- [Français](https://www.cybercoach.com/fr/legal-basis-phishing-simulation)
- [English](https://www.cybercoach.com/legal-basis-phishing-simulation)
- [Suomi](https://www.cybercoach.com/fi/legal-basis-phishing-simulation)
- [Svenska](https://www.cybercoach.com/sv/phishing-training)

[GRATUIT](https://www.cybercoach.com/free-trial?hsLang=fr) [DÉMO](https://meetings-eu1.hubspot.com/maria-bique/cybercoach-demo?uuid=88959d26-2ff7-4dd0-8ebd-dd43eb31443e)

 

 

 

 

 

 

 

analyse

# Quelle base juridique pour les simulations de phishing pilotées par l’IA et l’évaluation du risque humain au regard du RGPD ?

**Les plateformes de gestion du risque humain établissent des profils de salariés : elles leur envoient des attaques simulées, enregistrent les personnes qui se font piéger, puis calculent des scores de risque individuels utilisés pour automatiser le ciblage.** Au regard du RGPD, il s’agit d’un profilage fondé sur les données à caractère personnel des salariés, qui doit reposer sur l’une des bases juridiques prévues à l’article 6. Dans la pratique, l’intérêt légitime est la seule base réellement envisageable pour la plupart des employeurs européens. Or, celui-ci suppose notamment que le traitement soit effectivement nécessaire à la finalité poursuivie. C’est précisément ce que remet aujourd’hui en question un nombre croissant d’études évaluées par les pairs.

Cette page présente l’analyse telle qu’un responsable de la sécurité devrait pouvoir l’exposer à un délégué à la protection des données (DPD), et telle qu’un DPD devrait pouvoir la documenter : quelles données sont traitées, quelles bases juridiques sont réellement envisageables, comment les critères de nécessité et de mise en balance des intérêts doivent être appréciés au regard des données disponibles sur l’efficacité de ces pratiques, et ce que le règlement européen sur l’intelligence artificielle ajoute à cette analyse. Les contenus CyberCoach destinés spécifiquement aux développeurs de logiciels sont actuellement disponibles uniquement en anglais, compte tenu de la terminologie technique utilisée et de la demande actuelle.

Ceci ne constitue pas un conseil juridique

Cet article fournit des informations générales aux professionnels de la sécurité et de la protection des données. Il est publié par CyberCoach, qui commercialise une approche alternative. Il ne constitue ni un conseil ni un avis juridique, ne crée aucune relation avocat-client et ne tient pas compte de votre secteur, de votre juridiction, de vos conventions collectives ni des circonstances propres à votre organisation. Le droit de la protection des données s’applique dans un cadre national et son interprétation évolue. Avant de vous appuyer sur l’une des positions exposées ici, consultez un juriste local qualifié. Notre intérêt commercial constitue par ailleurs une raison supplémentaire de vérifier notre raisonnement de manière indépendante.

## En bref

Une simulation de phishing assortie d’un suivi individuel des salariés relève du profilage au sens de l’article 4, point 4), du RGPD : elle évalue certains aspects de leur comportement et, lorsqu’elle aboutit à un score, cherche à prédire leur fiabilité future

Parmi les six bases juridiques prévues à l’article 6, l’intérêt légitime est, dans la majeure partie de l’Europe, la seule option réellement envisageable pour un employeur privé. Le consentement est généralement difficilement valable dans le cadre d’une relation de travail ; aucune disposition légale n’impose les simulations de phishing ; et elles ne sont pas nécessaires à l’exécution du contrat de travail

L’évaluation de l’intérêt légitime repose sur trois éléments : poursuivre un intérêt légitime, démontrer la nécessité du traitement et mettre cet intérêt en balance avec les droits des salariés. C’est directement le critère de nécessité que les recherches sur l’efficacité des simulations viennent fragiliser

Quatre études évaluées par les pairs portant sur environ 36 000 salariés concluent que les simulations fondées sur la tromperie n’apportent que peu, voire pas, d’amélioration durable, certaines faisant même apparaître des effets négatifs mesurables

Si une méthode moins intrusive, comme CyberCoach, permet d’atteindre le même objectif, le critère de nécessité peut ne plus être satisfait selon le raisonnement établi en matière de protection des données, même si la méthode la plus intrusive est devenue courante sur le marché

Les scores de risque qui déclenchent des conséquences sans intervention humaine soulèvent des questions au regard de l’article 22, tandis que les systèmes d’IA utilisés pour évaluer les salariés peuvent relever des systèmes d’IA à haut risque au sens du règlement sur l’intelligence artificielle

## Quelles données sont réellement traitées ?

Avant de déterminer la base juridique applicable, il faut d’abord décrire précisément le traitement. Une plateforme moderne de gestion du risque humain conserve généralement, pour chaque salarié identifié :

Données d’identité et données organisationnelles : nom, adresse e-mail professionnelle, service, responsable hiérarchique, lieu de travail, fonction

Données comportementales : messages simulés ouverts, liens cliqués, réponses envoyées, messages signalés ou ignorés, avec les horodatages correspondants

Scores dérivés : valeur individuelle représentant le risque ou la vulnérabilité d’une personne, souvent suivie dans le temps et comparée aux résultats de ses collègues

Décisions automatisées de ciblage : choix du prochain leurre, du niveau de difficulté ou de la formation corrective en fonction de l’historique de la personne

Croisement avec les données de télémétrie des menaces : certains produits déterminent si une personne est réellement ciblée de l’extérieur à partir de données de sécurité de messagerie en temps réel

Visibilité accordée au management : tableaux de bord (dashboards) donnant accès aux résultats individuels aux responsables hiérarchiques, aux RH ou aux deux

Deux caractéristiques de cet ensemble de données sont particulièrement importantes sur le plan juridique. Premièrement, ces informations ne sont pas fournies volontairement par le salarié : elles sont produites par une situation trompeuse créée par l’employeur. Le salarié ne participe donc pas véritablement à leur collecte. Deuxièmement, le traitement aboutit à un jugement sur les compétences d’une personne. C’est précisément le type d’évaluation auquel un salarié peut raisonnablement s’opposer et qui est le plus susceptible d’entraîner des conséquences dans le cadre de la relation de travail.

## Le phishing simulé avec suivi individuel constitue-t-il un « profilage » ?

L’article 4, point 4), du RGPD définit le profilage comme toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant ses performances au travail, sa fiabilité ou son comportement. Une plateforme qui enregistre la réaction d’un salarié à une attaque simulée, la transforme en score de vulnérabilité, puis utilise ce score pour prévoir son comportement futur est donc susceptible de répondre à cette définition.

