Questionnaire interne non RH : prouver l'anonymat

Un questionnaire ne demande ni nom ni adresse électronique. Il peut pourtant révéler qui a répondu : une session précise, un commentaire reconnaissable ou un lien d’invitation individuel suffisent parfois à rattacher une réponse à une personne. Avant d’annoncer une enquête « anonyme », il faut donc examiner ce que voient les différents acteurs, pas seulement les questions affichées.

Ce guide concerne l’évaluation d’un service auprès d’usagers, d’adhérents ou de participants. Il permet de décider quelles informations recueillir et quels résultats transmettre. Les enquêtes RH et la prospection appellent des analyses distinctes.

Distinguer trois promesses différentes

« Nous ne demandons pas votre nom » décrit un formulaire. « Seules deux personnes liront les réponses » décrit une règle de confidentialité. « Personne ne pourra raisonnablement vous identifier dans les résultats diffusés » décrit une ambition d’anonymisation. Ces phrases ne sont pas interchangeables.

Le RGPD vise aussi l’identification indirecte. Son considérant 26 demande d’examiner les moyens raisonnablement susceptibles d’être utilisés, en tenant compte notamment du temps, du coût et des techniques disponibles. Supprimer une colonne nominative ne suffit donc pas à faire sortir un fichier du règlement. Sources : Art. 4(1), RGPD ; considérant 26.

Une enquête peut collecter des données personnelles puis produire une synthèse anonyme. Les obligations applicables à la collecte ne disparaissent pas rétroactivement. Inversement, il faut éviter d’affirmer qu’un résultat reste personnel pour tout destinataire simplement parce que l’organisateur détient encore les réponses sources : l’analyse dépend aussi des moyens et du contexte de chaque entité.

Au 27 septembre 2026, les nouvelles lignes directrices du CEPD sur l’anonymisation restent en consultation jusqu’au 30 octobre. La CNIL présente leur approche contextuelle et rappelle que les critères d’individualisation, de corrélation et d’inférence peuvent conduire à approfondir l’évaluation. Il ne s’agit ni d’un label délivré au formulaire ni d’une règle de taille minimale des groupes. Source : CNIL, présentation du 9 juillet 2026.

Partir de la décision que les réponses doivent éclairer

Écrivez d’abord la décision opérationnelle attendue. « Améliorer le service » est trop large pour justifier toutes les questions. « Choisir entre prolonger la séance et ajouter un support imprimé » permet de sélectionner des réponses utiles.

Pour chaque champ, demandez ce qui changerait dans votre décision si vous ne le collectiez pas. Le jour exact de participation peut être inutile pour choisir un support. L’âge exact peut être inutile si le service s’adresse à des adultes sans distinction d’âge. La minimisation concerne aussi les combinaisons : quatre champs ordinaires pris séparément peuvent former un portrait unique. Art. 5(1)(b)/(c) et 25(2), RGPD.

Si vous avez besoin de traiter une réclamation individuelle, prévoyez un canal distinct. Insérer « souhaitez-vous être rappelé ? » dans le même enregistrement peut relier l’ensemble des réponses à un numéro de téléphone. Deux blocs visuellement séparés dans une page ne garantissent aucune séparation dans la base ou l’export.

Examiner les six endroits où l’identité peut revenir

La revue doit couvrir le parcours réellement proposé, y compris les données que l’interface ne montre pas.

Cette grille organise la recherche de preuves ; elle ne démontre pas à elle seule l’anonymat. Une information inconnue doit rester une réserve. Le nom commercial d’une option « réponses anonymes » ne répond pas à la question des exports administrateur ou des sauvegardes.

Demandez au prestataire ce que recouvrent les journaux techniques, leurs destinataires et leurs rapprochements possibles. Un journal exploitable par le fournisseur n’est pas nécessairement accessible à l’association cliente. Il faut documenter cette différence, sans en déduire que toute la chaîne est anonyme.

Exemple : évaluer des ateliers sans fabriquer un portrait

Situation fictive. L’association Atelier Rivage propose des ateliers de réparation dans trois lieux. Elle veut choisir le contenu des prochaines séances. Son projet de questionnaire demande le lieu, la date, l’âge exact, le type d’objet apporté et un commentaire libre. Il ne demande aucun nom.

L’équipe possède cependant les listes d’inscription. Un seul participant a apporté une machine à coudre lors d’une séance donnée. Le commentaire « l’explication sur ma pédale était trop rapide », combiné au lieu et à la date, permettrait à l’animateur de le reconnaître. Aucun calcul complexe n’est nécessaire.

La responsable remplit la fiche suivante avant la collecte :

L’association choisit de présenter l’enquête comme confidentielle, sans nom demandé. Elle ne promet pas l’anonymat des réponses brutes : même après réduction, un texte libre peut être reconnaissable. Deux personnes désignées préparent la synthèse ; les animateurs reçoivent les thèmes utiles, sans export individuel.

