Il clique volontairement sur des liens suspects lors d’une campagne de sensibilisation aux cyberattaques : son entreprise le licencie

Il clique volontairement sur des liens suspects lors d’une campagne de sensibilisation aux cyberattaques : son entreprise le licencie Par Q.P. Le 6 juillet 2026 à 15h26 Ajouter Le Figaro à vos sources préférées Sujets Cybersécurité RGPD Pirates justice Lire dans l’app Sauvegarder Nouvelle fonctionnalité ! Avec votre compte, vous pouvez désormais sauvegarder des articles pour les lire plus tard sur tous vos appareils. Sauvegarder Fermer Sauvegarder un article Pour sauvegarder un article vous devez être connecté, vous pourrez ainsi les consulter sur tous vos appareils. Créer un compte Se connecter Copier le lien Lien copié Mail Facebook X Linkedin Messenger WhatsApp L’employeur de ce salarié, analyste en stratégies algorithmiques, a estimé que «cette désinvolture» aurait pu mettre en péril la sécurité de son système d’information. La Cour de cassation est également allée dans ce sens. Passer la publicité Passer la publicité Publicité Dans un arrêt du 24 juin dernier, la Cour de cassation a estimé que le seuil constat de la violation du RGPD ne suffit pas à ouvrir droit à réparation (Cass. Soc., 24 juin 2026, n°24-22.792). «Pour rappel, le règlement général sur la protection des données (RGPD) est un texte réglementaire européen qui harmonise les règles de traitement des données à caractère personnel dans toute l’Union européenne et qui comprend un certain nombre de règles qui intéressent aussi les salariés, telles que le droit d’accès aux données personnelles, le droit à l’information qui suppose que le salarié soit informé du traitement de ses données personnelles et du but de ce traitement et le droit d’opposition permettant de s’opposer à la collecte et à l’utilisation de ses données personnelles», explique au Figaro Me Justine Godey, du cabinet La Garanderie Avocats. On ne badine pas avec la cybersécurité Au cas particulier, il s’agissait d’un employeur qui, dans le cadre d’une campagne de sensibilisation aux cyberattaques, a organisé plusieurs tests d’hameçonnage notamment par l’intermédiaire de la société PishMe. Un salarié, analyste en stratégies algorithmiques, avait volontairement cliqué sur des liens suspects lors de six simulations successives en créant de faux identifiants à caractère insultant, tels que «j’enculePhisMe», ou «spamalerte ça pue.» Estimant que «cette désinvolture» aurait pu mettre en péril la sécurité de son système d’information dès lors que le salarié ne pouvait préjuger de la nature malveillante ou inoffensive du lien lorsqu’il a choisi de cliquer dessus, l’employeur le licencie en qualifiant les faits d’agissements déloyaux. Passer la publicité Publicité «Pour toute défense, le salarié indique que les preuves produites par la société pour démontrer qu’il était à l’origine de ces faits sont illicites et comme telles irrecevables, car il n’a jamais consenti ni été informé du traitement de ses données personnelles par la société PhishMe», continue Me Godey. Jurisprudence désormais constante Appliquant une jurisprudence désormais constante, la Cour d’Appel a relevé que la preuve illicite remplissait les conditions posées par la Cour de cassation pour être considérée comme recevable, cette production étant indispensable à son exercice et proportionnée au but poursuivi, et a validé le licenciement du collaborateur. Cependant, elle a estimé que le non-respect des dispositions du RGPD étant caractérisé, ce non-respect avait nécessairement causé un préjudice au salarié et devait donner lieu à l’attribution de dommages et intérêts. Telle n’est pas l’appréciation de la Cour de cassation qui souligne que le seul constat d’une violation du RGPD ne suffit pas à ouvrir droit à des dommages et intérêts. Il revient au salarié de démontrer qu’il a subi un préjudice direct, qu’il soit matériel ou moral. Elle s’aligne ainsi sur la position de la Cour de Justice de l’union Européenne (CJUE, 25 janvier 2024, n° C-687/21, MediaMarktSaturn Hagen-Iserlohn GmbH).