C’est d’ailleurs ainsi que ces plateformes se présentent elles-mêmes. Si la catégorie s’est rebaptisée « human risk management », c’est précisément parce que sa proposition de valeur repose sur la mesure et la prédiction à l’échelle individuelle. Il peut donc être difficile de concilier une analyse d’impact relative à la protection des données (AIPD) présentant le même système comme autre chose qu’un profilage avec les propres affirmations commerciales du fournisseur.

Conséquence importante : le profilage n’est pas interdit en soi, mais il renforce les exigences de transparence. Les articles 13 et 14 imposent notamment de fournir des informations utiles concernant la logique sous-jacente. Lorsque le traitement repose sur l’intérêt légitime, le profilage renforce également le droit d’opposition prévu à l’article 21. Enfin, une analyse d’impact relative à la protection des données (AIPD) est susceptible d’être requise au titre de l’article 35, paragraphe 3, point a), lorsque l’évaluation est systématique et approfondie et qu’elle sert de fondement à des décisions concernant les personnes.

## Les quatre bases juridiques envisageables, une par une

L’article 6, paragraphe 1, prévoit six bases juridiques. Deux d’entre elles, la sauvegarde des intérêts vitaux et l’exécution d’une mission d’intérêt public, ne sont pas réellement adaptées à un employeur privé ordinaire qui met en place un programme de sensibilisation. Il reste donc quatre possibilités à examiner.

### Consentement — article 6, paragraphe 1, point a)

Généralement indisponible

Le consentement doit être donné librement. Les autorités européennes de protection des données considèrent de manière constante qu’en raison du déséquilibre des pouvoirs inhérent à la relation de travail, un salarié est rarement en mesure de refuser en toute liberté une demande de son employeur. Cette position figure dans l’avis du groupe de travail « Article 29 » sur le traitement des données sur le lieu de travail et se retrouve dans les lignes directrices du Comité européen de la protection des données (CEPD) relatives au consentement. Un consentement qui ne peut pas être retiré sans conséquence défavorable n’est pas un consentement valable.

Les simulations fondées sur la tromperie présentent en outre un problème structurel : obtenir un consentement éclairé à un test précis en compromet le principe même. Un programme peut être annoncé dans ses grandes lignes, mais dès lors que la participation devient réellement facultative et que chacun peut véritablement refuser, le groupe que vous mesurez n’est plus nécessairement celui que vous cherchiez à protéger.

### Obligation légale — article 6, paragraphe 1, point c)

Non disponible

Cette base suppose qu’une obligation juridique impose le traitement précis en question. Aucun instrument européen n’oblige les employeurs à envoyer des messages trompeurs à leurs propres salariés ni à attribuer à chacun un score individuel. NIS2 impose des pratiques de cyberhygiène ainsi que des formations à la cybersécurité pour les dirigeants et les salariés. Les référentiels sur lesquels reposent les audits des organisations, notamment ISO/IEC 27001, annexe A 6.3, SOC 2 et DORA, prévoient des mesures de sensibilisation, d’éducation, de formation et de test des contrôles. Aucun n’impose pourtant de soumettre des personnes identifiées à des simulations trompeuses ni de conserver un historique individuel de leurs échecs.

Pour la documentation, la distinction est essentielle : l’obligation de former n’est pas une obligation de tromper et de noter. Pour un auditeur, la preuve que la formation a été suivie répond au besoin de conformité. Le classement des salariés selon leur vulnérabilité relève, lui, d’un choix de l’employeur qui doit être justifié séparément.

### Exécution d’un contrat — article 6, paragraphe 1, point b)

Non disponible

Cette base juridique fait l’objet d’une interprétation stricte : le traitement doit être objectivement nécessaire à l’exécution du contrat. Les orientations relatives à l’article 6, paragraphe 1, point b), soulignent de manière constante que la nécessité doit s’apprécier au regard du contrat lui-même, et non de la simple commodité du responsable du traitement. Il paraît donc difficile de soutenir qu’un contrat de travail obligerait l’employeur à piéger ses salariés pour pouvoir leur fournir du travail et leur verser un salaire.

### Intérêt légitime — article 6, paragraphe 1, point f)

La base sur laquelle presque tout le monde s’appuie

Dans la pratique, c’est la seule base réellement envisageable dans la plupart des cas, et celle que l’on retrouve le plus souvent dans la documentation des fournisseurs et les AIPD de leurs clients. Mais c’est aussi celle qui oblige l’employeur à continuer de démontrer, dans le temps, que les conditions restent réunies. C’est pourquoi l’accumulation de données sur l’efficacité réelle de ces méthodes change la donne.

Un dernier point concernant l’article 9 : les programmes de sensibilisation n’ont pas vocation à traiter des catégories particulières de données à caractère personnel. Toutefois, des réponses en texte libre, des besoins d’accessibilité liés à un handicap ou des leurres faisant référence à la santé peuvent conduire à traiter accidentellement de telles données. Ce risque doit également être pris en compte dans l’AIPD.

## Les règles nationales changent-elles l’analyse du consentement ?

L’article 88 du RGPD autorise les États membres à adopter des règles propres au contexte professionnel, et quelques-uns semblent avoir expressément traité la question du consentement des salariés. Il en résulte un paysage fragmenté, dont l’interprétation fait elle-même débat parmi les spécialistes. Les résumés ci-dessous doivent donc servir de point de départ à une discussion avec un conseil juridique, et non être considérés comme des conclusions juridiques.

### Allemagne — l’exception la plus claire

L’article 26, paragraphe 2, de la loi fédérale allemande sur la protection des données (BDSG) est généralement interprété comme permettant le consentement du salarié. Il va au-delà d’un simple renvoi en énumérant des circonstances susceptibles d’indiquer que le consentement a été librement donné. Elles sont souvent résumées comme l’existence d’un avantage juridique ou économique pour le salarié, ou la poursuite d’un même intérêt par l’employeur et le salarié, avec en outre une exigence de forme écrite. Une complication mérite toutefois d’être examinée avec un juriste : dans son arrêt de 2023 dans l’affaire C-34/21, la CJUE a estimé que certaines parties de l’article 26 ne satisfaisaient pas aux exigences de l’article 88 relatives aux « règles plus spécifiques ». Les commentaires juridiques semblent diverger sur les conséquences précises de cette décision pour le paragraphe 2.

### Danemark — souvent considéré comme plus permissif

La doctrine danoise est souvent citée pour soutenir que la législation nationale complétant le RGPD laisse davantage de place au consentement des salariés que l’approche européenne générale. La marge de manœuvre évoquée semble cependant étroite : il s’agirait surtout de dispositifs que le salarié peut véritablement refuser sans subir de préjudice, plus proches d’un avantage facultatif que d’une mesure de sécurité obligatoire. La possibilité de concevoir un programme de simulation de phishing dans ces limites doit être appréciée à la lumière du droit danois et de la pratique actuelle de la Datatilsynet.

