Questionnaire interne non RH : prouver l'anonymat
Questionnaire anonyme : contrôlez les identifiants techniques, les réponses rares et les exports avant de promettre l'anonymat.
Un questionnaire d’évaluation de service ne demande ni nom ni adresse électronique. Pourtant, une date précise, une antenne peu fréquentée et un commentaire détaillé peuvent suffire à reconnaître un répondant. L’absence de champ « nom » ne démontre donc pas l’anonymat.
Ce guide vise les enquêtes de service auprès d’usagers, d’adhérents ou de participants. Il ne traite pas les enquêtes RH ni les campagnes de prospection.
Définir ce que vous promettez
Une enquête peut être confidentielle tout en restant identifiable. Elle peut aussi collecter des données personnelles avant de produire des résultats anonymes. Ces situations doivent être expliquées sans employer le mot « anonyme » pour rassurer artificiellement.
Le considérant 26 du RGPD demande de tenir compte des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne. La CNIL propose d’examiner l’individualisation, la corrélation et l’inférence. Source : CNIL, anonymisation.
Examiner le parcours complet
| Étape | Risque à rechercher | Mesure possible |
|---|---|---|
| Invitation | Lien propre à chaque personne | Séparer suivi d’invitation et réponses |
| Connexion | Compte utilisateur ou identifiant transmis | Éviter le rattachement si inutile |
| Réponse | Profil rare ou événement reconnaissable | Réduire la précision des questions |
| Hébergement | Journaux et données techniques | Limiter l’accès et la conservation |
| Export | Horodatage ou identifiant caché | Retirer les champs inutiles |
| Restitution | Groupe trop petit ou commentaire révélateur | Regrouper, reformuler ou omettre |
La présence de journaux techniques n’implique pas toujours que l’organisateur connaît l’identité, mais elle interdit de conclure sans examiner qui peut relier les informations et avec quels moyens.
Réduire les combinaisons rares dès les questions
Demandez une tranche lorsque la valeur exacte n’est pas nécessaire. Évitez de cumuler des caractéristiques qui isolent un répondant. La taille d’un groupe n’est qu’un indice : il n’existe pas de nombre universel de réponses garantissant l’anonymat.
Exemple hypothétique. Une association interroge les participants à plusieurs ateliers. La combinaison du lieu, du jour, de l’âge exact et d’un besoin d’accessibilité peut désigner une personne connue de l’équipe. L’analyse conserve une catégorie d’âge large et regroupe des sessions lorsque la précision n’apporte rien à l’évaluation.
Le guide sur les petits effectifs dans les tableaux de bord permet d’examiner la restitution, qui présente un risque distinct de la collecte.
Encadrer les commentaires libres
Un répondant peut citer une personne, raconter un événement rare ou divulguer une information sensible. Indiquez clairement de ne pas saisir d’identifiants inutiles. Organisez une revue avant de transmettre les verbatims à d’autres lecteurs ou de les publier.
Une synthèse fidèle peut être préférable à une citation exacte, lorsqu’elle préserve l’analyse sans exposer l’auteur ou un tiers. Ne corrigez pas le sens pour rendre les résultats plus favorables. Si une demande individuelle doit être traitée, proposez un canal séparé : le suivi nominatif ne doit pas être dissimulé dans une enquête annoncée comme anonyme.
Documenter les données qui restent personnelles
Si une identification reste raisonnablement possible, appliquez le RGPD : base légale, information, durées, destinataires et sécurité. Les Art. 5(1)(c), 13(1)/(2), 25(2) et 32(1) fournissent le cadre de cette conception. Source : RGPD.
Examinez les journaux techniques du prestataire et le contenu de ses exports. Un fichier remis sans noms peut encore contenir une adresse IP, une heure exacte ou un identifiant correspondant à un compte.
Conservez une fiche décrivant les questions retirées, les recoupements envisagés, les lecteurs et les limites connues. Réexaminez cette fiche si une nouvelle population ou un export plus détaillé est ajouté. Les données synthétiques peuvent servir à préparer les restitutions, mais ne constituent pas une garantie automatique d’anonymat.
Si les réponses ou résultats doivent être publiés en données ouvertes, prévoyez une revue distincte avant diffusion. Le guide sur la publication de données en open data aide à distinguer information publiable et données personnelles à protéger.
Ce qu’il faut retenir
- Distinguez anonymat, confidentialité et anonymisation après collecte.
- Contrôlez les combinaisons de réponses et les métadonnées techniques.
- Examinez les verbatims avant toute diffusion.
FAQ
Un formulaire sans connexion est-il anonyme ?
Pas nécessairement. Il faut examiner les réponses, liens d’invitation, journaux et autres informations permettant un rapprochement.
Peut-on conserver l’email pour éviter les réponses multiples ?
Cela peut créer un traitement personnel distinct ou permettre un lien avec les réponses. Il faut l’analyser, le limiter et l’expliquer ; ne promettez pas un anonymat incompatible avec l’organisation réelle.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.