Hoe we een phishingtest uitvoeren, en wat we nooit doen
Fluxive geeft workshops rond cyberbewustzijn aan kleine bedrijven, hotels en lokale besturen in België. Sommige klanten vragen daarnaast een phishingtest: een onschuldige, nagemaakte oplichtingsmail die naar het personeel gaat, om te tellen hoeveel mensen erop klikken en hoeveel mensen hem melden. Zo'n test helpt alleen als de mensen die hem krijgen, kunnen vertrouwen op de manier waarop hij verloopt. Dit zijn de regels die we bij elke klant volgen.
De werkgever geeft schriftelijk akkoord
We versturen pas testmails nadat de werkgever daarvoor schriftelijke toestemming heeft gegeven. De test maakt deel uit van een workshop of een opleidingsplan waar de werkgever zelf om gevraagd heeft, en is nooit een verrassing van onze kant.
Het personeel wordt vooraf verwittigd
Vóór een test krijgt het personeel te horen dat er tijdens een vastgelegde periode testmails zullen binnenkomen. Ze horen niet op welke dag dat gebeurt of hoe de mail eruitziet, want een test die ze zien aankomen, meet niets. Die aankondiging komt van de werkgever; wij bezorgen daarvoor een korte tekst.
Resultaten per team, nooit op naam
Het rapport toont hoeveel mensen klikten en hoeveel mensen de mail meldden, voor het hele team samen. Er staat geen lijst met namen in en geen score per persoon.
Niemand wordt gestraft voor een klik
Uit een klik valt iets te leren. De test is er om het team te tonen op welke signalen het moet letten, en de workshop die erop volgt, gebruikt het resultaat van het team, niet de fouten van individuen.
Wat een testmail doet
Een testmail bevat geen virus en richt geen schade aan. Wie klikt, komt op een pagina die de waarschuwingssignalen in die mail uitlegt.
Wat het onderzoek zegt over de grenzen
Een studie uit 2025 bij UC San Diego Health volgde meer dan 19.500 personeelsleden doorheen tien testcampagnes. Wie na een klik een opleidingspagina te zien kreeg, ging bij latere tests maar ongeveer 1,7 procentpunt minder vaak in de fout dan wie niets te zien kreeg, en de meesten sloten die pagina binnen enkele seconden. Daarom beschouwen we het teamresultaat als een ruwe indicatie en een vertrekpunt voor de workshop. De onderzoekers raden technische maatregelen aan, zoals tweestapsverificatie. Wij zijn het daarmee eens en voegen er een regel aan toe: eerst terugbellen voordat er betaalgegevens worden gewijzigd.
Wat de werkgever doet naar Belgisch recht
Werkgevers in de privésector die het e-mail- en internetgebruik van hun personeel controleren, volgen cao nr. 81 van de Nationale Arbeidsraad. Een test in het kader van een opleiding valt misschien buiten de kern van die cao, maar de stappen ervan zijn een verstandig minimum: de ondernemingsraad informeren; is er geen, dan het comité voor preventie en bescherming op het werk; is ook dat er niet, dan de vakbondsafvaardiging; en anders het personeel zelf. Leg elke werknemer uit waarvoor de test dient en of er gegevens worden bewaard.
Volgens de AVG (GDPR) is de werkgever verantwoordelijk voor de verwerking. Toestemming van het personeel is op het werk geen geldige rechtsgrond, dus legt de werkgever vast waarom de test nodig is en gaat hij na of een gegevensbeschermingseffectbeoordeling vereist is.
Gemeenten en andere openbare besturen volgen andere regels: nationale cao's gelden niet voor hen, en hun functionaris voor gegevensbescherming bevestigt best de rechtsgrond vóór een test. Wij wijzen op deze stappen voordat een test begint. De beslissingen blijven bij de werkgever.
Deze pagina beschrijft onze werkwijze
Deze pagina legt uit hoe Fluxive werkt. Dit is geen juridisch advies. Met vragen over uw eigen verplichtingen kunt u terecht bij uw advocaat arbeidsrecht, uw sociaal secretariaat of uw functionaris voor gegevensbescherming.