Enquête collaborateurs anonyme et RGPD

Anonyme, confidentiel ou pseudonymisé ?

Ces mots sont employés indifféremment, mais ils désignent des choses très différentes :

Cette distinction vient du RGPD lui-même. Le considérant 26 indique que les règles ne s’appliquent pas aux informations anonymes, et que les données pseudonymisées qui peuvent être attribuées à une personne au moyen d’informations supplémentaires restent des données personnelles. Le critère est de savoir si quelqu’un pourrait identifier la personne par des moyens raisonnablement susceptibles d’être utilisés, compte tenu du coût, du temps nécessaire et des technologies disponibles.

Beaucoup d’enquêtes présentées comme « anonymes » sont en réalité confidentielles. Ce n’est pas un problème en soi, mais dites-le clairement. Les collaborateurs qui découvrent que « anonyme » voulait dire autre chose ne répondront plus sincèrement la fois suivante.

Quand une enquête est-elle vraiment anonyme ?

Les autorités européennes de protection des données, réunies au sein du CEPD (Comité européen de la protection des données, EDPB en anglais), préparent de nouvelles lignes directrices sur l’anonymisation. La version soumise à consultation publique a été adoptée le 7 juillet 2026 et succède à un avis de 2014. Elles reposent sur trois critères : No Record Isolation, No Linkage et No Inference. Si les trois sont remplis, les données peuvent être considérées comme anonymes. Traduits en trois questions, auxquelles vous voulez pouvoir répondre « non » :

1. Pouvez-vous isoler une personne ? Par exemple, la seule femme de plus de cinquante ans du service Achats.
2. Pouvez-vous croiser des données ? Par exemple, l’heure d’arrivée d’une réponse et le moment où Julien a cliqué sur « envoyer ».
3. Pouvez-vous déduire quelque chose sur quelqu’un ? Par exemple, si les trois membres d’une équipe ont tous donné un 3, vous savez ce que chacun a répondu.

Dans les enquêtes collaborateurs, c’est en pratique à ces endroits que les choses dérapent :

• Les petits groupes. Un résultat pour une équipe de trois personnes est le résultat de trois personnes connues. N’affichez aucune ventilation en dessous d’un seuil fixe, cinq par exemple.
• Les combinaisons de caractéristiques. Le service, la tranche d’âge et l’ancienneté sont peut-être anodins séparément, mais ensemble, ils désignent souvent quelqu’un.
• Les liens personnels. Un lien d’invitation unique par personne est pratique pour les relances, mais tant que ce lien reste attaché aux réponses, l’enquête n’est pas anonyme.
• Le timing. Si un administrateur voit immédiatement qui a participé et immédiatement quelle réponse est arrivée, il peut rapprocher les deux.
• Les réponses ouvertes. Quelqu’un qui écrit « depuis mon retour après l’accident » s’est déjà nommé. Un texte libre n’est jamais anonyme par défaut.
• Les traces techniques. Les adresses IP, les données de l’appareil et les fichiers journaux peuvent permettre une identification, même si le questionnaire ne le permet pas.

Ce qu’exige le RGPD tant que les données sont rattachables

Même une enquête qui finit anonyme commence généralement avec des données personnelles : une liste d’adresses e-mail, des invitations, des relances. Et une enquête confidentielle traite des données personnelles du début à la fin. Pour ces étapes s’appliquent notamment :

Une base légale (article 6). Le consentement semble aller de soi, mais il fonctionne rarement dans la relation de travail. Le CEPD écrit qu’il est peu probable qu’un salarié puisse refuser quelque chose à son employeur sans crainte ni risque réel de conséquences négatives, et que pour la plupart des traitements au travail, le consentement ne peut ni ne doit être la base légale. Un employeur aura donc généralement besoin d’une autre base, comme l’intérêt légitime, avec une mise en balance documentée entre cet intérêt et la vie privée des collaborateurs.

L’information (article 13). Dites à l’avance ce que vous collectez, pourquoi, qui y a accès, combien de temps vous le conservez et quels autres acteurs interviennent. C’est aussi précisément ce dont les collaborateurs ont besoin pour faire confiance à l’enquête.

La minimisation des données. Ne demandez que les caractéristiques dont vous avez réellement besoin pour l’analyse.