### Finlande — une approche généralement décrite comme inverse

Les dispositions finlandaises relatives à la protection de la vie privée dans le cadre professionnel sont généralement présentées comme imposant un critère de nécessité pour le traitement des données des salariés auquel le consentement ne permet pas de déroger. Le consentement ne pourrait donc pas servir de base générale au traitement, quelle que soit la manière dont il aurait été recueilli. Si votre programme couvre la Finlande, mieux vaut vérifier cette interprétation avec un spécialiste local en amont de sa conception.

### Portugal — une logique présentée comme presque inverse de celle de l’Allemagne

Les commentaires juridiques décrivent le droit portugais comme excluant le recours au consentement lorsque le traitement procure au salarié un avantage économique ou juridique. C’est presque l’inverse du facteur que l’Allemagne semble considérer comme un indice du caractère libre du consentement. Deux juridictions, des critères apparemment opposés, un même règlement européen.

### La plupart des États membres — aucune règle spécifique dans un sens ou dans l’autre

La majorité des États membres ne semblent pas avoir adopté de dispositions spécifiques concernant le consentement des salariés. Cela ne signifie pas qu’il soit interdit : l’article 6, paragraphe 1, point a), reste formellement disponible. Mais en l’absence de disposition nationale spécifique, l’employeur doit justifier sa position face aux orientations du CEPD et du groupe de travail « Article 29 », selon lesquelles le consentement d’un salarié ne peut généralement pas être présumé libre en raison du déséquilibre des pouvoirs. Une base juridiquement disponible en théorie n’est pas nécessairement défendable en pratique.

### Le consentement ne résout pas le problème de conception

Au-delà de la question juridique, le problème est structurel : obtenir un consentement éclairé à un test trompeur précis revient à neutraliser le test. Et si les salariés peuvent réellement refuser de participer, les premiers à le faire peuvent précisément être ceux dont l’exposition au risque avait justifié le programme. Une conception reposant sur le consentement est également particulièrement difficile à déployer de manière homogène dans plusieurs pays, ce qui pose problème aux organisations multinationales.

Toutes les descriptions du droit national figurant dans cette section sont de seconde main, y compris lorsque nous citons des dispositions précises. Or, les mises en œuvre nationales sont justement le domaine dans lequel les résumés de seconde main montrent le plus vite leurs limites. Rien ici ne doit être considéré comme une détermination juridique concernant une juridiction donnée. Un spécialiste local du droit du travail et de la protection des données doit confirmer la situation dans chaque pays concerné avant de concevoir un programme fondé sur le consentement. Cette fragmentation est, en elle-même, une raison de privilégier une conception qui ne dépend pas de la réponse à cette question.

## Le test de l’intérêt légitime face aux données disponibles

L’intérêt légitime se vérifie en trois étapes, qui doivent toutes être satisfaites. Le CEPD a rappelé cette structure dans son avis 1/2024 sur l’article 6, paragraphe 1, point f), et la Cour de justice a appliqué le même raisonnement dans l’affaire *KNLTB* (C-621/22, octobre 2024) : le seul fait qu’un intérêt du responsable du traitement soit commercialement réel ne suffit pas à rendre le traitement licite.

Étape 1 — un intérêt légitime

### Généralement satisfait

Protéger l’organisation contre l’ingénierie sociale constitue un intérêt légitime. Le considérant 49 reconnaît d’ailleurs explicitement la sécurité du réseau et des informations comme un intérêt légitime. Cette première étape peut donc généralement être défendue.

Étape 2 — nécessité

### C’est ici que les recherches sur l’efficacité entrent en jeu

Le critère de nécessité conduit à poser deux questions. Le traitement permet-il réellement d’atteindre l’objectif annoncé ? Et existe-t-il un moyen moins intrusif d’atteindre ce même objectif ? Une réponse négative à la première question ou positive à la seconde peut faire perdre à cette base sa justification. Or, ces réponses reposent sur des faits et des données empiriques, pas uniquement sur une analyse juridique.

C’est là que le contexte a changé. Pendant une décennie, l’affirmation « nous envoyons des simulations de phishing et attribuons des scores aux salariés parce que cela réduit le risque » était plausible, mais largement non vérifiée. C’est désormais une affirmation empirique contestée, et c’est au responsable du traitement d’être en mesure de l’étayer.

Étape 3 — mise en balance

### Les mêmes données fragilisent également cet équilibre

La mise en balance consiste à confronter l’intérêt poursuivi aux droits, aux libertés et aux attentes raisonnables de la personne concernée. Le déséquilibre des pouvoirs propre à la relation de travail joue ici en défaveur de l’employeur. En contrepartie de l’atteinte portée à la vie privée, l’employeur est censé pouvoir invoquer un bénéfice en matière de sécurité. Si ce bénéfice est faible ou n’est pas démontré, la même intrusion devient plus difficile à justifier. Et si les données montrent en plus une dégradation de la confiance ou une baisse du signalement des incidents, le poids se déplace directement du côté des droits du salarié.

Il en découle une conséquence directe pour la documentation : une analyse de l’intérêt légitime rédigée en 2019 et jamais réexaminée depuis peut ne plus suffire en 2026. La mise en balance repose sur une appréciation des faits. Or, nous disposons désormais d’un volume croissant de données empiriques et indépendantes, c’est-à-dire non publiées par les fournisseurs, sur l’efficacité des simulations de phishing.

Que disent les études évaluées par les pairs ?  
Quatre études de grande ampleur publiées entre 2022 et 2026, portant sur environ 36 000 salariés dans de véritables organisations, ont cherché à déterminer si les simulations fondées sur la tromperie apportaient réellement le bénéfice de sécurité invoqué pour les justifier. Elles sont résumées ici sous l’angle du critère de nécessité ; chacune est présentée en détail sur [la page consacrée aux fondements scientifiques de CyberCoach](https://www.cybercoach.com/science-behind-cybercoach?hsLang=fr).

14 733 salariés · 15 mois · IEEE Security & Privacy 2022

### Les salariés envoyés en formation après un échec ont ensuite davantage cliqué

Lain, Kostiainen et Capkun ont constaté que la page de formation affichée après un échec, c’est-à-dire précisément le mécanisme censé justifier la collecte des données d’échec, était associée à un comportement ultérieur moins bon, et non meilleur. Pour l’analyse de nécessité, c’est un résultat particulièrement problématique : il porte directement sur le traitement de données en cause, et non sur le principe général de la sensibilisation à la cybersécurité.

