La simulation de phishing est-elle une mesure de conformité RGPD ?

Elle y contribue. L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées, dont une procédure pour « tester, analyser et évaluer régulièrement l'efficacité » des mesures de sécurité (article 32.1.d). Une simulation de phishing évalue concrètement l'efficacité de la sensibilisation du personnel. Des résultats documentés montrent, en cas de contrôle ou de violation, que l'entreprise évalue ses mesures organisationnelles.

Quelles sanctions la CNIL applique-t-elle aux PME pour défaut de sécurité ?

Le RGPD prévoit des amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Depuis 2022, la CNIL dispose d'une procédure simplifiée pour les dossiers simples, avec des amendes plafonnées à 20 000 euros et des décisions non publiées. En 2025, elle a prononcé 83 sanctions, dont 67 en procédure simplifiée ; l'insuffisance des mesures de sécurité fait partie des motifs fréquents. Exemples publiés : Accor (600 000 euros), Sergic (400 000 euros), Dedalus Biologie (1,5 million d'euros).

Combien de temps a-t-on pour notifier la CNIL après un phishing ?

72 heures à compter du moment où l'entreprise a connaissance de la violation de données, même si l'attaque a eu lieu plus tôt. La notification se fait via le téléservice de la CNIL (notifications.cnil.fr). Elle décrit la nature de la violation, les catégories de données, le nombre approximatif de personnes touchées, les conséquences probables et les mesures prises. Le non-respect du délai est un manquement distinct, sanctionnable indépendamment de la violation. En 2025, la CNIL a reçu 6 167 notifications de violations de données.

Un phishing qui ne vole « que » des identifiants email constitue-t-il une violation RGPD ?

Oui, dans la grande majorité des cas. Une boîte email professionnelle contient des données personnelles : noms et adresses d'interlocuteurs, contrats, données RH, pièces jointes. Un accès non autorisé à ces données est une violation de confidentialité au sens de l'article 4(12) du RGPD. Si la compromission est susceptible d'engendrer un risque pour les droits et libertés des personnes, ce qui est presque toujours le cas pour une messagerie professionnelle, la notification à la CNIL sous 72 heures s'applique.

Quel est le rôle du DPO dans un programme de simulation de phishing ?

L'article 39.1.b du RGPD confie au DPO la mission de « sensibiliser et former le personnel participant aux opérations de traitement ». En pratique, le DPO recommande le programme de simulation, fixe sa fréquence avec la direction et l'équipe IT, vérifie que les résultats sont documentés et fait figurer le programme parmi les mesures de sécurité de l'article 32. Après une violation, il évalue si la sensibilisation en place était suffisante. Dans une PME sans DPO, ces responsabilités reviennent au dirigeant ou au responsable IT : les obligations du RGPD s'appliquent de la même façon.

Comment documenter la sensibilisation au phishing pour un contrôle CNIL ?

Conservez le calendrier des campagnes de simulation (dates, scénarios, populations ciblées), les résultats (taux de clic et de signalement, évolution sur 6 et 12 mois), le suivi des formations assignées après chaque échec et la mention du programme parmi vos mesures de sécurité au titre de l'article 32. Ces documents montrent que l'entreprise teste et évalue régulièrement l'efficacité de ses mesures, comme le demande l'article 32.1.d.

nophi.sh est-il lui-même conforme au RGPD ?

nophi.sh agit comme sous-traitant au sens de l'article 28. Les données sont hébergées en France par Nextmap, opérateur français (réseau AS35426), et restent en France. Un contrat de traitement des données (DPA) est disponible sur demande et fixe les responsabilités du responsable de traitement (votre entreprise) et du sous-traitant (nophi.sh). Seules les données nécessaires au service sont collectées, et elles sont supprimées 30 jours après la résiliation. Les mots de passe saisis sur les fausses pages de connexion ne sont jamais enregistrés.

RGPD et phishing : la sensibilisation comme mesure de sécurité

Le RGPD et le DPO en bref

Le règlement général sur la protection des données (RGPD, règlement (UE) 2016/679) s’applique depuis le 25 mai 2018 à toute organisation qui traite des données personnelles de personnes situées dans l’Union européenne. Il fixe des principes (licéité, minimisation, limitation de la conservation, sécurité), des droits pour les personnes (accès, rectification, effacement, opposition) et des obligations de documentation, comme le registre des traitements (article 30). En France, la CNIL contrôle son application et peut sanctionner jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

Le délégué à la protection des données (DPO) conseille l’organisme et contrôle le respect du RGPD (article 39). Sa désignation est obligatoire pour les autorités et organismes publics, et pour les organismes dont l’activité de base consiste à suivre des personnes de façon régulière et systématique à grande échelle, ou à traiter à grande échelle des données sensibles ou relatives aux condamnations pénales (article 37). Il peut être salarié ou externe, dispose des moyens nécessaires et ne reçoit aucune instruction pour l’exercice de ses missions (article 38). Ses coordonnées sont communiquées à la CNIL.

