Un faux courriel de la direction, un clic rapide, et voilà un salarié qui a laissé entrer un rançongiciel dans le système. La question de sa responsabilité pécuniaire revient alors sur la table, souvent alimentée par la panique. Pourtant, le droit français trace une ligne claire, y compris quand l’incident a coûté cher à l’entreprise : un salarié victime d’hameçonnage ne peut pas être sanctionné sur son salaire ni condamné à rembourser le préjudice, sauf à prouver une faute lourde ou intentionnelle. Encore faut-il comprendre précisément ce que ça recouvre.

La retenue sur salaire, une piste fermée par le Code du travail

Que dit la loi quand un employeur veut récupérer l’argent perdu à cause d’un clic malheureux ? L’article L1331-2 du Code du travail balaie d’emblée l’idée d’une amende ou d’une retenue sur salaire, puisqu’il interdit toute sanction pécuniaire, quelle que soit la gravité de l’erreur.

Cette règle protège le salarié, même s’il a ouvert un message frauduleux qui a provoqué une panne informatique coûteuse. Bon, certains dirigeants l’ignorent, mais un salarié ne peut pas être transformé en assureur de l’entreprise.

En revanche, l’employeur garde le droit d’engager une procédure disciplinaire classique : un avertissement, une mise à pied ou un licenciement, si la faute le justifie. Ces mesures n’ont rien à voir avec une amende déguisée, puisque le salaire reste intact. Un salarié qui a commis une négligence simple ne risque donc pas de voir sa fiche de paie amputée, même si l’incident a coûté cher à l’entreprise.

Négligence simple ou faute lourde : la frontière qui change tout

Imaginez un comptable qui reçoit un faux courriel de sa banque et valide un virement vers un compte inconnu, alors qu’une alerte interne recommandait la veille de vérifier l’adresse de l’expéditeur. S’il n’a pas suivi la procédure, sa négligence peut être réelle.

Mais elle reste rarement assez caractérisée pour engager sa responsabilité financière. La faute lourde suppose une intention de nuire ou une inconscience d’une gravité exceptionnelle, ce qui n’est pas le cas d’un simple clic sur un lien piégé.

Ce que les juges examinent dans une affaire de phishing

• Un salarié qui clique sans vérifier l’expéditeur commet-il automatiquement une faute lourde ?
• La formation reçue par le salarié, ou son absence totale.
• Une alerte interne récente peut rendre le piège prévisible au moment du clic.
• Le poste occupé et son niveau d’exposition aux tentatives répétées.
• La réaction après l’incident, qu’il s’agisse d’un signalement immédiat ou d’une tentative de dissimulation, pèse lourd dans l’analyse.

La charge de la preuve pèse sur l’employeur. C’est lui qui doit démontrer que le salarié a agi avec une intention de nuire ou une négligence d’une gravité telle qu’elle confine à la volonté de ne pas respecter les consignes. Les courriels de phishing deviennent de plus en plus sophistiqués, et un piège bien imité peut tromper n’importe quel collaborateur, même formé.

Cette distinction n’a rien de théorique, car les conséquences financières sont souvent très concrètes. Beaucoup d’employeurs découvrent à leurs dépens qu’un simple clic ne suffit pas à qualifier une faute lourde, car les juges exigent une abstention volontaire ou une intention de nuire. Le site avocat-cybersecurite.fr détaille justement les conditions posées par la jurisprudence pour engager la responsabilité d’un salarié.

Le phishing, une menace qui n’épargne pas les boîtes mail

43 % des TPE-PME déclarent avoir été victimes de phishing en 2025, selon le rapport d’activité de Cybermalveillance.gouv.fr. Franchement, ces chiffres donnent le vertige, et pourtant ils ne changent rien à la règle juridique.

Ce pourcentage grimpe même à 80 % quand on observe l’origine des cyberattaques qui visent ces structures, car le facteur humain, autrement dit une erreur commise par un membre de l’équipe, ouvre la porte dans la grande majorité des cas recensés. Environ 60 % des cyberattaques recensées débutent d’ailleurs par une tentative d’hameçonnage.

Le CESIN apporte une autre lecture : sur les 40 % d’entreprises qui ont subi une cyberattaque en 2025, 55 % avaient été infiltrées par le biais de liens de phishing. Ces proportions expliquent pourquoi la question de la responsabilité individuelle revient.

Sans cesse, même si la réponse juridique reste la même. Un salarié qui tombe dans un piège sophistiqué n’est pas plus fautif qu’un autre qui n’a simplement pas eu de chance, surtout quand la formation a été minimale ou inexistante.

Pourtant, ces données ne servent pas à accabler les salariés, mais à montrer que l’erreur humaine est un maillon attendu par les attaquants. Les campagnes de sensibilisation ne suffisent pas toujours, car les techniques évoluent plus vite que les réflexes. Une entreprise qui se repose uniquement sur la vigilance de ses équipes accepte de prendre un risque calculé, et ce risque ne peut pas être transféré sur la feuille de paie du premier qui clique.

L’employeur a aussi sa part de responsabilité

Le salarié a cliqué, et maintenant ? L’entreprise ne peut pas se contenter de chercher un coupable : le RGPD impose de notifier toute violation de données personnelles à la CNIL en France, ou à la CNPD au Luxembourg, dans un délai de 72 heures.

Or, cette obligation de transparence pousse l’employeur à réagir vite, mais aussi à documenter ses propres carences en matière de formation des équipes, de mise à jour des logiciels et de sécurisation des accès sensibles. Ce qui finit souvent par révéler des failles antérieures.

Quand on regarde les choses en face, la formation des équipes devient un enjeu central. Un salarié qui n’a jamais été alerté sur les faux ordres de virement ou les pièces jointes piégées ne peut pas être traité comme un expert en cybersécurité. L’employeur qui néglige cette étape envoie ses salariés affronter des courriels piégés sans préparation, et les juges le savent. Un investissement régulier dans des simulations de phishing coûte bien moins cher qu’un rançongiciel.

Le salarié n’est pas l’assureur de l’entreprise

Un salarié victime d’hameçonnage n’a pas à craindre une retenue sur salaire ni un remboursement automatique du préjudice. La faute lourde ou intentionnelle reste le seul levier juridique viable pour engager sa responsabilité, et encore faut-il la prouver.

Les entreprises feraient mieux d’investir dans la prévention, la sensibilisation et des procédures claires plutôt que de chercher un bouc émissaire. Alors, avant de sanctionner, ne vaut-il pas mieux se demander pourquoi ce clic est arrivé ?