RGPD et PME : êtes-vous légalement responsable si un de vos employés se fait hameçonner sur son outil de travail ?

Ce que vous risquez vraiment, en clair

Quand un de vos salariés clique sur un email piégé, ce n’est pas lui que la CNIL convoque : c’est vous, le dirigeant. Le RGPD vous désigne comme responsable du traitement, et l’article 32 vous oblige à protéger les données. En 2025, 43 % des cyberattaques en PME sont passées par le phishing. La bonne nouvelle : avec un parc Apple bien tenu (MDM, chiffrement, double authentification), vous passez du statut de maillon faible à celui de bon élève.

Oui, vous êtes responsable. Et voici pourquoi.

Le RGPD ne fait aucune différence entre la maladresse du salarié et la défaillance de l’entreprise. Une seule règle s’applique : toute société qui collecte des données personnelles est « responsable du traitement », donc redevable de leur protection. L’article 32 du règlement vous impose des mesures techniques et organisationnelles « appropriées » pour assurer la sécurité.

Concrètement : un collaborateur saisit ses identifiants sur un faux portail Microsoft, la base clients fuite, et c’est l’entreprise (donc vous) qui répond devant la CNIL. L’ANSSI rappelle que plus de 80 % des cyberattaques démarrent par un email frauduleux. Le clic, c’est juste le déclencheur. Ce qui compte, c’est ce que vous aviez mis en place AVANT.

Phishing, un risque devenu massif pour les PME en 2026

Les chiffres 2025 ne laissent plus de place au doute :

📊 43 % des cyberattaques en PME françaises passent désormais par le phishing (contre 24 % un an plus tôt). 67 % des entreprises françaises ont subi au moins une cyberattaque en 2024. Source : baromètre de la maturité cyber des TPE-PME.

Le phishing s’est industrialisé : QR codes piégés, faux SMS, deepfakes audio, ingénierie sociale par téléphone… Vos salariés reçoivent 10 tentatives par semaine, parfois sans même les remarquer. Compter sur leur vigilance individuelle, ce n’est plus une stratégie. C’est un pari.

La CNIL sanctionne le dirigeant, pas le salarié

Le barème RGPD est pour le moins… dissuasif : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, avec une astreinte possible de 100 000 € par jour de retard de mise en conformité.

Et ce n’est pas théorique. En janvier 2026, France Travail a écopé d’une amende de 5 millions d’euros après la fuite, en 2024, des données de 36,8 millions de personnes. Motif retenu par la CNIL : des mesures de sécurité jugées obsolètes.

La jurisprudence est claire : la CNIL frappe quand l’entreprise n’a pas chiffré, pas supervisé, pas activé de double authentification.

On vous aide à choisir un bon partenaire Apple pour éviter ce genre de surprise.

Pourquoi le mythe du « Mac invincible » vous expose

« On est sur Mac, on n’a pas besoin d’antivirus. » Cette phrase, on l’entend (malheureusement) trop souvent. Disons-le clairement : elle est fausse, et juridiquement risquée. Le phishing, lui, se moque de savoir si vous êtes sur Mac ou sur PC : il vise la personne devant l’écran, pas la machine.

L’infogérance Apple managée couvre le dépannage, bien sûr, mais elle apporte surtout le cadre technique qui vous donne les moyens de démontrer, preuves à l’appui, que vous avez fait ce qu’il fallait. Externaliser la gestion de votre parc Mac, c’est d’abord vous protéger.

Que doit faire un dirigeant après un phishing “réussi” ?

Combien de temps pour notifier la CNIL ?

72 heures à compter de la prise de connaissance de la violation. Au-delà, la sanction s’alourdit. Tracez l’incident, isolez les comptes compromis et documentez chaque action.

Mes salariés sont-ils personnellement responsables ?

Sauf faute intentionnelle (très rare et difficile à prouver), non. La CNIL s’adresse au responsable du traitement, c’est-à-dire l’entreprise. Vos salariés ne sont pas dans la boucle juridique.

Mon assurance cyber couvre-t-elle les sanctions CNIL ?

La plupart des contrats excluent explicitement les amendes administratives. Vérifiez votre police : seules les pertes d’exploitation et les frais de remédiation sont en général couverts.

Bref

Le phishing n’est plus un risque IT, c’est un “risque dirigeant”. Vous ne pouvez plus déléguer la sécurité de votre parc Apple à la vigilance individuelle de vos collaborateurs (ni à un infogérant généraliste d’ailleurs, mais ça c’est un autre sujet)

Notre expertise Apple de niveau 3, associée à une supervision proactive et à une stratégie de conformité documentée, c’est ce qui fait basculer votre obligation RGPD du côté de l’avantage commercial. Un score de sécurité qui rassure vos donneurs d’ordres vaut mieux qu’une amende qui défraye la chronique.

On s’en parle ? Contactez Gete.net Consulting pour un premier échange sans engagement ofc.

---

Si cette édition vous a été utile, abonnez-vous à cmd+G | Apple en entreprise. Chaque semaine, un sujet Apple en entreprise traité avec la même franchise.