Wiedza / Prawo

Symulacja phishingu a RODO — czy wolno testować pracowników?

Aktualizacja: sierpień 2026 · czas czytania ok. 5 min

Wolno, i jest to praktyka rekomendowana przez organy zajmujące się cyberbezpieczeństwem. Ale symulacja przetwarza dane osobowe pracowników, więc wymaga podstawy prawnej, obowiązku informacyjnego i granic, których nie należy przekraczać. Poniżej praktyczna checklista — nie porada prawna.

Podstawa prawna: nie zgoda, tylko uzasadniony interes

Intuicja podpowiada zgodę pracownika. To błąd z dwóch powodów. Po pierwsze, w relacji pracodawca–pracownik zgoda bywa uznawana za nieswobodną ze względu na nierównowagę stron. Po drugie, gdyby pracownik musiał wyrazić zgodę na konkretny test, przestałby to być test.

Właściwą podstawą jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) — ochrona systemów i danych organizacji przed atakiem. Warto to udokumentować testem równowagi, w którym wykazujesz, że interes firmy przeważa nad ingerencją w prywatność pracownika, a sama ingerencja jest minimalna.

Obowiązek informacyjny — uprzedzić, ale nie zdradzić terminu

Pracownicy muszą wiedzieć, że w organizacji prowadzi się symulacje phishingowe. Nie muszą wiedzieć kiedy ani w jakiej formie. Standardem jest zapis w polityce bezpieczeństwa lub regulaminie pracy plus informacja przy wdrożeniu programu — z podaniem celu, podstawy prawnej, zakresu zbieranych danych i okresu ich przechowywania.

Granice, których nie warto przekraczać

• Bez scenariuszy uderzających w godność — fałszywe premie, informacje o zwolnieniach, wyniki badań lekarskich czy sprawy rodzinne wywołują realną szkodę i niszczą zaufanie do działu bezpieczeństwa.
• Bez konsekwencji dyscyplinarnych za jedno kliknięcie — symulacja ma mierzyć podatność organizacji, nie budować listy do zwolnienia. Kara zamienia program w narzędzie nadzoru, a wtedy zmienia się też ocena proporcjonalności.
• Bez zbierania haseł — strona testowa nie powinna zapisywać wpisanego hasła w formie umożliwiającej jego użycie. Wystarczy sam fakt, że dane zostały podane.
• Bez bezterminowej retencji — wyniki indywidualne przechowuj tylko przez czas potrzebny do remediacji, potem zostaw dane zbiorcze.

Co z radą pracowników i związkami zawodowymi

Jeśli w firmie działają związki zawodowe lub rada pracowników, poinformowanie ich o programie przed startem jest rozsądne niezależnie od tego, czy przepis tego wymaga. Symulacja odkryta przypadkiem bywa odbierana jako ukryta kontrola i potrafi wywołać spór, którego łatwo uniknąć jednym spotkaniem.

Minimalna checklista przed pierwszą kampanią

• Zapis w polityce bezpieczeństwa, że symulacje są prowadzone.
• Klauzula informacyjna z celem, podstawą i retencją.
• Test równowagi udokumentowany na piśmie.
• Decyzja o braku sankcji zakomunikowana wprost — podnosi zgłaszalność incydentów.
• Zdefiniowana retencja danych indywidualnych.
• Ścieżka remediacji — kto kliknął, ten dostaje szkolenie, nie naganę.