4 554 salariés · ACM CCS 2024

### C’est le rappel qui produisait l’effet, pas le contenu, et la formation obligatoire supplémentaire n’apportait rien

Lain et ses collègues ont attribué les améliorations observées au simple rappel de l’existence du programme, plutôt qu’au contenu de formation lui-même. Ils n’ont pas non plus constaté de bénéfice mesurable à imposer une formation supplémentaire aux personnes ayant échoué à plusieurs reprises. Ces deux constats remettent en cause la nécessité de conserver des données individuelles d’échec : si l’élément efficace est un rappel général, il n’est pas nécessaire de disposer de données individuelles pour le produire.

USENIX Security 2023

### Des effets négatifs documentés sur la confiance, la culture et le signalement des incidents

Brünken, Buckmann, Hielscher et Sasse ont recensé les coûts cachés des simulations de phishing, notamment la détérioration de la relation entre salarié et employeur et la baisse de la propension à signaler de véritables incidents. Pour la mise en balance, cette observation est importante : un contrôle qui décourage les signalements a un coût pour les deux parties. Il crée un risque de sécurité pour l’employeur tout en imposant un coût en matière de vie privée au salarié.

12 511 salariés · ACM Web Conference 2026

### Le taux de clic reflétait la difficulté du leurre, pas les compétences du salarié

Rozema et Davis n’ont constaté aucune amélioration significative de la capacité à détecter le phishing grâce aux simulations. Le taux de clic variait surtout en fonction de la difficulté du leurre : 7 % pour les leurres faciles, contre 15 % pour les plus difficiles. Cela remet en question la validité même du score. Si celui-ci mesure avant tout la difficulté du test choisi, un classement des salariés fondé sur ce score ne mesure pas ce que la plateforme prétend mesurer. Un profil qui ne mesure pas réellement la caractéristique qu’il prétend évaluer est difficile à défendre comme « exact » au regard de l’article 5, paragraphe 1, point d), et plus encore comme nécessaire.

Pour présenter les choses équitablement, cette littérature repose sur un nombre limité d’organisations et ne démontre pas que toute formation de sensibilisation est inefficace. Plusieurs auteurs précisent au contraire que la formation elle-même conserve une valeur. Ce que ces travaux montrent, c’est que l’on ne peut plus présumer de l’efficacité de la combinaison spécifique entre tromperie, enregistrement individuel des échecs et ciblage fondé sur un score. Or, le critère de nécessité oblige le responsable du traitement à pouvoir produire des éléments de preuve, et les données indépendantes disponibles aujourd’hui tendent plutôt dans la direction opposée.

Google a par ailleurs indiqué publiquement ne pas organiser de tests de phishing surprises auprès de ses salariés, considérant que l’atteinte à la confiance est disproportionnée par rapport au bénéfice. Il ne s’agit pas d’une autorité juridique, mais cela montre qu’une organisation disposant de capacités de sécurité avancées considère que ces simulations trompeuses peuvent être préjudiciables et évitables.

## Les scores de risque déclenchent-ils l’application de l’article 22 ?

L’article 22 encadre les décisions fondées exclusivement sur un traitement automatisé qui produisent des effets juridiques concernant une personne ou qui l’affectent de manière significative de façon similaire. Un score qui sert uniquement à sélectionner le prochain e-mail de simulation a peu de chances d’atteindre ce seuil. En revanche, la situation est différente si le score restreint automatiquement les droits d’accès d’une personne, l’inscrit à une formation corrective obligatoire, la signale aux RH ou alimente une évaluation de ses performances. L’arrêt *SCHUFA* (C-634/21) de la Cour de justice montre en outre que la production du score peut elle-même constituer la décision lorsqu’un acteur en aval s’appuie de manière déterminante sur ce score.

Pour un DPD, la vraie question n’est donc pas « le fournisseur appelle-t-il cela une décision ? », mais plutôt : « que se passe-t-il concrètement lorsque le score d’une personne augmente, et une intervention humaine réelle a-t-elle lieu avant que la conséquence ne s’applique ? »

Autre élément à prendre en compte : tout enregistrement individuel concernant un salarié peut entrer dans le champ d’une demande d’accès, y compris les scores qui en sont dérivés. Les salariés ont le droit d’accéder à leurs données, ainsi qu’aux informations exigées par le RGPD concernant le traitement et, lorsque le profilage est concerné, à des informations utiles concernant la logique sous-jacente.

## Qu’ajoute le règlement européen sur l’intelligence artificielle ?

Le règlement sur l’intelligence artificielle s’applique parallèlement au RGPD, et non à sa place. Deux aspects concernent directement les plateformes de sensibilisation reposant sur l’IA.

### L’emploi comme cas d’utilisation à haut risque

L’annexe III classe comme systèmes d’IA à haut risque certains systèmes destinés à surveiller ou à évaluer le comportement ou les performances des travailleurs. Pour déterminer si un moteur de scoring de vulnérabilité entre dans cette catégorie, il faut examiner sa finalité prévue. Votre fournisseur devrait être en mesure de vous communiquer sa position par écrit.

L’échéance de conformité applicable aux obligations relatives aux systèmes d’IA à haut risque autonomes visés à l’annexe III a été reportée par le règlement (UE) 2026/1744, le « train de mesures omnibus numérique sur l’IA », du 2 août 2026 au 2 décembre 2027. Deux éléments n’ont toutefois **pas** été reportés : les obligations de transparence de l’article 50 et les obligations relatives à la maîtrise de l’IA prévues à l’article 4 ont conservé leur calendrier propre, tandis que l’interdiction visée à l’article 5 concernant certaines inférences d’émotions sur le lieu de travail s’applique depuis février 2025.

### Pratiques interdites

L’article 5 interdit notamment certains systèmes destinés à inférer les émotions sur le lieu de travail, ainsi que certaines pratiques de notation sociale conduisant à un traitement préjudiciable dans des contextes sans rapport avec ceux dans lesquels les données ont été générées. Les plateformes de sensibilisation classiques ne sont pas conçues pour ces usages. Il reste néanmoins important de surveiller cette frontière à mesure que les fournisseurs ajoutent des fonctionnalités liées à l’engagement, au sentiment ou aux incitations comportementales, plutôt que de supposer qu’elle ne sera jamais franchie.

Pour les responsables de la sécurité, ces contraintes se cumulent. Un contrôle dont la nécessité est contestée au regard du RGPD, dont l’exactitude est remise en question par la recherche et qui peut relever de la catégorie des systèmes d’IA à haut risque entraîne trois ensembles distincts d’exigences de documentation. Une approche qui propose une formation pratique, personnalisée et efficace sans établir de profil individuel évite une grande partie de cette complexité.

## Instances représentatives du personnel et droit national du travail

L’article 88 permet aux États membres d’adopter des dispositions spécifiques dans le contexte professionnel, et plusieurs l’ont fait. Respecter le RGPD est donc nécessaire, mais pas toujours suffisant.

