Vilken rättslig grund finns för AI-driven phishing-simulering och individuell riskpoängsättning enligt GDPR?
Plattformar för human risk management profilerar medarbetare: de skickar simulerade attacker, registrerar vilka som misslyckas och beräknar individuella riskpoäng som styr automatiserad målinriktning. Enligt GDPR är detta profilering av anställdas personuppgifter och behandlingen behöver en rättslig grund enligt artikel 6. I praktiken är berättigat intresse den mest realistiska grunden för de flesta privata europeiska arbetsgivare. Berättigat intresse kräver dock att behandlingen faktiskt är nödvändig för att uppnå det angivna ändamålet. Det är just detta antagande som en växande mängd sakkunniggranskad forskning nu ifrågasätter.
Den här sidan går igenom analysen på det sätt som en säkerhetsansvarig kan behöva presentera den för ett dataskyddsombud och som ett dataskyddsombud kan behöva dokumentera den: vilka personuppgifter som behandlas, vilka rättsliga grunder som realistiskt kan vara tillämpliga, hur nödvändighets- och intresseavvägningen påverkas av forskningen om effektivitet samt vad EU:s AI-förordning tillför.
Den här artikeln innehåller allmän information för yrkesverksamma inom säkerhet och dataskydd och publiceras av CyberCoach, som säljer en alternativ metod. Innehållet är inte juridisk rådgivning, skapar inget advokat–klientförhållande och tar inte hänsyn till er bransch, jurisdiktion, era kollektivavtal eller de specifika omständigheterna i er organisation. Dataskyddslagstiftningen tillämpas nationellt och tolkningen utvecklas över tid. Inhämta kvalificerad lokal juridisk rådgivning innan ni förlitar er på någon av ståndpunkterna som beskrivs här, och betrakta vårt kommersiella intresse som ytterligare ett skäl att kontrollera resonemanget.
Det korta svaret
Vilka personuppgifter behandlas egentligen?
Innan frågan om rättslig grund kan besvaras måste själva behandlingen beskrivas. En modern plattform för human risk management behandlar vanligtvis följande uppgifter om en namngiven medarbetare:
Två egenskaper hos denna behandling är juridiskt särskilt relevanta. För det första genereras uppgifterna genom arbetsgivarens egen vilseledande simulering i stället för att lämnas frivilligt av medarbetaren. För det andra är resultatet en bedömning av personens kompetens eller beteende, vilket är den typ av behandling som ligger närmast möjliga konsekvenser i anställningsförhållandet.
Är simulerad phishing med individuell spårning ”profilering”?
Artikel 4.4 GDPR definierar profilering som automatiserad behandling av personuppgifter som används för att bedöma vissa personliga egenskaper hos en fysisk person, särskilt för att analysera eller förutsäga bland annat arbetsprestationer, pålitlighet eller beteende. En plattform som registrerar hur en medarbetare reagerar på en simulerad attack, omvandlar resultatet till ett sårbarhetsvärde och använder värdet för att förutsäga framtida beteende ligger därför nära definitionens kärna.
Det ligger också nära hur plattformarna själva beskriver sin produktkategori: ”human risk management” bygger uttryckligen på mätning och bedömning på individnivå. Om en konsekvensbedömning avseende dataskydd (DPIA) beskriver samma system som något mindre än profilering kan det vara svårt att förena med hur systemet faktiskt används.
Fyra möjliga rättsliga grunder, en i taget
Artikel 6.1 anger sex rättsliga grunder. Skydd av grundläggande intressen och uppgift av allmänt intresse är normalt inte tillämpliga för en vanlig privat arbetsgivare som driver ett säkerhetsutbildningsprogram. Det lämnar fyra alternativ att analysera.
Samtycke – artikel 6.1 a
Samtycke måste vara frivilligt. Europeisk dataskyddsvägledning har konsekvent framhållit att en medarbetare sällan befinner sig i en position där ett erbjudande från arbetsgivaren kan avböjas helt fritt, på grund av maktobalansen i anställningsförhållandet. Samtycke som inte kan återkallas utan negativa konsekvenser är inte frivilligt.
Det finns dessutom ett strukturellt problem som är särskilt relevant för vilseledande simuleringar: informerat samtycke till ett specifikt phishing-test påverkar själva testets funktion. Ett program kan kommuniceras på en övergripande nivå, men om deltagandet samtidigt är helt frivilligt påverkas även vilken population som faktiskt testas.
