Un exercice de sensibilisation à la cybersécurité mené par Natixis s’est transformé en affaire judiciaire majeure. Selon FrenchBreaches, la Cour de cassation a confirmé le licenciement d’un analyste spécialisé dans les stratégies algorithmiques et le trading automatisé, après que ce dernier ait volontairement cliqué à six reprises sur des liens de phishing simulés et adopté un comportement jugé insultant envers les équipes en charge de ces tests. Sept ans après les faits, la plus haute juridiction française a non seulement validé cette sanction, mais a également précisé les règles applicables en matière de protection des données personnelles dans le cadre professionnel.

Ce qu'il faut retenir

  • Un salarié de Natixis a été licencié après avoir volontairement cliqué sur six liens de phishing simulés lors d’exercices internes.
  • Il a également créé des identifiants fantaisistes et insultants, tels que « jenculePhisMe » ou « spamalerte ça pue », pour tourner en dérision ces campagnes.
  • La Cour de cassation a validé le licenciement en juin 2026, tout en précisant que la preuve obtenue malgré une violation du RGPD pouvait être recevable si elle était indispensable à la défense des droits de l’employeur.
  • La justice a rappelé qu’une simple violation du RGPD ne suffit pas à obtenir des dommages et intérêts : un préjudice réel doit être démontré.

Des campagnes de phishing simulées pour tester la vigilance des salariés

Comme de nombreuses grandes entreprises financières, Natixis organisait régulièrement des campagnes internes de sensibilisation aux cyberattaques. Ces exercices, conçus pour évaluer la capacité des collaborateurs à identifier les tentatives de phishing, consistaient à envoyer de faux courriels imitant des attaques réelles. Selon FrenchBreaches, la banque faisait appel à la société PhishMe (devenue Cofense) pour superviser ces simulations. Lorsqu’un salarié cliquait sur un lien frauduleux, la plateforme enregistrait son comportement afin d’identifier les besoins en formation complémentaire.

Un comportement délibérément provocateur et irrespectueux

Les faits reprochés à l’analyste de Natixis ne se limitent pas à ses six clics volontaires sur les liens suspects. Selon les éléments retenus par les juges, il a également créé à plusieurs reprises des identifiants fantaisistes pour ridiculiser l’exercice. Parmi les pseudonymes utilisés figuraient notamment « jenculePhisMe » ou « spamalerte ça pue ». Les magistrats ont retenu que ce salarié ne contestait pas avoir reconnu immédiatement le caractère fictif des campagnes, mais qu’il avait choisi de les saboter plutôt que d’y participer sérieusement.

Pour l’employeur, ce comportement était d’autant plus grave que l’analyste occupait un poste stratégique dans un environnement bancaire particulièrement exposé aux menaces informatiques. Natixis a estimé que ces actes démontraient une désinvolture incompatible avec ses responsabilités professionnelles, notamment en matière de sécurité numérique. La banque a souligné que, dans un contexte réel, de tels agissements auraient pu compromettre la sécurité de son système d’information et les données qu’il hébergeait.

Le salarié invoque le RGPD pour contester son licenciement

Devant les prud’hommes, l’analyste a tenté de contester son licenciement en invoquant une violation du Règlement général sur la protection des données (RGPD). Il a affirmé que Natixis n’aurait jamais dû pouvoir l’identifier comme l’auteur des clics litigieux, car il n’avait jamais été informé du traitement de ses données personnelles par la société PhishMe. Selon ses arguments, les preuves utilisées pour justifier son licenciement auraient donc été obtenues de manière illicite.

La Cour d’appel avait reconnu que le traitement des données personnelles était effectivement contraire au RGPD. Toutefois, les juges ont estimé que ces éléments pouvaient malgré tout être recevables devant le tribunal. Ils ont rappelé qu’une preuve obtenue de manière irrégulière peut être utilisée si elle est indispensable à l’exercice des droits de l’employeur et proportionnée à l’objectif poursuivi. La Cour d’appel a donc validé le licenciement, tout en accordant 5 000 euros de dommages et intérêts au salarié au titre de la violation du RGPD.

La Cour de cassation précise les règles en matière de RGPD

Dans son arrêt rendu le 24 juin 2026, la Cour de cassation a apporté une clarification essentielle sur l’application du RGPD dans le cadre professionnel. Elle a rappelé qu’une simple violation des règles relatives à la protection des données ne suffit pas à ouvrir automatiquement droit à des dommages et intérêts. Pour obtenir réparation, le salarié doit démontrer l’existence d’un préjudice réel, qu’il soit financier ou moral. Cette position s’aligne sur la jurisprudence récente de la Cour de justice de l’Union européenne.

Cette décision envoie un signal fort aux entreprises et aux salariés. Elle confirme que les campagnes de phishing simulé ne sont plus considérées comme de simples exercices pédagogiques sans conséquence. Dans des secteurs sensibles comme la banque, l’énergie ou les infrastructures critiques, ces tests deviennent un véritable indicateur du respect des obligations professionnelles en matière de cybersécurité.

Et maintenant ?

Cette affaire pourrait inciter les entreprises à renforcer leurs protocoles de communication lors des campagnes de sensibilisation aux cyberattaques. Pour les salariés, elle rappelle que la désinvolture face aux procédures de sécurité peut désormais constituer une faute grave, susceptible de justifier un licenciement. La jurisprudence française, désormais alignée sur celle de l’UE, devrait continuer à évoluer sur ce sujet dans les prochains mois.

En attendant, les entreprises comme Natixis devront veiller à équilibrer leurs exigences en matière de cybersécurité avec le respect strict des règles de protection des données personnelles. Pour les salariés, cette décision rappelle l’importance de participer activement aux exercices de sensibilisation, sous peine de sanctions disciplinaires.

Cette décision renforce la légitimité des campagnes de phishing simulé comme outil d’évaluation des compétences des salariés en matière de cybersécurité. Les entreprises pourront désormais s’appuyer sur ces exercices pour justifier des sanctions disciplinaires en cas de comportement délibérément négligent ou provocateur, à condition de respecter les règles du RGPD lors de la collecte et du traitement des données.

Oui, sous certaines conditions. La Cour de cassation a validé le licenciement d’un salarié ayant délibérément ignoré six campagnes de phishing simulées et adopté un comportement insultant. Toutefois, l’employeur doit pouvoir démontrer que ce comportement était incompatible avec les responsabilités professionnelles du salarié et qu’il aurait pu, dans un contexte réel, compromettre la sécurité de l’entreprise. La proportionnalité de la sanction reste un critère essentiel.