Questionnaire RGPD : concevoir une enquête conforme

Un questionnaire de satisfaction peut sembler anonyme tout en enregistrant un identifiant de client, un lien individuel ou une adresse IP. Avant de rédiger les mentions, examinez ce que l’outil collecte réellement et ce que vous comptez faire des réponses.

Définir l’objectif et le degré d’identification utile

Distinguez mesurer une satisfaction globale, rappeler une personne mécontente et évaluer individuellement une prestation. Ces objectifs ne nécessitent pas les mêmes informations ni les mêmes accès. L’Art. 5(1)(b) et (c) exige des finalités déterminées et des données adéquates, pertinentes et limitées à ce qui est nécessaire. Source : RGPD, Art. 5.

L’absence de question « nom » ne suffit pas à rendre le questionnaire anonyme. Vérifiez les liens uniques, les comptes connectés, les traces techniques, les combinaisons de réponses et les informations présentes dans les commentaires. Le guide du questionnaire anonyme permet d’examiner ces possibilités de réidentification.

Exemple de questions à limiter

Cas entièrement hypothétique : Atelier Argile organise des ateliers de poterie pour adultes. La gérante veut choisir les améliorations du prochain trimestre à partir de trois sessions. Elle renonce au classement des animateurs et à l’enrichissement du fichier commercial. Une affiche remise en fin d’atelier mène au même formulaire pour tous ; aucun envoi publicitaire n’est ajouté au dispositif.

La première maquette demandait nom, âge, profession et numéro de réservation. Après examen, la gérante retient ce questionnaire :

Les commentaires restent potentiellement identifiants, même sans nom. La gérante ne promet donc pas une enquête anonyme. Elle explique que le questionnaire ne demande pas l’identité et reste couvert par les règles de protection des données. Le parcours de rappel recueille séparément l’adresse de réponse et la difficulté que la personne choisit d’expliquer ; il fait l’objet de sa propre information.

Le bilan attendu est concret : si les difficultés concernent principalement les consignes, les supports seront révisés. Aucun besoin de retrouver l’auteur de chaque note n’apparaît dans cette décision. Ce raisonnement évite de collecter une identité simplement « au cas où » une analyse ultérieure serait intéressante.

Choisir la base légale de chaque finalité

Le consentement n’est pas obligatoire pour tout sondage. Le contrat n’est pas automatiquement pertinent parce que les répondants sont clients. La CNIL rappelle que l’amélioration d’un service ne peut généralement pas être fondée sur l’exécution du contrat lorsque celui-ci peut être exécuté sans ce traitement. Source : CNIL, base légale du contrat.

Selon le contexte, un intérêt légitime, un consentement ou une autre base peut être retenu, à condition d’en satisfaire les exigences. Documentez le choix de la base légale. Si des données de l’Art. 9(1) sont nécessaires, il faut aussi identifier une exception de l’Art. 9(2) ; une simple case de participation n’y répond pas automatiquement.

Un accord à la participation, une information sur les données et un consentement à un usage distinct ont des fonctions différentes. Ne les fusionnez pas dans une case « J’accepte le RGPD ».

Informer au moment utile

Pour une collecte directe, l’Art. 13(1) et (2) impose notamment l’identité et les coordonnées du responsable, les finalités et bases légales, les destinataires, la durée ou ses critères, les droits pertinents et la possibilité de réclamer auprès d’une autorité. Il prévoit aussi, selon les cas, les coordonnées du DPO, les intérêts légitimes, les transferts, le retrait du consentement, le caractère obligatoire des données et certaines décisions automatisées. Source : RGPD, Art. 13.

Dans notre cas, la gérante documente l’intérêt légitime prévu par l’Art. 6(1)(f) : améliorer l’organisation de ses ateliers à partir des difficultés effectivement rencontrées. Les totaux de réservations ne renseignent pas la compréhension des consignes ; quelques réponses qualitatives sont utiles. En contrepartie, aucune réponse n’est obligatoire, aucune conséquence individuelle n’en découle, les commentaires ne sont pas diffusés et aucun rapprochement commercial n’est effectué. Cette conclusion dépend de ces garanties : elle ne vaut pas pour une enquête RH obligatoire ou un questionnaire médical.

Voici une notice renseignée pour cet exemple fictif, à afficher avant les questions. Elle suppose un outil dont le périmètre décrit ci-dessous a effectivement été vérifié ; elle ne doit pas être copiée si votre fournisseur transmet autrement les données.

Atelier Argile SARL, responsable du traitement, utilise vos réponses pour améliorer l’organisation et les supports de ses ateliers, sur la base de son intérêt légitime à améliorer ces prestations. Contact : donnees@atelier-argile.example. La participation et toutes les réponses sont facultatives. Ne pas répondre n’a aucune conséquence sur votre accès aux ateliers.

La gérante et la coordinatrice chargée de l’analyse peuvent consulter les réponses, ainsi que notre hébergeur agissant pour notre compte dans les limites de sa prestation. Pour cette enquête, aucun transfert hors de l’Espace économique européen n’est réalisé. Les réponses individuelles sont supprimées soixante jours après la clôture de l’enquête. Seuls des résultats agrégés effectivement anonymes sont ensuite conservés pour comparer nos améliorations.