Ce choix ne dispense pas d’examiner le logiciel. Si les conditions techniques ou contractuelles nécessaires ne sont pas établies, l’enquête ne doit pas être lancée sous prétexte que les questions ont été améliorées. Des données synthétiques, entièrement inventées pour cet exercice, peuvent aider à examiner les exports sans utiliser les réponses de vrais participants ; elles ne prouvent pas l’anonymat de la future collecte.

Transformer les réponses en résultat réellement diffusable

Continuons l’exemple fictif. Après une collecte organisée comme traitement personnel, la responsable examine 28 réponses. Dix demandent davantage d’exercices, huit un support imprimé, six des séances plus longues et quatre donnent d’autres suggestions. Ces nombres décrivent les réponses de l’exemple, pas nécessairement 28 personnes distinctes : aucun dispositif d’unicité n’a été établi.

Un commentaire révèle néanmoins une situation personnelle précise. Il reste dans le dossier restreint le temps nécessaire à la préparation ; il n’est pas reproduit dans le compte rendu. La synthèse décrit la demande pédagogique, sans l’anecdote permettant de reconnaître son auteur. Le sens doit rester fidèle : anonymiser ne permet pas de transformer une critique en avis favorable.

La responsable vérifie également les croisements. Un total global peut paraître inoffensif alors qu’un tableau par séance ou la comparaison avec un bilan antérieur révèle une réponse isolée. Le guide sur les petits effectifs dans les tableaux de bord traite ces risques de restitution.

La fiche Q18 conclut donc : « Diffusion des thèmes généraux après examen du document final ; aucune transmission des lignes individuelles, dates ou verbatims. La présente décision ne couvre pas une publication des réponses sources. » Si un partenaire réclame ensuite le détail par lieu, ce champ n’a pas été collecté : on ne doit pas le reconstituer en identifiant les répondants. Une future enquête nécessite une nouvelle analyse ; le premier accord n’autorise pas tous les exports futurs.

Il n’existe pas de seuil universel de cinq, dix ou vingt réponses rendant une enquête anonyme. La CNIL présente notamment l’individualisation, la corrélation et l’inférence comme points d’examen, avec une évaluation approfondie lorsque nécessaire. Source : CNIL, anonymisation. Pour une diffusion publique, utilisez une revue spécifique de publication en open data.

Assumer les obligations tant que les données sont personnelles

Pour Q18, l’association doit choisir et documenter une base légale avant la collecte. Le caractère facultatif du questionnaire ne constitue pas, à lui seul, un consentement valable. Si elle envisage l’intérêt légitime, elle doit examiner l’objectif, la nécessité des données et les effets pour les participants, avec leurs attentes et garanties. Une autre enquête, notamment menée par une autorité publique dans sa mission, peut relever d’un autre fondement. Art. 6(1)(a)/(e)/(f) et 7, RGPD.

L’information donnée aux participants précise notamment l’organisateur, l’objectif, la base retenue, les destinataires, la conservation, le contact et les droits applicables. Elle indique ce qui est facultatif et les conséquences de l’absence de réponse. Une formule « questionnaire anonyme » ne remplace pas ces informations lorsque des données personnelles subsistent. Art. 13(1)/(2), RGPD.

La durée des réponses brutes doit correspondre aux opérations nécessaires, sans devenir un archivage permanent « pour comparer plus tard ». Dans Q18, préparez la synthèse, examinez son statut et organisez séparément le devenir du fichier source, de ses exports et des copies du prestataire. Les accès restreints ne justifient pas, à eux seuls, une conservation prolongée. Art. 5(1)(e)/(f) et 28(3)(g), RGPD.

Un commentaire peut aussi révéler la santé ou une autre catégorie particulière. Une base légale de l’Art. 6 ne suffit alors pas : l’Art. 9 exige une condition applicable. Prévoyez une consigne évitant ces informations et une procédure de traitement restreint des réponses imprévues, plutôt qu’une diffusion automatique. Art. 9(1)/(2), RGPD.

Ce qu’il faut retenir

• Définissez la décision attendue avant de choisir les questions.
• Examinez invitations, comptes, journaux, exports et connaissances des lecteurs.
• Préférez une promesse de confidentialité exacte à un anonymat non démontré.
• Analysez séparément les réponses brutes et chaque restitution.
• Conservez la fiche de décision, ses preuves et ses réserves ; réouvrez-la si le périmètre change.

FAQ

Un formulaire sans connexion est-il anonyme ?

Pas nécessairement. Le contenu, un lien individualisé, les métadonnées ou les connaissances de l’organisateur peuvent permettre une identification. Il faut examiner leur combinaison et les acteurs capables de les utiliser.

Peut-on recueillir l’email pour éviter les doublons ?

Cette option crée un traitement personnel et peut relier les réponses à une identité. Comparez sa nécessité avec l’objectif de l’enquête. Ne promettez pas un anonymat incompatible avec ce rapprochement ; une séparation annoncée doit exister dans l’organisation et les fichiers.

Peut-on publier seulement les commentaires positifs ?

Cela ne constitue pas une méthode d’anonymisation. Un commentaire positif peut identifier son auteur. Examinez chaque contenu et restez fidèle à ce que les réponses permettent de conclure, sans présenter une sélection comme le résultat complet de l’enquête.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.