Pas de données sensibles (article 9). La santé, l’origine ethnique, la religion et l’orientation sexuelle relèvent des catégories particulières de données personnelles, qui ne peuvent être traitées que sous des conditions strictes. Ne posez pas de questions à leur sujet dans une enquête collaborateurs.

Un contrat de sous-traitance (article 28). Si vous utilisez une plateforme externe, celle-ci agit comme votre sous-traitant, et vous devez fixer par écrit ce qu’elle peut faire des données.

Des durées de conservation. Décidez combien de temps vous conservez les données, puis supprimez-les ou anonymisez-les.

Une AIPD (article 35). Vérifiez si une analyse d’impact relative à la protection des données est requise. Pour une enquête à grande échelle sur des sujets sensibles, c’est plus probable.

Le rôle des représentants du personnel

Selon le pays, les représentants du personnel peuvent avoir leur mot à dire sur la manière dont les données des salariés sont traitées. Aux Pays-Bas, par exemple, la loi sur les conseils d’entreprise (Wet op de ondernemingsraden) donne au conseil d’entreprise un droit d’approbation sur tout projet de dispositif de traitement et de protection des données personnelles des salariés (article 27, paragraphe 1, point k), ainsi que sur les dispositifs permettant de contrôler la présence, le comportement ou les performances des salariés (point l). La question de savoir si votre enquête relève de règles de ce type dépend du pays et du dispositif. Mais au-delà de l’aspect juridique, des représentants du personnel associés tôt, qui réfléchissent avec vous à l’anonymat, sont les meilleurs ambassadeurs qu’une enquête puisse avoir.

Check-list pour une enquête qui inspire confiance

Pour construire le questionnaire lui-même, consultez nos questions pour une enquête collaborateurs ; pour l’eNPS comme question centrale, Qu’est-ce que l’eNPS ?

Comment ScoreStory gère l’anonymat

Nous concevons ScoreStory précisément pour ce type d’enquête : il est donc légitime de demander ce que nous faisons concrètement. Lorsque vous rendez une enquête anonyme, voici ce qui se passe :

• Aucun nom ni adresse e-mail associés aux conversations. Pas même si un participant se nomme lui-même, et ils ne peuvent pas être ajoutés après coup.
• Le lien est supprimé, pas seulement masqué. Une fois une conversation terminée, sa référence à l’invitation, et donc à l’adresse e-mail, est retirée de la base de données lors du cycle suivant.
• La participation s’affiche avec 72 heures de décalage. Vous voyez *qu’*une personne a participé, mais cette information n’est mise à jour qu’une fois toutes les 72 heures, en un seul lot, avec le même horodatage pour toutes les personnes de ce lot. Vous ne pouvez donc pas relier une conversation qui arrive à la personne qui vient de terminer.
• Les petits groupes restent masqués. Si vous filtrez sur une caractéristique qui concerne moins de cinq participants, aucun résultat ne s’affiche.
• Les participants gardent la main. À la fin, chaque participant reçoit un code de suppression pour faire effacer plus tard sa propre conversation. Nous ne conservons pas ce code : seul le participant peut donc le faire.
• Le réglage est verrouillé dès que le premier participant a répondu, pour que l’anonymat ne puisse pas changer en cours de route.

Et les limites, car il y en a : si une seule personne est détachée lors d’un cycle de 72 heures, ce cycle permet malgré tout de l’identifier. Un filtre sur une période très courte peut isoler une seule conversation. Et ce que quelqu’un tape reste exactement tel qu’il l’a tapé. Chez nous, anonyme signifie donc : impossible à rattacher à une personne via le système.

Les données sont stockées sur des serveurs aux Pays-Bas. Pour la conversation elle-même, chaque organisation choisit son modèle de langage. Par défaut, il s’agit actuellement de Claude, d’Anthropic, une entreprise américaine ; ce transfert est couvert par les clauses contractuelles types de l’UE et, le cas échéant, par le EU-US Data Privacy Framework. Si vous choisissez Mistral, une entreprise française, aucune donnée de conversation ne part vers un modèle d’IA hors de l’UE, y compris pour la transcription de la parole. Tous les acteurs concernés, et ce qu’ils peuvent voir, figurent dans notre politique de confidentialité.