Comment nous menons un test de phishing, et ce que nous ne faisons jamais
Fluxive donne des ateliers de sensibilisation à la cybersécurité pour les petites entreprises, les hôtels et les administrations communales en Belgique. Certains clients demandent aussi un test de phishing : un faux e-mail d'arnaque, sans danger, envoyé au personnel pour compter combien de personnes cliquent dessus et combien le signalent. Un tel test n'est utile que si les personnes qui le reçoivent peuvent faire confiance à la manière dont il est mené. Voici les règles que nous suivons pour chaque client.
L'employeur donne son accord par écrit
Nous n'envoyons des e-mails de test qu'après avoir reçu l'autorisation écrite de l'employeur. Le test fait partie d'un atelier ou d'un plan de formation demandé par l'employeur. Ce n'est jamais une surprise de notre part.
Le personnel est prévenu à l'avance
Avant un test, le personnel est informé que des e-mails de test arriveront pendant une période donnée. On ne lui dit ni le jour ni à quoi ressemblera l'e-mail, car un test que l'on voit venir ne mesure rien. L'annonce vient de l'employeur, et nous lui fournissons un court texte à cet effet.
Des résultats par équipe, jamais nominatifs
Le rapport indique combien de personnes ont cliqué et combien ont signalé l'e-mail, pour l'équipe dans son ensemble. Il ne contient aucune liste de noms ni aucun score individuel.
Personne n'est sanctionné pour un clic
Un clic est une occasion d'apprendre. Le test sert à montrer à l'équipe quels signaux repérer, et l'atelier qui suit s'appuie sur le résultat de l'équipe, pas sur les erreurs individuelles.
Ce que fait un e-mail de test
Un e-mail de test ne contient aucun virus et ne cause aucun dommage. La personne qui clique arrive sur une page qui explique les signaux d'alerte présents dans cet e-mail.
Ce que dit la recherche sur les limites
Une étude menée en 2025 à UC San Diego Health a suivi plus de 19 500 membres du personnel sur dix campagnes de test. Les personnes qui ont vu une page de formation après avoir cliqué n'ont échoué aux tests suivants qu'environ 1,7 point de pourcentage moins souvent que celles qui n'avaient rien vu, et la plupart ont fermé cette page en quelques secondes. Nous considérons donc le résultat de l'équipe comme un indicateur approximatif et un point de départ pour l'atelier. Les chercheurs recommandent des mesures techniques comme la connexion en deux étapes. Nous sommes d'accord, et nous ajoutons une règle : rappeler par téléphone avant de modifier des coordonnées de paiement.
Ce que fait l'employeur en droit belge
Les employeurs privés qui contrôlent l'usage que leur personnel fait de l'e-mail et d'internet appliquent la CCT n° 81 du Conseil national du Travail. Un test de formation ne relève peut-être pas du cœur de cette convention, mais ses étapes constituent un minimum raisonnable : informer le conseil d'entreprise ; à défaut, le comité pour la prévention et la protection au travail ; à défaut, la délégation syndicale ; et sinon, le personnel lui-même. Expliquez à chaque travailleur à quoi sert le test et si des données sont conservées.
En vertu du RGPD, l'employeur est responsable du traitement. Le consentement du personnel n'est pas une base juridique valable dans le cadre du travail. L'employeur consigne donc pourquoi le test est nécessaire et vérifie si une analyse d'impact relative à la protection des données est requise.
Les communes et les autres organismes publics suivent d'autres règles : les conventions collectives nationales ne s'appliquent pas à eux, et leur délégué à la protection des données devrait confirmer la base juridique avant un test. Nous signalons ces étapes avant le début d'un test. Les décisions restent entre les mains de l'employeur.
Cette page décrit notre pratique
Cette page explique comment Fluxive travaille. Il ne s'agit pas d'un avis juridique. Pour toute question sur vos propres obligations, adressez-vous à votre avocat spécialisé en droit social, à votre secrétariat social ou à votre délégué à la protection des données.