Vous pouvez demander l’accès à vos données, leur rectification ou leur effacement, et la limitation du traitement dans les conditions du RGPD, à l’adresse de contact ci-dessus. Vous pouvez vous opposer au traitement pour des raisons tenant à votre situation particulière. Vous pouvez aussi adresser une réclamation à la CNIL. Ne saisissez pas le nom de tiers ni d’informations sensibles dans les commentaires.

Le délai de soixante jours est un choix de ce projet, pas une durée légale applicable aux sondages. Le cas suppose qu’aucun DPO n’est désigné et qu’aucune décision automatisée significative n’est prise. Adaptez ces rubriques si les faits changent. La portabilité de l’Art. 20 n’est pas annoncée ici, puisque la base choisie est l’intérêt légitime. L’opposition relève de l’Art. 21(1) ; elle ne doit pas être rebaptisée « retrait du consentement ».

Les modèles de mentions d’information détaillent les rubriques à adapter. Une notice en plusieurs niveaux reste possible, mais son contenu doit être accessible avant la collecte et compréhensible, conformément à l’Art. 12(1).

Contrôler l’outil et la conservation

Vérifiez qui héberge, qui peut exporter, où sont les accès et comment supprimer les réponses. Lorsque le fournisseur traite les données pour votre compte, les exigences de l’Art. 28 s’appliquent. Le recours à un formulaire connu ne valide ni les réglages ni votre usage. Source : RGPD, Art. 28 et 32.

Si vous utilisez cet outil, le guide Google Forms et RGPD aide à préparer l’examen de la configuration. Regardez aussi les tableurs liés, les notifications contenant les réponses et les copies locales.

Fixez la durée selon le besoin : temps d’analyse des réponses individuelles, éventuel suivi d’une demande, puis suppression ou anonymisation effectivement vérifiée. Une durée de trois ans ne s’applique pas par défaut à toute enquête. Inscrivez l’activité dans le registre lorsqu’elle relève de l’Art. 30 ; un questionnaire récurrent ne bénéficie pas de l’exception réservée aux petites organisations pour le seul motif qu’il est court.

Que faire si le formulaire collecte davantage que prévu ?

Avant ouverture, la coordinatrice effectue deux essais avec des réponses fictives : d’abord sans connexion, puis avec un compte fictif connecté. Elle examine le résultat visible par la gérante, l’export et les notifications de chaque essai. Dans notre scénario, le second essai révèle que l’outil ajoute l’adresse du compte connecté ; les deux déclenchent un courriel transmettant le commentaire intégral à tous les animateurs. La notice et le questionnaire limité ne correspondent donc pas au traitement réel.

La gérante suspend l’ouverture. Elle désactive la collecte de comptes et les notifications détaillées, réduit les destinataires, puis recommence le contrôle depuis un compte connecté et sans connexion. Si ces fonctions ne peuvent pas être maîtrisées, elle utilise un autre dispositif ou repense le projet avec une information exacte ; elle ne publie pas la mention « sans identité » en espérant que les participants ne se connecteront pas.

Si l’enquête a déjà commencé, changer le réglage ne suffit pas. Il faut retrouver les réponses antérieures, les exports et les messages reçus, arrêter les usages non prévus, organiser leur suppression lorsqu’aucune conservation n’est justifiée et examiner les conséquences pour les personnes. Une divulgation à des personnes non autorisées appelle aussi l’analyse des Art. 33 et 34 ; toute erreur de paramétrage n’est pas automatiquement une notification à la CNIL. Le dossier consigne les faits, les destinataires et la décision motivée.

Au terme des soixante jours retenus, la coordinatrice vérifie aussi les copies : supprimer le formulaire tout en gardant le tableur complet ne réalise pas l’effacement prévu. Elle construit le bilan à partir de catégories suffisamment larges, retire les commentaires identifiants et vérifie qu’aucune combinaison ne permet de retrouver une personne. Si ce résultat ne peut pas être obtenu, elle ne conserve pas les lignes individuelles sous l’étiquette « statistiques anonymes ».

Ce qu’il faut retenir

• Examinez les données techniques autant que les questions visibles.
• Le contrat et le consentement ne sont pas des fondements automatiques.
• Séparez mesure globale, rappel individuel et autres usages.
• Contrôlez les accès, exports, copies et suppressions dans l’outil réel.

FAQ

Un questionnaire sans nom est-il anonyme ?

Pas nécessairement. Un lien individuel, des journaux techniques ou des réponses croisées peuvent permettre l’identification. Cette qualification doit être vérifiée dans le dispositif complet.

Une enquête de satisfaction repose-t-elle sur le contrat client ?

Pas du seul fait de cette relation. Le traitement doit être objectivement nécessaire à l’exécution du contrat pour relever de l’Art. 6(1)(b) ; l’amélioration générale du service appelle souvent un autre fondement.

Une case d’acceptation des mentions est-elle obligatoire ?

L’information et le consentement sont distincts. Une case d’acceptation générale ne remplace ni une information complète ni les conditions du consentement lorsqu’il constitue la base retenue.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.