Phishing et violation de données : le lien RGPD

Un employé reçoit un email qui imite sa banque, son outil collaboratif ou son opérateur télécom. Il clique, saisit ses identifiants sur une fausse page et reprend sa journée. L’attaquant accède à sa messagerie, à ses fichiers partagés, à son CRM. Des centaines, parfois des milliers de données personnelles sont exposées : noms, adresses, numéros de téléphone, données contractuelles, informations RH.

C’est une violation de données au sens de l’article 4(12) du RGPD. L’entreprise a 72 heures pour notifier la CNIL.

En 2025, la CNIL a reçu 6 167 notifications de violations de données, en hausse de 9,5 % sur un an, et un incident sur deux relevait d’un piratage (rapport annuel 2025 de la CNIL). L’ANSSI indique que les emails malveillants restent le mode opératoire le plus répandu pour les compromissions initiales en France, et 55 % des attaques significatives subies par les entreprises françaises passent par le phishing (baromètre CESIN 2026). Dans le monde, 62 % des violations de données impliquent un facteur humain (Verizon DBIR 2026).

Les trois articles qui créent l’obligation

Article 32, sécurité du traitement. Le responsable de traitement et le sous-traitant doivent mettre en place des mesures techniques et organisationnelles appropriées. Le texte vise la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes et, à l’alinéa d, une procédure pour tester, analyser et évaluer régulièrement l’efficacité des mesures de sécurité. Une simulation de phishing est un test régulier de l’efficacité de la sensibilisation.

Article 33, notification à la CNIL. Toute violation susceptible d’engendrer un risque pour les droits et libertés des personnes doit être notifiée à l’autorité de contrôle dans les 72 heures après sa découverte. Un compte compromis par phishing déclenche cette obligation dès que l’entreprise a connaissance de l’incident.

Article 34, communication aux personnes concernées. Si la violation présente un risque élevé (données bancaires, mots de passe, données de santé ou autres données sensibles), chaque personne touchée doit être informée, en termes clairs. Pour une PME qui gère des données clients ou RH, cela peut concerner des centaines de personnes.

Un phishing non détecté entraîne une compromission de données personnelles, puis une obligation de notification, puis un risque de sanction si les mesures de prévention étaient absentes ou non documentées.

Ce que le RGPD attend comme mesures organisationnelles

L’article 32 ne donne pas de liste fermée. Il exige des mesures adaptées au risque, et la CNIL a précisé au fil de ses recommandations et sanctions ce qu’elle attend.

La formation et la sensibilisation : une attente documentée

La CNIL range la formation et la sensibilisation des employés parmi les mesures organisationnelles attendues au titre de l’article 32. Le texte laisse le choix des moyens : une sensibilisation régulière au phishing et à l’ingénierie sociale correspond à ce qu’il appelle une mesure organisationnelle appropriée, et la simulation en est une forme mesurable.

Les sanctions de la CNIL montrent qu’elle examine la sécurité organisationnelle autant que technique. Dans la sanction de 600 000 euros contre Accor (2022), elle a notamment retenu un manquement à la sécurité des données. Dans celle de 400 000 euros contre Sergic (2019), l’absence de mesures de sécurité adéquates a pesé lourd. Une entreprise qui n’a jamais formé ses employés aux attaques à l’origine des violations aura du mal à défendre le caractère « approprié » de ses mesures.

Le rôle du DPO dans la sensibilisation

L’article 39.1.b du RGPD confie au DPO la mission de sensibiliser et former le personnel qui participe aux traitements. Pour les organismes qui ont désigné un DPO (obligatoire pour les organismes publics et pour ceux qui traitent à grande échelle des données sensibles ou suivent des personnes de façon régulière et systématique, recommandé par la CNIL pour les autres), c’est une attribution formelle.

En pratique, le DPO :

recommande un programme de simulation de phishing comme mesure de sécurité au titre de l’article 32 ;
fixe la fréquence et le périmètre des campagnes avec la direction et l’équipe IT ;
vérifie que les résultats sont documentés (taux de clic, évolution, formations assignées) ;
fait figurer le programme parmi les mesures de sécurité décrites dans la documentation de conformité ;
après une violation, évalue si la sensibilisation en place était suffisante et documente sa réponse pour la CNIL.

