Résidence et souveraineté des données pour vos programmes de phishing

Un programme de simulation de phishing génère certaines des données les plus sensibles, proches du domaine RH, que vous détenez : qui sont vos collaborateurs, comment ils réagissent sous pression, et lesquels ont cliqué. L'endroit où ces données résident — et qui peut légalement y accéder — n'est pas un détail technique. C'est une décision de gouvernance qui a sa place dans votre cartographie des risques.

Pourquoi les données de phishing sont plus sensibles qu'il n'y paraît

Sur le papier, une simulation n'est « qu'un email de test ». En pratique, le jeu de données qu'elle produit est particulièrement révélateur :

• Identités des collaborateurs — noms, adresses email, service, parfois fonction et responsable.
• Signaux comportementaux — qui a ouvert, qui a cliqué, qui a soumis ses identifiants, et à quelle vitesse.
• Résultats par utilisateur dans le temps — un historique longitudinal de la vulnérabilité individuelle.

Agrégées, ces informations constituent un indicateur de sécurité. À l'échelle individuelle, ce sont des données personnelles susceptibles d'être détournées à des fins de profilage, de jugements de performance injustes ou — en cas de fuite — de liste de cibles pour de véritables attaquants. C'est précisément cette combinaison qui rend la résidence et la souveraineté plus déterminantes ici que pour beaucoup d'autres outils.

Résidence et souveraineté

Les deux notions sont liées mais distinctes :

• La résidence des données désigne l'emplacement physique où les données sont stockées et traitées — par exemple des datacenters situés en France ou ailleurs dans l'UE.
• La souveraineté des données concerne la loi de quelle juridiction peut contraindre l'accès à ces données, indépendamment de leur localisation physique.

Un jeu de données peut résider dans l'UE tout en restant exposé à une portée juridique extraterritoriale s'il est opéré par un prestataire soumis à des lois étrangères de divulgation. Une démarche de souveraineté sérieuse traite les deux dimensions.

Ne demandez pas seulement « où sont mes données ? » mais « quelle loi régit qui peut être contraint de les remettre ? ».

Le socle RGPD

Pour toute organisation de l'UE, le RGPD fixe des attentes non négociables pour un programme de phishing :

• Base légale et transparence — généralement l'intérêt légitime pour la sensibilisation à la sécurité, documenté et communiqué de façon appropriée.
• Minimisation des données — ne collecter que les champs réellement nécessaires au programme ; éviter d'accumuler des attributs « au cas où ».
• Limitation des finalités — les résultats de simulation servent la sensibilisation et la réduction du risque, pas une surveillance disciplinaire.
• Limitation de conservation — ne garder les résultats que le temps utile au programme, puis les supprimer ou les agréger.
• Encadrement des transferts internationaux — si les données quittent l'UE, des mécanismes de transfert et des garanties doivent être en place et défendables.

Répondre à ces exigences est bien plus simple lorsque votre prestataire est hébergé dans l'UE par conception, et non par correctif tardif.

Résidence des données dans l'UE par défaut

GottaPhish assure une résidence des données dans l'UE par défaut : les données des collaborateurs et les résultats de campagne sont hébergés en France/UE, chiffrés en transit et au repos. Pour la plupart des organisations, cela suffit à satisfaire les exigences de résidence et simplifie la tenue des registres RGPD, puisqu'il n'y a tout simplement aucun transfert transfrontalier à justifier.

Les bénéfices concrets d'une posture « UE par défaut » :

• Des analyses d'impact relatives à la protection des données plus courtes et plus nettes.
• Aucune dépendance à des mécanismes de transfert pour le fonctionnement courant.
• Une réponse claire et auditable pour les services achats et conformité.

Quand la résidence ne suffit pas : garder les référentiels sensibles on-premise

Certaines organisations — dans des secteurs réglementés ou soumises à une politique interne stricte — ont besoin d'une garantie qui va au-delà de « hébergé dans l'UE ». Pour elles, le référentiel de données sensibles de GottaPhish peut rester on-premise, au sein de l'environnement de l'organisation. Les identités des collaborateurs et les résultats ne quittent alors jamais votre réseau, tandis que la console infogérée continue d'assurer la conception et l'orchestration des campagnes.

Vous disposez ainsi d'un continuum plutôt que d'un choix binaire :

• SaaS hébergé dans l'UE — le mode par défaut, suffisant pour la plupart.
• Hybride — référentiel de données personnelles conservé en interne, orchestration infogérée.
• On-premise / auto-hébergé — maîtrise totale pour les environnements les plus sensibles.

Conservation et minimisation en pratique

Quel que soit le modèle, une gestion rigoureuse des données réduit le risque :

• Ne stocker que les champs d'identification minimaux nécessaires au reporting et à la formation.
• Définir une durée de conservation et imposer une suppression ou une agrégation automatique.
• Séparer les indicateurs agrégés durables du détail par utilisateur à courte durée de vie.

Comment GottaPhish aide

Un programme de simulation de phishing produit des données très sensibles, proches du domaine RH, et l'endroit où elles résident — et qui peut légalement y accéder — relève de la gouvernance des risques, pas d'un détail technique. GottaPhish et son équipe d'experts sont conçus pour qu'un programme rigoureux ne vous impose jamais de compromis sur cette gouvernance : les données des collaborateurs et les résultats sont hébergés en France/UE par défaut, chiffrés de bout en bout, encadrés par des règles claires de conservation et de minimisation — et, pour les organisations qui l'exigent, le référentiel sensible peut rester entièrement on-premise. Nos experts accompagnent votre DPO, vos équipes conformité et achats avec la documentation nécessaire pour valider en toute confiance, et vous aident à configurer les campagnes, concevoir les scénarios et interpréter les résultats. Vous obtenez l'analyse comportementale qui rend la formation efficace, avec une résidence et une souveraineté traitées comme votre politique l'exige.