Rättslig förpliktelse – artikel 6.1 c
Denna rättsliga grund kräver en rättslig förpliktelse som gör just behandlingen nödvändig. NIS2 kräver cyberhygien och säkerhetsutbildning, och ramverk som ISO/IEC 27001, SOC 2 och DORA innehåller krav på säkerhetsmedvetenhet, utbildning och kontroller. Men ett krav på utbildning innebär inte automatiskt ett krav på att skicka vilseledande meddelanden till namngivna medarbetare och behålla individuella misslyckanden eller riskpoäng.
Den viktiga distinktionen är därför: en skyldighet att utbilda är inte i sig en skyldighet att vilseleda och poängsätta. Dokumentation av genomförd utbildning och individuell ranking av sårbarhet är olika behandlingar och behöver motiveras separat.
Fullgörande av avtal – artikel 6.1 b
Denna grund tolkas snävt: behandlingen måste vara objektivt nödvändig för att fullgöra avtalet. Det kan därför vara svårt att hävda att ett anställningsavtal i sig gör det nödvändigt för arbetsgivaren att testa medarbetare genom vilseledande simuleringar och individuell poängsättning.
Berättigat intresse – artikel 6.1 f
För många privata arbetsgivare är detta den mest realistiska rättsliga grunden. Den kräver dock en faktisk och dokumenterad bedömning. Tre kumulativa förutsättningar måste vara uppfyllda: ett berättigat intresse, att behandlingen är nödvändig och att den registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre.
En ytterligare fråga gäller artikel 9. Säkerhetsutbildningar är normalt inte avsedda att behandla särskilda kategorier av personuppgifter, men fritextsvar, tillgänglighetsbehov kopplade till funktionsnedsättning eller vissa hälsorelaterade phishing-scenarier kan göra sådana uppgifter relevanta. Även detta bör övervägas i en DPIA.
Förändrar nationella regler analysen av samtycke?
Artikel 88 GDPR ger medlemsstaterna möjlighet att anta särskilda regler för behandling av personuppgifter i anställningsförhållanden. Resultatet är nationella skillnader. Sammanfattningarna nedan bör därför användas som orientering inför en diskussion med lokal juridisk rådgivare, inte som slutsatser om nationell rätt.
Tyskland – det tydligaste undantaget
§ 26.2 i den tyska federala dataskyddslagen (BDSG) brukar beskrivas som en bestämmelse som tillåter samtycke från arbetstagare och anger omständigheter som kan tala för att samtycket är frivilligt. Hur bestämmelsen ska tillämpas efter senare EU-rättslig utveckling bör kontrolleras med tysk rådgivare.
Danmark – ofta beskrivet som mer tillåtande
Dansk rätt beskrivs ibland som att den lämnar ett större utrymme för samtycke i anställningsförhållanden än den generella europeiska utgångspunkten. Det tänkbara utrymmet är dock begränsat och huruvida ett phishing-simuleringsprogram kan utformas inom detta utrymme bör bedömas mot aktuell dansk rätt och Datatilsynets praxis.
Finland – nödvändighetskravet står i centrum
Finländska regler om integritetsskydd i arbetslivet beskrivs som att nödvändighetskravet för behandling av arbetstagares personuppgifter inte kan kringgås genom samtycke. Om Finland omfattas av programmet bör denna fråga bekräftas tidigt med lokal juridisk rådgivare.
Portugal – en annan nationell modell
Portugisisk rätt diskuteras i juridisk litteratur som ett exempel på hur medlemsstaternas regler om samtycke i anställningsförhållanden kan skilja sig från den tyska modellen. Den konkreta tillämpningen bör kontrolleras mot aktuell nationell rätt.
De flesta medlemsstater – ingen specifik regel åt något håll
I många medlemsstater finns ingen särskild regel om samtycke från arbetstagare. Artikel 6.1 a är därmed formellt tillgänglig, men arbetsgivaren behöver fortfarande hantera den europeiska vägledningen om maktobalansen i anställningsförhållandet. Formellt tillgänglig och praktiskt försvarbar är inte samma sak.
Designproblemet som samtycke inte löser
Utöver den juridiska frågan finns ett strukturellt problem: informerat samtycke till ett specifikt vilseledande test förändrar själva testet, och ett program som medarbetarna helt fritt kan avstå från kommer inte längre att omfatta samma population. En samtyckesbaserad modell är dessutom svårare att använda konsekvent i en multinationell organisation.
Testet för berättigat intresse och var forskningen blir relevant
Berättigat intresse bygger på tre kumulativa förutsättningar. Alla tre måste vara uppfyllda: ett berättigat intresse, nödvändig behandling för detta intresse samt en intresseavvägning där den registrerades intressen, rättigheter och friheter inte väger tyngre.
