Une campagne de sensibilisation à la cybersécurité peut-elle conduire à un licenciement ? En France, la réponse est oui. La Cour de cassation a validé le licenciement d’un salarié qui avait volontairement cliqué à plusieurs reprises sur des liens de phishing lors d’exercices organisés par son employeur pour tester la vigilance des équipes.
L’employé, analyste en stratégies algorithmiques, ne s’est pas contenté d’ouvrir les faux courriels. À six reprises, il a cliqué sur les liens contenus dans les messages et créé des identifiants volontairement insultants destinés à tourner l’exercice en dérision. Son employeur a considéré que ce comportement révélait un manque de sérieux susceptible de mettre en danger la sécurité du système d’information.
La justice valide le licenciement
Le salarié contestait son licenciement en faisant valoir que les preuves utilisées contre lui avaient été recueillies sans respecter certaines dispositions du RGPD, notamment en matière d’information sur le traitement de ses données personnelles.
La Cour de cassation a toutefois estimé que, même si une violation du RGPD pouvait être constatée, celle-ci n’ouvre pas automatiquement droit à une indemnisation. Le salarié devait démontrer l’existence d’un préjudice réel, ce qu’il n’a pas réussi à établir. Le licenciement a donc été confirmé.
Un rappel sur l’importance des simulations de phishing
Les campagnes de phishing simulé sont devenues un outil courant de sensibilisation dans les entreprises. Elles permettent d’évaluer les réflexes des collaborateurs face aux tentatives d’hameçonnage, qui restent l’un des principaux vecteurs des cyberattaques.
Cette décision rappelle que ces exercices ne sont pas considérés comme de simples formations. Les salariés sont tenus d’y participer avec sérieux, car un comportement volontairement négligent peut être interprété comme un manquement aux obligations professionnelles liées à la sécurité informatique.
Au-delà de ce cas, cette affaire souligne que la cybersécurité ne repose pas uniquement sur les outils techniques. Les comportements humains demeurent un maillon essentiel de la protection des systèmes d’information, et les tribunaux reconnaissent désormais que des attitudes délibérément imprudentes peuvent avoir des conséquences disciplinaires importantes.