En Allemagne, les systèmes techniques permettant de surveiller les performances ou le comportement des salariés nécessitent généralement la participation du comité d’entreprise au titre de la législation allemande sur l’organisation des entreprises, indépendamment de la base juridique retenue pour le traitement des données

Aux Pays-Bas, en France et dans les pays nordiques, les obligations de consultation des représentants du personnel et les orientations des autorités nationales de protection des données concernant la surveillance sur le lieu de travail viennent s’ajouter à l’analyse menée au titre du RGPD

## Ce qu’il faut documenter, quelle que soit l’approche choisie

Cette liste se veut volontairement neutre. Une organisation qui traite sérieusement chacune de ces questions avant de décider de poursuivre les simulations fondées sur la tromperie se trouve dans une position bien plus solide qu’une organisation qui ne se les est jamais posées.

**1.** Une analyse actualisée de l’intérêt légitime, datant de moins de douze mois et tenant compte des études publiées sur l’efficacité du dispositif plutôt que de les ignorer.

**2.** Une analyse documentée des alternatives : quelles méthodes moins intrusives ont été envisagées et sur quels éléments leur insuffisance a-t-elle été établie ?

**3.** Une analyse d’impact relative à la protection des données (AIPD) lorsqu’elle est requise en raison de la surveillance des salariés, du profilage et/ou de la prise de décision automatisée.

**4.** Des informations transparentes expliquant clairement que des attaques simulées seront envoyées, quelles données seront enregistrées pour chaque personne, qui pourra y accéder et pendant combien de temps. Ces informations doivent être communiquées de manière proactive avant le lancement du programme, et non uniquement après une plainte.

**5.** Une durée de conservation définie pour les données individuelles d’échec et les scores qui en sont dérivés, avec une suppression effectivement mise en œuvre.

**6.** Une position claire concernant l’exercice du droit d’opposition prévu à l’article 21 : que se passe-t-il lorsqu’un salarié s’oppose au profilage et qui prend la décision ?

**7.** Une analyse au titre de l’article 22 de chaque conséquence automatisée associée à un score, ainsi qu’une documentation précisant à quel moment intervient un contrôle humain.

**8.** Une réponse écrite de votre fournisseur indiquant si son système relève des systèmes d’IA à haut risque au titre de l’annexe III du règlement sur l’intelligence artificielle, ainsi que les obligations qui en découlent pour vous en tant que déployeur.

**9.** La preuve de la consultation ou de l’implication du comité d’entreprise ou des représentants du personnel lorsque le droit national l’exige, avant le déploiement du système.

## Derrière la question juridique, une question de conception

La quasi-totalité des obligations évoquées ci-dessus découle du fait que le programme crée un dossier individuel sur les performances de chaque salarié. Supprimez ce dossier et l’analyse se simplifie considérablement : pas de profilage individuel, pas de score de vulnérabilité à communiquer dans le cadre d’une demande d’accès, pas de question équivalente au titre de l’article 22 et beaucoup moins de difficultés liées à un système de surveillance des salariés.

La démonstration de la conformité n’exige pas non plus de conserver ces données d’échec. Les auditeurs cherchent à savoir si les formations obligatoires ont été suivies ; les données d’achèvement permettent de le démontrer. Les données individuelles d’échec, elles, servent à mesurer les personnes. Or, c’est précisément la pertinence de cette forme de mesure que les recherches récentes remettent en question.

**Notre position, présentée ouvertement comme reflétant notre propre intérêt et non comme une conclusion neutre :** CyberCoach est conçu sans scoring individuel. L’apprentissage est anonyme ; seul l’achèvement réussi de la formation est enregistré pour chaque personne. La plateforme peut également fonctionner avec des identifiants Microsoft pseudonymisés, de sorte qu’aucune donnée à caractère personnel ne nous soit transmise. [Les recherches à l’origine de cette conception](https://www.cybercoach.com/science-behind-cybercoach?hsLang=fr) sont documentées. À nos yeux, cette approche répond mieux à la question de la nécessité. Comme pour tout raisonnement juridique avancé par un fournisseur à propos de son propre produit, vous devez toutefois confronter cette affirmation à votre situation et aux conseils de votre propre juriste.

## Questions fréquentes

### Les simulations de phishing sont-elles légales dans l’UE ?

Les simulations de phishing ne font l’objet d’aucune interdiction générale et n’ont pas été déclarées illicites en tant que telles. Le RGPD exige toutefois une base juridique valable pour traiter les données à caractère personnel des salariés qu’elles génèrent, ainsi qu’une information transparente, une conception proportionnée, une durée de conservation définie et, lorsque le droit national l’impose, l’implication des représentants du personnel. Pour un employeur privé, la base la plus réaliste est généralement l’intérêt légitime au titre de l’article 6, paragraphe 1, point f), qui doit être documenté et régulièrement réévalué.

### Un employeur peut-il se fonder sur le consentement des salariés pour réaliser des simulations de phishing ?

En règle générale, non. Les autorités européennes considèrent que le consentement d’un salarié est rarement donné librement en raison du déséquilibre des pouvoirs dans la relation de travail. Un consentement qui ne peut être refusé sans conséquence défavorable n’est pas valable. Certains pays, comme le Danemark, disposent toutefois d’une législation nationale complémentaire considérée comme plus permissive, mais la marge paraît étroite et concerne surtout des dispositifs véritablement facultatifs auxquels le salarié peut renoncer sans subir de préjudice.

### Les scores individuels de risque de phishing constituent-ils un profilage au sens du RGPD ?

Oui, selon une lecture ordinaire de l’article 4, point 4). Un score issu d’une évaluation automatisée du comportement d’un salarié et utilisé pour prévoir sa fiabilité future ou lui appliquer d’autres traitements constitue un profilage. Cela entraîne des exigences renforcées en matière de transparence, ouvre un droit d’opposition au titre de l’article 21 lorsque le traitement repose sur l’intérêt légitime et rend probable la nécessité d’une AIPD.

### Les études mettant en doute l’efficacité des simulations peuvent-elles remettre en cause la base juridique ?

Oui, potentiellement, car la nécessité et la mise en balance des intérêts dépendent des faits et ne sont pas des conclusions juridiques figées. La nécessité suppose que le traitement permette réellement d’atteindre son objectif et qu’aucun moyen moins intrusif ne permette d’obtenir le même résultat. Lorsque des études indépendantes évaluées par les pairs font état d’un bénéfice durable faible ou inexistant, ainsi que de coûts documentés pour la confiance et le signalement des incidents, la charge de la preuve pesant sur un responsable du traitement qui invoque l’intérêt légitime devient plus importante.