Ofta möjligt att visa
Att skydda organisationen mot social engineering är ett legitimt säkerhetsintresse. Skäl 49 i GDPR erkänner uttryckligen nät- och informationssäkerhet som ett berättigat intresse. Men detta är bara den första delen av testet.
Här blir forskningen om effektivitet central
Nödvändighetsbedömningen innebär bland annat att fråga om denna behandling faktiskt bidrar till det angivna ändamålet och om samma intresse rimligen kan uppnås lika effektivt med en mindre ingripande metod.
Här förändrar effektivitetsforskningen analysen. Påståendet ”vi skickar simulerad phishing och poängsätter medarbetare eftersom det minskar risken” är inte längre ett helt obestritt empiriskt antagande. Den personuppgiftsansvarige behöver kunna dokumentera resonemanget.
Samma forskning kan påverka avvägningen
Intresseavvägningen väger organisationens intresse mot den registrerades rättigheter, friheter och rimliga förväntningar. Maktobalansen i anställningsförhållandet är relevant. Om den förväntade säkerhetsnyttan är liten eller osäker finns mindre nytta att väga mot intrånget, samtidigt som dokumenterade negativa effekter på förtroende eller rapporteringsbeteende kan stärka den registrerades sida av avvägningen.
En praktisk dokumentationskonsekvens följer av detta: en bedömning av berättigat intresse som skrevs för flera år sedan bör inte automatiskt behandlas som permanent. När faktaunderlaget förändras kan även bedömningen av nödvändighet och intresseavvägning behöva omprövas.
Vad säger den sakkunniggranskade forskningen?
Fyra större studier publicerade mellan 2022 och 2026, som tillsammans omfattar omkring 36 000 medarbetare i verkliga organisationer, undersöker om vilseledande simuleringar ger den skyddseffekt som metoden motiveras med. Studierna sammanfattas här som underlag för nödvändighetsbedömningen och beskrivs mer utförligt på forskningen bakom CyberCoach.
Medarbetare som misslyckades och skickades till utbildning klickade mer efteråt
Lain, Kostiainen och Capkun fann att den integrerade utbildningssida som visades efter ett misslyckande var förknippad med sämre efterföljande beteende, inte bättre. För en nödvändighetsbedömning är detta särskilt relevant eftersom resultatet gäller den specifika behandling som motiverar insamlingen av individuella misslyckanden.
Påminnelsen gjorde jobbet, inte innehållet – och obligatorisk repetitionsutbildning gav inget extra
Lain och kollegor fann förbättringar som kunde hänföras till påminnelsen om att säkerhetsprogrammet existerade snarare än till utbildningsmaterialet, samt ingen mätbar ytterligare nytta av att tvinga personer som misslyckades flera gånger till mer utbildning. Båda resultaten är relevanta för frågan om individuella misslyckandedata verkligen är nödvändiga.
Dokumenterade kostnader för förtroende, kultur och rapportering
Brünken, Buckmann, Hielscher och Sasse kartlade dolda kostnader med simulerad phishing, bland annat påverkan på relationen mellan medarbetare och arbetsgivare och på viljan att rapportera verkliga incidenter. Detta är relevant i intresseavvägningen eftersom försämrad rapportering kan innebära både en säkerhetskostnad för arbetsgivaren och ett integritetsintrång för medarbetaren.
Klickfrekvensen följde betets svårighetsgrad, inte medarbetarens förmåga
Rozema och Davis fann ingen meningsfull förbättring i förmågan att identifiera phishing från simuleringarna, medan klickfrekvensen varierade med hur svårt betet var – 7 % för enkla beten och 15 % för svåra. Det är relevant för riskpoängens validitet: om resultatet huvudsakligen förändras med testets svårighetsgrad behöver organisationen kunna visa att en individuell ranking faktiskt mäter det som plattformen påstår att den mäter.
Google har också offentligt beskrivit varför företaget inte använder oväntade phishing-tester internt och bland annat pekat på påverkan på förtroende i relation till nyttan. Det är inte en rättskälla, men det är relevant som exempel på att en sofistikerad säkerhetsorganisation har valt en annan metod.
Utlöser riskpoäng artikel 22?
Artikel 22 begränsar vissa beslut som enbart grundas på automatiserad behandling och som har rättsliga följder eller på liknande sätt i betydande grad påverkar en person. Ett riskvärde som bara påverkar nästa simulerade mejl är inte samma sak som ett värde som automatiskt begränsar åtkomst, tilldelar obligatorisk kompletteringsutbildning, flaggar personen till HR eller används i en prestationsdiskussion.
