Numerique
Hameçonnage, fuite de données, IA sans cadre : votre sensibilisation cybersécurité doit changer les gestes de vos équipes et laisser une trace à produire.
Contexte
Aucun texte français n'impose à toutes les entreprises une « sensibilisation cybersécurité » sous ce nom. L'article 32 du RGPD exige des mesures organisationnelles, et son paragraphe 4 impose de garantir que les personnes ayant accès aux données ne les traitent que sur instruction. L'article 39.1 b charge le DPO de contrôler la sensibilisation et la formation du personnel. L'article 5.2 vous oblige à démontrer la conformité : une action sans trace ne vaut presque rien.
La fiche 3 du guide de la CNIL sur la sécurité des données personnelles (2024) vise des séances sur l'hameçonnage, le rançongiciel et l'usurpation d'identité, la conduite à tenir en cas d'incident, des rappels réguliers, des contenus adaptés aux fonctions et les prestataires extérieurs. Ce guide ne contraint pas, mais la formation restreinte a reproché à France Travail, sur des griefs techniques, d'avoir omis la doctrine constante de la CNIL et de l'ANSSI. L'article L. 6321-1 du Code du travail impose d'adapter les salariés à leur poste et de maintenir leur capacité à occuper un emploi, notamment face à l'évolution des technologies.
Côté IA, la CNIL recommande de former les utilisateurs, et l'article 4 de l'AI Act, réécrit par le règlement (UE) 2026/1744, demande aux fournisseurs et déployeurs de favoriser la maîtrise de l'IA, sans garantie de niveau individuel. NIS 2 prévoit la formation des dirigeants (article 20) et la formation à la cybersécurité (article 21.2 g), mais elle n'était pas transposée en France au 2 novembre 2026, sans date de séance connue pour le projet de loi Résilience. Former en vue de NIS 2 relève de l'anticipation, pas d'une obligation en vigueur.
Problematique
La CNIL retient 6 167 notifications de violations en 2025, en hausse de 9,5 %, hors deux attaques massives. Le piratage en représente 50 %, l'envoi à un mauvais destinataire 13 %, la publication non intentionnelle 7 %. Pour 2026, elle annonce consacrer à la sécurité la moitié de ses contrôles et actions répressives. L'ANSSI décrit de faux supports qui font installer aux salariés l'outil de l'attaquant.
Chez France Travail, par ingénierie sociale, des attaquants se sont fait passer pour des conseillers CAP EMPLOI auprès du support, puis pour le support auprès des conseillers. Résultat : les données de 36,8 millions de personnes et 5 millions d'euros d'amende (SAN-2026-003, 22 janvier 2026). La décision ne relève aucun grief de sensibilisation. Elle retient l'absence d'authentification multifacteur, la journalisation et les habilitations, et précise que l'ingénierie sociale n'exonère pas le responsable de traitement. Former ne remplace donc pas la sécurité technique, et, pour un manquement à l'article 32, une entreprise encourt jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu (article 83.4).
Un collaborateur qui tait son erreur par crainte d'une sanction compromet la notification dans les 72 heures de l'article 33. Une consigne sans force contraignante rend la sanction disciplinaire fragile. La responsabilité pécuniaire du salarié suppose une faute lourde (Cass. soc., 25 janvier 2017, n° 14-26.071) : le coût reste en pratique chez vous. Un document stratégique collé dans une IA publique peut enfin fragiliser les « mesures de protection raisonnables » qu'exige le secret des affaires (article L. 151-1 du Code de commerce).
Solutions
Je conçois et j'anime vos sessions sur mesure, en intra-entreprise, à partir de vos outils et de vos métiers. Je me concentre sur le volet juridique et comportemental : reconnaître un hameçonnage ou un faux support informatique, savoir qui prévenir et quoi conserver en cas de fuite, ce qu'on peut saisir dans un outil d'IA, ce que chacun engage. Avocat et développeur web, je parle à la fois à vos équipes techniques et à vos équipes commerciales. Vos contraintes sectorielles sont intégrées, notamment pour les éditeurs de logiciels et de solutions SaaS, où la confidentialité engage aussi vos contrats clients.
Je ne lance pas moi-même de campagne technique de faux hameçonnage. Si votre prestataire en mène une, j'en cadre le volet juridique : information préalable des salariés (article L. 1222-4 du Code du travail), proportionnalité (article L. 1121-1), information et consultation du CSE si le dispositif permet de contrôler l'activité (article L. 2312-38), usage des résultats.
Vous repartez avec des supports à jour, une consigne de remontée d'incident tenant sur une page, une évaluation des connaissances et un dossier de preuve : émargements, contenus, dates. Ces pièces restent à votre main et s'articulent avec votre dispositif de cybersécurité et, si vous en avez un, votre DPO externalisé. Si l'incident survient, j'interviens sur la violation de données et la crise cyber. La rédaction de la charte elle-même se traite à part, voir notre article sur la charte IA interne. Pour cadrer votre programme, contactez-moi.
J'échange avec la direction, le responsable de la sécurité ou le DSI et le DPO. J'identifie qui manipule quelles données, quels outils d'IA circulent, ce que disent vos chartes et quels incidents vous avez connus. Cette étape produit une carte des publics et des scénarios prioritaires, pour éviter le même discours à la comptabilité et aux développeurs.
