L'importance d'une politique anti-phishing pour l'employeur

Ma consœur Lauren Pols a publié la semaine dernière un article sur la différence de protection entre les entreprises et les consommateurs lorsqu’ils sont victimes de phishing. En résumé : les consommateurs bénéficient d’une protection, mais pas les entreprises. Celles-ci ne pourront donc jamais tenir la banque responsable de leur dommage.

Si, en tant que chef d’entreprise, vous tombez vous-même dans le piège et subissez un dommage, il est probable que vous ne soyez jamais indemnisé, à moins de disposer d’une assurance cyber.

Il arrive toutefois également que l’entreprise soit victime alors que la faute a été commise par un travailleur. Que se passe-t-il donc si un travailleur a cliqué sur un lien dans un message de phishing, causant ainsi un dommage à l’employeur ? L’employeur pourrait alors être tenté d’entreprendre une action à l’encontre du travailleur. Est-ce possible ? Beaucoup dépend, selon nous, de la politique menée par l’employeur en la matière.

La règle est en effet qu’un travailleur n’est responsable que de son dol, de sa faute lourde et de sa faute légère lorsque celle-ci présente chez lui un caractère habituel plutôt qu’accidentel. Il s’agit d’une règle impérative, ce qui signifie qu’on ne peut y déroger contractuellement, sauf dans le cadre d’une CCT rendue obligatoire par arrêté royal. C’est donc le juge qui déterminera si la faute commise par le travailleur en cliquant sur le lien de phishing relève de la catégorie « faute lourde ». La jurisprudence a déjà défini cette faute lourde comme « une faute non intentionnelle mais tellement grossière et extrême qu’elle n’est pas excusable ». Il est important de savoir que l’ampleur du dommage ne joue à cet égard aucun rôle.

Quand le juge estimera-t-il que le clic fautif constitue une faute à ce point grossière et extrême qu’elle n’est pas excusable ? Il s’agit d’une appréciation difficile qui dépendra, d’une part, du courriel de phishing lui-même. S’il était assez évident qu’il s’agissait d’un courriel de phishing, cela jouera en défaveur du travailleur. D’autre part, il peut également être tenu compte des efforts que l’employeur a lui-même déployés pour éviter de telles situations, y compris les efforts visant à informer ses travailleurs de l’importance d’être très prudents face aux courriels suspects. Si l’employeur mène une politique résolue à cet égard et informe et forme régulièrement son personnel, tout en soulignant l’importance pour l’entreprise que cette politique soit suivie très strictement, cela peut jouer en faveur de l’employeur. L’employeur peut ainsi également exprimer, dans le règlement de travail, l’importance qu’il attache au respect de cette politique. Le juge n’est pas tenu de s’y conformer, mais peut en déduire l’importance que l’employeur y attache lui-même.

Il n’est donc certainement pas établi que le tribunal jugera que la faute du travailleur, dans l’hypothèse d’une telle politique résolue de l’employeur, constitue une faute grossière et extrême. En revanche, si l’employeur ne peut démontrer d’aucune manière l’existence d’une politique en la matière, les chances que le travailleur soit tenu responsable sont plutôt minces. En effet, dans quelle mesure la faute d’un travailleur peut-elle être grossière et extrême si l’employeur lui-même ne peut démontrer l’importance qu’il attache à éviter cette faute ?

Lorsque le travailleur peut être tenu responsable, le dommage peut être récupéré auprès de lui, éventuellement par des retenues sur son salaire.

Une autre question est de savoir si cela peut également donner lieu à un licenciement pour motif grave. Un tel licenciement n’est possible qu’en présence d’un manquement grave rendant immédiatement et définitivement impossible toute collaboration professionnelle. Cette appréciation relève à nouveau du juge et diffère de la notion de « faute lourde » dans le cadre du régime de responsabilité. Ainsi, des juges ont déjà estimé que le travailleur était responsable alors que la faute commise ne constituait pas un motif de licenciement pour motif grave, et inversement. Toutefois, il reste à nouveau difficile de justifier que la collaboration est devenue définitivement et immédiatement impossible si l’employeur ne peut démontrer avoir déployé des efforts pour informer le travailleur de manière approfondie.

Chaque employeur devrait donc disposer d’une politique résolue contre le phishing et la fraude informatique en général. Cela va au-delà de directives écrites à suivre par le personnel et doit surtout être intégré dans l’infrastructure informatique. En effet, si l’employeur ne peut démontrer avoir investi (suffisamment) dans la sécurité informatique, cela peut également influencer l’appréciation du tribunal.

Mais l’élément le plus important d’une telle politique reste la prévention. En formant le personnel à cette problématique, le risque d’être victime d’une faute d’un travailleur diminue sans cesse. Et mieux vaut prévenir que guérir.

Si vous avez besoin d’aide dans cette matière, n’hésitez pas à nous contacter via contact@alisadvocaten.be.