Dans une PME sans DPO, ces responsabilités reviennent au dirigeant ou au responsable IT. Les obligations de sécurité et de sensibilisation du RGPD s’appliquent qu’il y ait un DPO ou non.

Tester l’efficacité des mesures : l’alinéa d de l’article 32

L’article 32.1.d est souvent oublié. Il impose « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». C’est le fondement le plus direct de la simulation de phishing en matière de RGPD.

Une simulation teste la résistance des employés aux attaques par email. Ses résultats (taux de clic, taux de signalement, évolution sur 6 et 12 mois) prouvent que cette évaluation régulière existe et qu’elle est suivie.

Les sanctions CNIL pour les PME

La CNIL sanctionne régulièrement des manquements à l’article 32, en particulier quand une violation révèle l’absence de mesures de sécurité adaptées : Accor (600 000 €, 2022), l’agence immobilière Sergic (400 000 €, 2019) ou l’éditeur Dedalus Biologie (1,5 million d’euros, 2022, données de santé de près de 500 000 personnes). En 2025, elle a prononcé 83 sanctions, dont 67 en procédure simplifiée, où l’amende est plafonnée à 20 000 € (bilan des sanctions 2025). Notre article sanctions CNIL pour les PME détaille les montants, la procédure et les plus grosses amendes prononcées en France.

Une sanction prononcée en procédure ordinaire peut être rendue publique. Pour une PME dont la relation client repose sur la confiance (cabinet comptable, agence immobilière, cabinet médical, conseil), l’atteinte à la réputation peut coûter plus cher que l’amende.

Notification de violation : le coût caché du phishing

Un phishing réussi déclenche une série d’obligations et de coûts qui s’étale sur plusieurs mois.

La notification en 72 heures

Le délai de 72 heures court à partir du moment où l’entreprise prend connaissance de la violation, même si l’attaque date de plusieurs jours. Il faut donc une procédure de détection et d’escalade qui permet de déterminer vite si un incident de sécurité est une violation de données personnelles.

La notification à la CNIL doit indiquer :

la nature de la violation : types de données, type d’accès non autorisé ;
les catégories et le nombre approximatif de personnes concernées ;
le nom et les coordonnées du DPO ou d’un autre point de contact ;
les conséquences probables pour les personnes ;
les mesures prises ou envisagées pour y remédier.

Si toutes les informations ne sont pas disponibles sous 72 heures, la CNIL accepte une notification initiale complétée ensuite. L’absence de toute notification dans le délai reste un manquement distinct, sanctionnable indépendamment de la violation.

La communication aux personnes concernées

Quand la violation présente un risque élevé, c’est-à-dire qu’elle peut entraîner une discrimination, une usurpation d’identité, une fraude financière, une atteinte à la réputation ou une perte de contrôle sur les données, l’article 34 impose d’informer chaque personne concernée, en termes clairs et simples.

Pour une PME qui gère 2 000 contacts clients, cela représente 2 000 emails ou courriers décrivant la violation et les mesures prises. Le coût opérationnel est immédiat, et la perte de confiance dure.

Prévenir coûte moins cher que remédier

En France, le coût moyen d’une violation de données atteint 3,59 millions d’euros selon le rapport IBM Cost of a Data Breach 2025 : détection, notification, remédiation technique, perte d’activité et frais juridiques compris. Ce chiffre concerne surtout de grandes organisations, mais pour une PME, même un incident limité coûte des dizaines de milliers d’euros.

Un programme de sensibilisation au phishing coûte beaucoup moins. Son effet se mesure : baisse du taux de clic, hausse du taux de signalement. Selon le KnowBe4 Phishing by Industry Benchmarking Report 2025, le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de formation.

Ce que nophi.sh apporte à votre conformité RGPD

nophi.sh fournit une mesure organisationnelle concrète (simulations et formation au phishing) et les résultats qui permettent de la documenter au titre de l’article 32. La conformité au RGPD demande bien d’autres mesures, que votre DPO ou votre responsable de traitement pilote.

La simulation de phishing comme mesure de l’article 32

Des campagnes de simulation de phishing régulières mettent en pratique l’article 32.1.d : tester, analyser et évaluer l’efficacité des mesures de sécurité. Chaque campagne est datée et enregistre les taux d’ouverture, de clic, de saisie et de signalement, ainsi que les formations assignées et terminées.

En cas de contrôle de la CNIL ou de violation, ces résultats montrent que l’entreprise évaluait régulièrement ses mesures.