Den praktiska frågan för ett dataskyddsombud är därför inte ”kallar leverantören detta ett beslut?” utan ”vad händer med en person när riskpoängen stiger, och sker en meningsfull mänsklig prövning innan konsekvensen uppstår?”
Vad tillför EU:s AI-förordning?
AI-förordningen gäller parallellt med GDPR, inte i stället för den. För AI-drivna plattformar för säkerhetsmedvetenhet är framför allt systemets avsedda ändamål och hur systemet används i anställningsförhållandet relevanta.
Anställning som användningsfall med hög risk
Bilaga III omfattar vissa AI-system som är avsedda att användas för att övervaka eller utvärdera arbetstagares beteende eller prestationer. Huruvida en motor för individuell sårbarhets- eller riskpoängsättning omfattas beror på systemets avsedda ändamål, och leverantören bör kunna redogöra för sin klassificering.
För fristående AI-system med hög risk enligt bilaga III flyttades den relevanta tillämpningstidpunkten genom förordning (EU) 2026/1744 till den 2 december 2027.
Förbjudna AI-användningar
Artikel 5 förbjuder bland annat vissa former av känsloinferens på arbetsplatsen och vissa former av social poängsättning. Vanliga plattformar för säkerhetsmedvetenhet är inte automatiskt utformade för detta. Men när leverantörer lägger till funktioner för exempelvis beteendeanalys, engagemang eller andra slutsatser om arbetstagare behöver organisationen bedöma exakt vad systemet gör i stället för att anta att gränsen aldrig berörs.
Det finns en viktig kumulativ effekt här. En kontroll vars nödvändighet ifrågasätts enligt GDPR, vars mätnoggrannhet ifrågasätts av forskningen och som samtidigt kan omfattas av AI-förordningens kategori för hög risk medför flera separata dokumentationsfrågor. En metod som ger personlig, praktisk utbildning utan att skapa individuella riskprofiler undviker flera av dessa frågor.
Företagsråd, arbetstagarrepresentanter och nationell arbetsrätt
Artikel 88 låter medlemsstaterna anta särskilda regler för anställningsförhållanden. Därför är efterlevnad av GDPR nödvändig men inte alltid tillräcklig.
Detta bör dokumenteras, oavsett vilken metod ni väljer
Listan är medvetet neutral. En organisation som går igenom frågorna och därefter beslutar att fortsätta med vilseledande simuleringar befinner sig i en betydligt starkare position än en organisation som aldrig gjorde bedömningen.
Designfrågan bakom den juridiska frågan
En stor del av skyldigheterna ovan uppstår eftersom programmet skapar individuella resultat- och prestationsuppgifter. Om den typen av individuella bedömningar tas bort förenklas analysen betydligt: mindre profilering, färre härledda riskpoäng, färre automatiserade konsekvenser och mindre individuell övervakning att motivera.
Inte heller dokumentation av genomförd utbildning kräver nödvändigtvis individuell riskpoängsättning. Ett genomföranderegister och en individuell bedömning av sårbarhet är två olika behandlingar och bör motiveras separat.
Vanliga frågor
Är simulerad phishing laglig i EU?
Det finns inget generellt förbud mot simulerad phishing som sådan. GDPR kräver däremot en giltig rättslig grund för behandlingen av de personuppgifter om medarbetare som programmet skapar, tillsammans med transparens, proportionerlig utformning, fastställda lagringstider och, där nationell rätt kräver det, medverkan från arbetstagarrepresentanter. För privata arbetsgivare är berättigat intresse enligt artikel 6.1 f ofta den rättsliga grund som behöver analyseras och dokumenteras.
Kan arbetsgivaren förlita sig på medarbetarnas samtycke för phishing-simuleringar?
Generellt är det svårt. Europeisk dataskyddsvägledning behandlar samtycke från arbetstagare som problematiskt på grund av maktobalansen i anställningsförhållandet, och samtycke som inte kan vägras utan negativa konsekvenser uppfyller inte kravet på frivillighet. Nationella regler kan påverka bedömningen och bör kontrolleras lokalt.
Är individuella phishing-riskpoäng profilering enligt GDPR?
Ja, enligt en normal läsning av artikel 4.4 när riskpoängen bygger på automatiserad bedömning av en medarbetares beteende och används för att förutsäga framtida tillförlitlighet eller styra fortsatt behandling. Det medför bland annat relevanta transparenskrav och kan aktualisera en konsekvensbedömning avseende dataskydd.