### ISO 27001, SOC 2, NIS2 ou DORA imposent-ils des simulations de phishing ?

Ces référentiels imposent différentes exigences en matière de sensibilisation, d’éducation, de formation et de test des contrôles de sécurité. Aucun ne prescrit pour autant des simulations trompeuses ciblant des personnes identifiées ni la conservation d’un historique individuel des échecs. Une obligation de former n’est pas une obligation de tromper et de noter.

### Le règlement européen sur l’intelligence artificielle s’applique-t-il aux plateformes de sensibilisation à la cybersécurité ?

Il peut s’appliquer. L’annexe III du règlement (UE) 2024/1689 classe comme systèmes d’IA à haut risque certains systèmes destinés à surveiller ou à évaluer le comportement ou les performances des travailleurs. L’échéance de conformité applicable à cette catégorie a été reportée du 2 août 2026 au 2 décembre 2027 par le train de mesures omnibus numérique sur l’IA, règlement (UE) 2026/1744. Les obligations de transparence de l’article 50 et les dispositions de l’article 4 relatives à la maîtrise de l’IA n’ont toutefois pas suivi le même report. La classification d’un moteur particulier de scoring de vulnérabilité dépend de sa finalité prévue. Les déployeurs ont donc intérêt à obtenir dès maintenant une position écrite du fournisseur sur la classification du système et sur les obligations qui en découlent.

### Les salariés peuvent-ils demander les résultats de leurs simulations de phishing ?

Oui. Les résultats individuels et les scores de risque qui en sont dérivés constituent des données à caractère personnel. Ils relèvent donc du droit d’accès prévu à l’article 15, avec les informations requises sur les finalités du traitement, les destinataires et la durée de conservation et, lorsqu’un profilage est concerné, des informations utiles concernant la logique sous-jacente. Lorsque le traitement repose sur l’intérêt légitime, les salariés peuvent également exercer leur droit d’opposition au titre de l’article 21.

### Peut-on proposer une formation de sensibilisation à la cybersécurité sans traiter de données à caractère personnel ?

Dans une large mesure, oui. CyberCoach permet à l’apprenant de personnaliser son expérience sans que ces choix soient enregistrés ou associés à son identité pendant les interactions d’apprentissage anonymes. Seul l’achèvement réussi de la formation est enregistré. Il n’existe donc pas de dossier individuel de performance à communiquer ou à justifier. L’utilisation d’identifiants pseudonymisés, tels que les Microsoft UUID, permet en outre de réduire davantage le traitement de données à caractère personnel, tandis que les administrateurs autorisés du client conservent les rapports nécessaires à la démonstration de la conformité.

Avertissement complet, sources et révision

Publication de CyberCoach, qui commercialise une plateforme de sensibilisation à la cybersécurité ne profilant pas individuellement les salariés. Nous avons un intérêt commercial dans les conclusions présentées ci-dessus et avons cherché à exposer également les arguments contraires de manière équitable. Rien dans ce document ne constitue un conseil ou un avis juridique, et sa lecture ne crée aucune relation avocat-client. Il ne tient pas compte de votre juridiction, de votre secteur, de vos conventions collectives ni des circonstances propres à votre organisation. La législation, les règles nationales de mise en œuvre, les orientations des autorités et la jurisprudence évoluent. Les dispositions et les dates doivent donc être vérifiées dans les sources officielles en vigueur. Consultez un juriste local qualifié avant d’agir sur la base des informations présentées ici.

Principales sources citées : règlement (UE) 2016/679 (articles 4, point 4), 5, 6, 9, 13 à 15, 21, 22, 35 et 88, et considérant 49) ; règlement (UE) 2024/1689 (règlement sur l’intelligence artificielle, article 5 et annexe III) ; règlement (UE) 2026/1744 (train de mesures omnibus numérique sur l’IA), modifiant le règlement (UE) 2024/1689 ; directive (UE) 2022/2555 (NIS2) ; avis 1/2024 du CEPD relatif à l’intérêt légitime ; avis 2/2017 du groupe de travail « Article 29 » sur le traitement des données sur le lieu de travail ; CJUE, C-621/22 (*KNLTB*) et C-634/21 (*SCHUFA*) ; loi danoise sur la protection des données complétant le RGPD. Recherches : Lain, Kostiainen et Capkun, IEEE Security & Privacy 2022 ; Lain, Jost, Matetic, Kostiainen et Capkun, ACM CCS 2024 ; Brünken, Buckmann, Hielscher et Sasse, USENIX Security 2023 ; Rozema et Davis, ACM Web Conference 2026 ; Google Security Blog, 2024.

Publié le 26 août 2026

Révisé chaque trimestre

Corrections : [info@cybercoach.com](mailto:info@cybercoach.com)

## Consultez les recherches avant d’écouter le discours commercial

Toutes les études citées ci-dessus sont résumées sur notre page consacrée aux recherches, avec leurs limites, y compris les résultats qui rendent notre propre argumentation moins simple.

# Commencez Gratuitement

Sans carte bancaire.

[Ça m’intéresse !](https://www.cybercoach.com/free-trial?hsLang=fr)

[![phishy\_badge\_cybercoach](https://www.cybercoach.com/hubfs/phishy_badge_cybercoach.svg)](https://blog.cybercoach.com/phishing-training-makes-employees-more-prone-to-be-phished?hsLang=fr)

## Les Formations au Phishing Rendent les Employés plus Susceptibles de Tomber dans le Piège

Toute une industrie de simulations de phishing a vu le jour pour lutter contre les risques liés aux attaques de phishing...

[EN SAVOIR PLUS](https://blog.cybercoach.com/phishing-training-makes-employees-more-prone-to-be-phished?hsLang=fr)

![cybercoach\_logo\_white.svg.2023\_03\_15\_16\_58\_04.0](https://www.cybercoach.com/hubfs/cybercoach_logo_white.svg.2023_03_15_16_58_04.0.svg)

<https://linkedin.com/company/cult-security><https://x.com/cybercoachUS><https://www.instagram.com/cybercoachus/><https://www.youtube.com/@CyberCoachOfficial>

### Produit

- Pour les Développeurs
- Sécurité IA
- [Impact social](https://www.cybercoach.com/social-impact?hsLang=fr)
- [Gérer l’Abonnement](https://billing.stripe.com/p/login/28o4jRclF4gab1C6oo)
- [FAQ](https://www.cybercoach.com/faq?hsLang=fr)

### Connecter

- [Partenariat](https://www.cybercoach.com/fr/programme-partenaire?hsLang=fr)
- [Carrières](https://www.cybercoach.com/careers?hsLang=fr)
- [Pour les Médias](https://www.cybercoach.com/media?hsLang=fr)
- [Contactez-Nous](https://www.cybercoach.com/fr/contactez-nous?hsLang=fr)