Moins de clics, moins de violations à notifier

Chaque personne qui clique ou saisit ses identifiants voit tout de suite une courte explication (environ 3 minutes) des indices qu’elle aurait pu repérer. nophi.sh lui assigne ensuite un module court selon des règles que vous définissez, avec des relances avant l’échéance puis une alerte au manager. L’explication arrive au moment de l’erreur, quand l’email est encore en tête.

Les collaborateurs peuvent aussi transférer un vrai email suspect à l’adresse nophi.sh (ou utiliser le bouton « Signaler » de Microsoft 365 configuré vers cette adresse). Ils reçoivent en général en une à deux minutes un verdict de l’IA avec ses raisons, et vos contacts sécurité sont alertés. Un signalement rapide raccourcit le délai de détection, et donc le temps dont vous disposez pour évaluer une éventuelle violation.

Les preuves pour le DPO et les auditeurs

nophi.sh produit un rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et un export CSV. Vous y trouvez :

l’historique des campagnes : dates, scénarios, populations ciblées ;
l’évolution du taux de clic entre la première campagne et les suivantes ;
le taux de signalement ;
les formations assignées, terminées ou en retard, par personne ;
le score de posture et les scores de risque par personne.

Ces documents sont lisibles par un auditeur externe, par votre DPO ou par la CNIL.

La documentation de vos traitements

Votre DPO ou responsable IT peut décrire le programme de simulation parmi les mesures de sécurité de l’article 32 dans votre documentation de conformité. Le programme est lui-même un traitement de données sur vos collaborateurs, à inscrire dans votre registre des traitements (article 30). Le DPA de nophi.sh et les informations sur la localisation des données aident à compléter cette fiche.

Vérifiez aussi votre domaine email : des enregistrements SPF, DKIM et DMARC mal configurés (guide de configuration) permettent à n’importe qui d’envoyer des emails en votre nom. Notre test de sécurité email gratuit analyse votre configuration.

nophi.sh et la conformité RGPD de la plateforme elle-même

Un outil de simulation de phishing traite des données sur vos collaborateurs : noms, adresses email professionnelles, résultats de campagne. Ce sont des données personnelles, et votre DPO ou votre direction voudra évaluer les garanties de l’outil.

Données hébergées en France

La plateforme et les données sont hébergées en France par Nextmap, opérateur français qui exploite son propre réseau (AS35426). Les données restent en France. Pour les entreprises soumises à des exigences de souveraineté (sous-traitants de la défense, collectivités, acteurs de la santé), c’est souvent un critère de choix.

Un hébergement ailleurs dans l’Union européenne reste soumis au RGPD, mais certains audits sectoriels ou cahiers des charges demandent un hébergement en France. Avec nophi.sh, les données de vos collaborateurs restent sur le sol français.

Contrat de traitement des données (DPA)

nophi.sh est un sous-traitant au sens de l’article 28 du RGPD : il traite des données personnelles pour le compte de ses clients, responsables de traitement. Un contrat de traitement des données (DPA, Data Processing Agreement) est disponible sur demande. Il précise :

les finalités et la durée du traitement ;
les catégories de données (identification des collaborateurs, résultats de campagne) ;
les obligations de sécurité du sous-traitant ;
la suppression des données en fin de contrat ;
les modalités d’audit.

Il répond aux exigences de l’article 28 et peut être joint à votre documentation de conformité.

Minimisation des données et droit à l’effacement

nophi.sh collecte uniquement les données nécessaires au service : noms, adresses email professionnelles, département, résultats de campagne. Les mots de passe saisis sur les fausses pages de connexion ne sont jamais enregistrés. Aucune donnée n’est utilisée à des fins publicitaires ni revendue.

Le droit à l’effacement (article 17 du RGPD) est pris en charge : un collaborateur qui quitte l’entreprise peut être supprimé de la plateforme, avec ses données personnelles.

Ce que le DPO doit vérifier avant de valider l’outil

Voici les points que votre DPO examinera et nos réponses :

Critère	Réponse nophi.sh
Localisation des données	France
Hébergeur	Nextmap, opérateur français (réseau AS35426)
DPA	Disponible sur demande
Conservation après résiliation	30 jours, puis suppression
Droit à l’effacement	Pris en charge
Sous-traitants ultérieurs	Liste disponible sur demande
Mots de passe saisis en simulation	Jamais enregistrés

Pour votre démarche de conformité plus large, consultez notre page conformité. Si votre entreprise est aussi concernée par NIS2, les exigences de sensibilisation et de documentation recoupent celles du RGPD : les mêmes résultats de campagne servent pour les deux, même si NIS2 demande bien plus que de la formation.