Je construis des scénarios tirés de vos situations réelles : faux appel du support, RIB modifié, fichier clients envoyé au mauvais destinataire, contrat collé dans un outil d'IA. Je rédige la consigne de remontée d'incident et je vérifie sa cohérence avec vos procédures. Vous validez le tout avant la première session, pour que le discours colle à vos règles.
J'anime les sessions par public, direction comprise, et je laisse de la place aux cas que vos équipes apportent. Le message est simple : signaler vite protège plus que se taire. Une évaluation des connaissances clôt chaque session, comme le suggère la CNIL pour les personnels qui traitent des données au quotidien. Elle montre ce qui reste à reprendre.
Je remets un dossier exploitable : émargements, supports datés, résultats anonymisés ou agrégés selon votre choix, axes d'amélioration. Je fixe avec vous les événements qui déclenchent un rappel : tentative d'hameçonnage, nouvel outil, nouveau prestataire. Ce dossier nourrit le contrôle du DPO et contribue à démontrer votre conformité devant la CNIL.
FAQ
Pas sous ce nom, pour toutes les entreprises. Dès que vous traitez des données personnelles, l'article 32 du RGPD exige des mesures organisationnelles et des instructions données aux personnes qui y accèdent. L'article 39.1 b fait de la sensibilisation un point de contrôle du DPO, et la CNIL la classe parmi les précautions élémentaires. Une entreprise qui ne fait rien aura du mal à démontrer qu'elle a pris des mesures appropriées. NIS 2 ira plus loin pour les entités concernées, mais elle n'était pas transposée en France au 2 novembre 2026.
Toute personne qui utilise vos systèmes ou accède à vos données : salariés, alternants, intérimaires, dirigeants. La CNIL vise aussi les prestataires extérieurs lorsque leur impact sur la sécurité est comparable à celui des équipes internes, par action directe ou par engagement contractuel. Elle recommande une session obligatoire sur la protection des données pour tout nouvel arrivant lorsque l'activité principale traite des données personnelles, comme un service client. Le contenu varie selon les fonctions : RH, commerciaux, administrateurs système.
Le clic n'est pas sanctionné en soi. La question est de savoir si vos mesures étaient appropriées au risque. La formation restreinte l'a rappelé dans l'affaire France Travail : on ne peut pas se prémunir de toute ingénierie sociale, mais cela n'exonère pas le responsable de traitement. Si vos mesures sont jugées insuffisantes, le plafond de l'article 83.4 du RGPD s'applique : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. S'y ajoutent les coûts d'interruption, la notification à la CNIL et les éventuelles demandes de vos clients.
Elle peut l'être. L'article 226-17 du Code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende le fait de traiter ou de faire traiter des données sans les mesures prescrites notamment par l'article 32 du RGPD. Les poursuites restent à apprécier au cas par cas. Un dirigeant sensibilisé lui-même et capable de montrer ses décisions, ses arbitrages et ses budgets est mieux placé. Voir notre article sur la responsabilité juridique des dirigeants face aux cyberattaques.
Quatre temps : un échange de cadrage avec la direction et le DPO, la préparation de scénarios tirés de vos situations, des sessions en intra-entreprise par public, puis la remise du dossier de preuve. Je fixe le format avec vous après le cadrage. Votre consigne de remontée d'incident est testée pendant la session : chacun doit savoir, à la sortie, qui appeler et ce qu'il ne doit surtout pas supprimer.
Aucun texte ne fixe de fréquence. La CNIL parle de rappels réguliers et en fonction de l'actualité de l'organisme : tentative d'hameçonnage récente, arrivée d'un nouveau prestataire. Mieux vaut raisonner par événements déclencheurs plutôt que par simple calendrier : nouvel outil d'IA autorisé, incident chez un concurrent, changement de procédure, vague d'arrivées. Chaque rappel est daté et conservé. Vous montrez ainsi un programme vivant, pas une session isolée.
Les deux rôles sont complémentaires. Un prestataire technique apporte une plateforme, des simulations et des statistiques de clics. Je ne fournis pas ces outils. J'apporte ce qu'ils ne traitent pas : la qualification juridique des situations, les conséquences réelles pour le salarié et l'entreprise, la cohérence avec vos chartes et votre règlement intérieur, le cadrage social d'un test. Mes consultations et nos correspondances sont couvertes par le secret professionnel (article 66-5 de la loi du 31 décembre 1971), ce qui permet de parler franchement de vos failles avant la session.
Oui, sous conditions. La sanction tient mieux avec une règle opposable : charte annexée au règlement intérieur ou soumise au même régime (article L. 1321-5 du Code du travail), consigne connue. Elle doit rester proportionnée. La simple erreur de bonne foi se prête mal à la faute. Demander réparation suppose une faute lourde (Cass. soc., 25 janvier 2017, n° 14-26.071), donc une intention de nuire. Sanctionner trop vite a surtout un coût : les équipes cessent de signaler. Dans le doute, mieux vaut distinguer l'erreur signalée de la consigne délibérément contournée.
Nous accompagnons les entreprises de la tech et du commerce avec une double compétence juridique et technique, de l'analyse à la mise en œuvre.
Ressources
Un contrat à sécuriser, une mise en conformité à mener, un litige à anticiper ? Le premier rendez-vous sert à comprendre votre besoin et à vous dire clairement comment nous pouvons vous aider.
Avocat en droit du numérique et de la distribution, Barreau de Paris. Nous sécurisons vos contrats, vos données et votre activité.
Services
Secteurs
Nous contacter