### Légal

- [Confidentialité](https://www.cybercoach.com/cybercoach-website-privacy?hsLang=fr)
- [Conditions générales](https://www.cybercoach.com/general-terms?hsLang=fr)

### Entreprise

- [À Propos de Nous](https://www.cybercoach.com/about-us?hsLang=fr)
- [Événements](https://www.cybercoach.com/events?hsLang=fr)
- [Blog](https://blog.cybercoach.com?hsLang=fr)
- [Politique ESG](https://www.cybercoach.com/esg-policy?hsLang=fr)

© 2025 CyberCoach   
Tous droits réservés

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://www.cybercoach.com/#organization",
  "@type" : "Organization",
  "foundingDate" : "2019",
  "legalName" : "Cult Security",
  "logo" : "https://www.cybercoach.com/hubfs/CyberCoach_Full_Logo_Black-2.svg",
  "name" : "CyberCoach",
  "sameAs" : [ "https://www.linkedin.com/company/cult-security", "https://x.com/cybercoachUS", "https://www.instagram.com/cybercoachus/", "https://www.youtube.com/@CyberCoachOfficial" ],
  "url" : "https://www.cybercoach.com/"
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://www.cybercoach.com/#software",
  "@type" : "SoftwareApplication",
  "applicationCategory" : "BusinessApplication",
  "applicationSubCategory" : "Security awareness and AI skills training",
  "availableLanguage" : [ "English", "Spanish", "Portuguese (Brazil)", "Portuguese (Portugal)", "French", "Dutch", "German", "Swedish", "Finnish" ],
  "description" : "CyberCoach is a role-based security awareness, privacy and AI skills training platform that runs as a conversational app inside Microsoft Teams, Slack or a web browser. Employees practice AI skills and responding to social engineering in short, psychologically safe scenario-based sessions. Learning is anonymous while successful completions are recorded per user so the organization can evidence training completion for compliance. CyberCoach can also run on pseudonymous identifiers such as Slack or Microsoft UUIDs, with no personal data shared with CyberCoach.",
  "featureList" : [ "Conversational phishing and social engineering challenges", "Role-based training programs for technical and non-technical roles", "AI security and AI use training", "Secure coding training for developers", "OT security training", "Custom content creation", "Compliance assessments (ISO/IEC 27001, GDPR, AI compliance)", "Anonymous learning with per-user completion records for compliance", "Optional pseudonymous deployment using Slack or Microsoft UUIDs" ],
  "name" : "CyberCoach",
  "offers" : [ {
    "@type" : "Offer",
    "description" : "Cover the basics.",
    "name" : "Starter",
    "price" : "49",
    "priceCurrency" : "EUR"
  }, {
    "@type" : "Offer",
    "description" : "Broad topic coverage, custom content, hosted kick-off.",
    "name" : "Advanced",
    "price" : "159",
    "priceCurrency" : "EUR"
  }, {
    "@type" : "Offer",
    "description" : "Full coverage, 24/7 AI chat, compliance assessments, hosted kick-off.",
    "name" : "Complete",
    "price" : "179",
    "priceCurrency" : "EUR"
  } ],
  "operatingSystem" : "Microsoft Teams, Slack, Web browser, iOS, Android",
  "publisher" : {
    "@id" : "https://www.cybercoach.com/#organization"
  },
  "url" : "https://www.cybercoach.com/"
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://www.cybercoach.com/#faq",
  "@type" : "FAQPage",
  "mainEntity" : [ {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "CyberCoach is a security awareness, privacy and AI skills training platform that runs inside Microsoft Teams, Slack or a web browser. Employees practice role-based skills such as responding to social engineering, ethical and productive use of AI and even secure coding skills in short conversational scenarios. Learning is anonymous, while successful completions are stored so the organization can evidence training completion for compliance frameworks such as ISO/IEC 27001 and SOC 2."
    },
    "name" : "What is CyberCoach?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Yes, but not by sending deceptive emails to employees. CyberCoach uses conversational phishing challenges in which employees practice recognizing and responding to social engineering scenarios in Teams, Slack or the browser. Peer-reviewed research, including Lain et al. (ETH Zurich, 2022 and 2024), finds that traditional email-based simulated phishing does not reduce risk and can increase misplaced trust in the inbox."
    },
    "name" : "Does CyberCoach do phishing tests?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "No. Learning is anonymous: how an employee answered a training scenario is never visible to managers or administrators. What is recorded is successful completion, so the organization can evidence who has completed required training for compliance purposes. This is privacy by design: the sensitive part of the interaction stays private, and only the completion fact is retained."
    },
    "name" : "Are individual employee answers visible to managers?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Yes. CyberCoach can be deployed using pseudonymous identifiers, such as Slack or Microsoft UUIDs, so no personal data is shared with CyberCoach. Compliance reporting still works: the mapping between a UUID and a real person is resolved only for authenticated and authorized administrators within the customer's own organization."
    },
    "name" : "Can CyberCoach be used without sharing personal data?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "CyberCoach supports security awareness and secure development training requirements under ISO/IEC 27001 and SOC 2, and includes assessments covering ISO 27001, GDPR and AI compliance on the Complete plan."
    },
    "name" : "Which compliance requirements does CyberCoach support?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "CyberCoach is available in English, Spanish, Portuguese (Brazil), Portuguese (Portugal), Polish, French, Dutch, German, Swedish, Norwegian, Danish and Finnish, with more languages in development."
    },
    "name" : "Which languages does CyberCoach support?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Plans start at 49 EUR per month for Starter, 159 EUR per month for Advanced and 179 EUR per month for Complete, available monthly or yearly, including through the Microsoft Azure Marketplace."
    },
    "name" : "How much does CyberCoach cost?"
  } ]
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://www.cybercoach.com/legal-basis-phishing-simulation#article",
  "@type" : "Article",
  "about" : [ {
    "@type" : "Thing",
    "name" : "Règlement général sur la protection des données"
  }, {
    "@type" : "Thing",
    "name" : "Profilage des salariés"
  }, {
    "@type" : "Thing",
    "name" : "Intérêt légitime"
  }, {
    "@type" : "Thing",
    "name" : "Formation à la sensibilisation à la cybersécurité"
  }, {
    "@type" : "Thing",
    "name" : "Règlement européen sur l’intelligence artificielle"
  } ],
  "author" : {
    "@type" : "Organization",
    "name" : "CyberCoach",
    "url" : "https://www.cybercoach.com/"
  },
  "citation" : [ {
    "@type" : "CreativeWork",
    "author" : "Lain, Kostiainen, Capkun",
    "datePublished" : "2022",
    "isPartOf" : "IEEE Symposium on Security and Privacy",
    "name" : "Phishing in Organizations: Findings from a Large-Scale and Long-Term Study"
  }, {
    "@type" : "CreativeWork",