Påverkar forskning som ifrågasätter simuleringarnas effektivitet den rättsliga grunden?
Det kan den göra eftersom nödvändighet och intresseavvägning enligt artikel 6.1 f är faktaberoende bedömningar. Nödvändighet kräver bland annat att det berättigade intresset inte rimligen kan uppnås lika effektivt genom mindre ingripande metoder. När oberoende sakkunniggranskad forskning rapporterar liten eller ingen varaktig nytta och dokumenterade kostnader för förtroende eller incidentrapportering blir bevisbördan för den personuppgiftsansvarige tyngre än när nyttan bara antogs.
Kräver ISO 27001, SOC 2, NIS2 eller DORA phishing-simuleringar?
Dessa regelverk och ramverk innehåller krav på säkerhetsmedvetenhet, utbildning eller säkerhetskontroller. Ett krav på utbildning innebär dock inte automatiskt ett krav på vilseledande simulering av namngivna individer eller på att behålla individuella misslyckanden och riskpoäng.
Gäller EU:s AI-förordning plattformar för säkerhetsmedvetenhet?
Det kan den göra. Bilaga III omfattar vissa AI-system som är avsedda att övervaka eller utvärdera arbetstagares beteende eller prestationer. För fristående AI-system med hög risk enligt bilaga III har tillämpningen av de relevanta skyldigheterna flyttats till den 2 december 2027. Huruvida en viss motor för risk- eller sårbarhetspoäng omfattas beror på systemets avsedda ändamål.
Kan medarbetare begära ut sina resultat från phishing-simuleringar?
Ja. Individuella resultat och härledda riskpoäng är personuppgifter och omfattas därför av rätten till tillgång enligt artikel 15, tillsammans med relevant information om bland annat ändamål, mottagare och lagringstid. Medarbetare kan även ha rätt att invända enligt artikel 21 när berättigat intresse används som rättslig grund.
Kan säkerhetsutbildning genomföras utan omfattande behandling av personuppgifter?
Till stor del, ja. CyberCoach låter användaren göra personliga val under lärandet utan att svaren lagras eller kopplas till användaren och registrerar endast godkänt genomförande. Det innebär att ingen individuell prestationsprofil behöver byggas upp. Användning av pseudonyma identifierare, till exempel Microsoft UUID, kan ytterligare minimera behandlingen samtidigt som kundens behöriga administratörer behåller den rapportering som behövs för regelefterlevnad.
Publicerad av CyberCoach, som säljer en plattform för säkerhetsmedvetenhet som inte profilerar individuella medarbetare. Vi har ett kommersiellt intresse i slutsatserna ovan. Detta är allmän information och inte juridisk rådgivning eller ett rättsutlåtande. Läsningen skapar inget advokat–klientförhållande och texten tar inte hänsyn till er jurisdiktion, bransch, era kollektivavtal eller specifika omständigheter. Lagstiftning, nationella genomföranderegler, myndighetsvägledning och rättspraxis förändras. Kontrollera bestämmelser och datum mot aktuella officiella källor och inhämta kvalificerad lokal juridisk rådgivning innan ni fattar beslut.
Primärkällor som behandlas: förordning (EU) 2016/679 (artiklarna 4.4, 5, 6, 9, 13–15, 21, 22, 35 och 88 samt skäl 49); förordning (EU) 2024/1689 (AI-förordningen, artikel 5 och bilaga III); förordning (EU) 2026/1744, som ändrar AI-förordningen; direktiv (EU) 2022/2555 (NIS2); EDPB:s yttrande 1/2024 om berättigat intresse; artikel 29-gruppens yttrande 2/2017 om behandling av personuppgifter i arbetslivet; EU-domstolens mål C-621/22 (KNLTB) och C-634/21 (SCHUFA). Forskning: Lain, Kostiainen och Capkun, IEEE Security & Privacy 2022; Lain, Jost, Matetic, Kostiainen och Capkun, ACM CCS 2024; Brünken, Buckmann, Hielscher och Sasse, USENIX Security 2023; Rozema och Davis, ACM Web Conference 2026; Google Security Blog, 2024.
Läs forskningen före säljpitchen
Studierna bakom resonemanget sammanfattas på forskningssidan, inklusive deras begränsningar och de resultat som även komplicerar vårt eget argument.
Phishing Training Makes Employees More Prone to be Phished
An entire phishing simulation industry has emerged to combat the dangers of phishing attacks...