    "author" : "Lain, Jost, Matetic, Kostiainen, Capkun",
    "datePublished" : "2024",
    "isPartOf" : "ACM Conference on Computer and Communications Security",
    "name" : "Content, Nudges and Incentives: A Study on the Effectiveness and Perception of Embedded Phishing Training"
  }, {
    "@type" : "CreativeWork",
    "author" : "Brunken, Buckmann, Hielscher, Sasse",
    "datePublished" : "2023",
    "isPartOf" : "USENIX Security Symposium",
    "name" : "To Simulate or Not to Simulate: Hidden Costs of Simulated Phishing"
  } ],
  "dateModified" : "2026-08-26",
  "datePublished" : "2026-08-26",
  "description" : "Les plateformes de gestion du risque humain réalisent un profilage des salariés au sens de l’article 4, point 4), du RGPD. Pour la plupart des employeurs européens, l’intérêt légitime constitue la seule base juridique réellement envisageable, mais le critère de nécessité est directement remis en question par des études récentes évaluées par les pairs sur l’efficacité des simulations de phishing fondées sur la tromperie.",
  "disambiguatingDescription" : "Informations générales destinées aux professionnels de la sécurité et de la protection des données. Ceci ne constitue pas un conseil juridique.",
  "headline" : "Quelle base juridique pour les simulations de phishing pilotées par l’IA et l’évaluation du risque humain au regard du RGPD ?",
  "inLanguage" : "fr",
  "publisher" : {
    "@id" : "https://www.cybercoach.com/#organization"
  },
  "url" : "https://www.cybercoach.com/legal-basis-phishing-simulation"
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://www.cybercoach.com/legal-basis-phishing-simulation#faq",
  "@type" : "FAQPage",
  "mainEntity" : [ {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Les simulations de phishing ne font l’objet d’aucune interdiction générale et n’ont pas été déclarées illicites en tant que telles. Le RGPD exige toutefois une base juridique valable pour traiter les données à caractère personnel des salariés qu’elles génèrent, ainsi qu’une information transparente, une conception proportionnée, une durée de conservation définie et, lorsque le droit national l’impose, l’implication des représentants du personnel. Pour un employeur privé, la base la plus réaliste est généralement l’intérêt légitime au titre de l’article 6, paragraphe 1, point f), qui doit être documenté et régulièrement réévalué. Il s’agit d’informations générales et non d’un conseil juridique."
    },
    "name" : "Les simulations de phishing sont-elles légales dans l’UE ?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "En règle générale, non. Les autorités européennes considèrent que le consentement d’un salarié est rarement donné librement en raison du déséquilibre des pouvoirs dans la relation de travail. Un consentement qui ne peut être refusé sans conséquence défavorable n’est pas valable. La législation nationale danoise est généralement considérée comme plus permissive, mais sa portée probable reste limitée aux dispositifs véritablement facultatifs auxquels un salarié peut renoncer sans subir de préjudice. Un juriste danois devrait confirmer la situation avant la conception d’un programme reposant sur le consentement."
    },
    "name" : "Un employeur peut-il se fonder sur le consentement des salariés pour réaliser des simulations de phishing ?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Oui, selon une lecture ordinaire de l’article 4, point 4), du RGPD. Un score issu d’une évaluation automatisée du comportement d’un salarié et utilisé pour prévoir sa fiabilité future ou lui appliquer d’autres traitements constitue un profilage. Cela entraîne des exigences renforcées de transparence au titre des articles 13 et 14, un droit d’opposition au titre de l’article 21 lorsque le traitement repose sur l’intérêt légitime et, probablement, l’obligation de réaliser une analyse d’impact relative à la protection des données au titre de l’article 35."
    },
    "name" : "Les scores individuels de risque de phishing constituent-ils un profilage au sens du RGPD ?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Oui, potentiellement, car la nécessité et la mise en balance au titre de l’article 6, paragraphe 1, point f), reposent sur une appréciation des faits et non sur des conclusions juridiques figées. La nécessité suppose que le traitement permette réellement d’atteindre son objectif et qu’aucun moyen moins intrusif ne suffise. Lorsque des études indépendantes évaluées par les pairs font état d’un bénéfice durable faible ou inexistant et de coûts documentés pour la confiance et le signalement des incidents, la charge probatoire du responsable du traitement qui invoque l’intérêt légitime devient plus importante."
    },
    "name" : "Les études mettant en doute l’efficacité des simulations de phishing peuvent-elles remettre en cause la base juridique ?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Ces référentiels imposent différentes exigences en matière de sensibilisation, d’éducation, de formation et de test des contrôles de sécurité. Aucun ne prescrit pour autant des simulations trompeuses ciblant des personnes identifiées ni la conservation d’un historique individuel des échecs. Une obligation de former n’est pas une obligation de tromper et de noter."
    },
    "name" : "ISO 27001, SOC 2, NIS2 ou DORA imposent-ils des simulations de phishing ?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Il peut s’appliquer. L’annexe III du règlement (UE) 2024/1689 classe comme systèmes d’IA à haut risque certains systèmes destinés à surveiller ou à évaluer le comportement ou les performances des travailleurs. La classification d’un moteur particulier de scoring de vulnérabilité dépend de sa finalité prévue. Les déployeurs devraient donc demander au fournisseur une position écrite sur la classification du système et sur les obligations qui en découlent."
    },
    "name" : "Le règlement européen sur l’intelligence artificielle s’applique-t-il aux plateformes de sensibilisation à la cybersécurité ?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Oui. Les résultats individuels et les scores de risque qui en sont dérivés constituent des données à caractère personnel et relèvent du droit d’accès prévu à l’article 15, avec les informations requises sur les finalités, les destinataires et la conservation des données et, lorsqu’un profilage est concerné, des informations utiles concernant la logique sous-jacente. Lorsque le traitement repose sur l’intérêt légitime, les salariés peuvent également exercer leur droit d’opposition au titre de l’article 21."
    },
    "name" : "Les salariés peuvent-ils demander les résultats de leurs simulations de phishing ?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Dans une large mesure, oui. Si les interactions d’apprentissage sont anonymes et que seul l’achèvement réussi de la formation est enregistré, aucun dossier individuel de performance n’est créé. L’utilisation d’identifiants pseudonymisés tels que les Microsoft UUID peut en outre réduire le traitement de données à caractère personnel par le fournisseur, tandis que les administrateurs authentifiés et autorisés du client conservent les informations nécessaires au reporting de conformité."
    },
    "name" : "Peut-on proposer une formation de sensibilisation à la cybersécurité sans traiter de données à caractère personnel ?"
  } ]
}
```