Sondage anonyme : combien de réponses pour que l'anonymat tienne ?

Toute équipe RH ayant lancé une enquête de climat s'est vu poser la même question par un collaborateur sceptique : « comment savez-vous que c'est vraiment anonyme ? ». Les réponses habituelles — « l'outil est anonyme », « nous ne regardons pas les réponses individuelles », « les résultats sont agrégés » — sont précisément celles qui ne résistent pas à l'examen, car aucune ne décrit une propriété des données. La question a une vraie réponse, et elle relève d'abord du calcul, ensuite du droit.

Cet article donne les chiffres concrets, le raisonnement qui les fonde et la couche de droit du travail qui vient par-dessus — l'art. 328b CO, qui limite ce qu'un employeur peut traiter indépendamment de ce que les collaborateurs acceptent.

Peut-on mener une enquête de satisfaction de manière anonyme ?

Oui — et y parvenir réellement rapporte davantage qu'on ne l'imagine. Le droit de la protection des données régit les données personnelles, c'est-à-dire les informations se rapportant à une personne physique identifiée ou identifiable. Des données véritablement anonymisées ne sont plus des données personnelles et la nLPD cesse de s'y appliquer : aucune entrée au registre pour ces réponses, aucune demande d'accès, aucune obligation de conservation, aucune annonce de violation. L'anonymat n'est pas un raffinement éthique dans une enquête : c'est la seule voie qui sort complètement le traitement du champ d'application.

Le piège, c'est qu'« anonyme » est une propriété technique et non une étiquette que l'on appose. Une enquête est anonyme lorsque personne — ni vous, ni la plateforme, ni un analyste déterminé ayant le SIRH ouvert dans une autre fenêtre — ne peut relier une réponse à une personne. La plupart des enquêtes vendues comme anonymes sont en réalité pseudonymes : l'identifiant direct a été retiré, mais il reste assez d'attributs pour réidentifier. Cette distinction et sa portée juridique font l'objet de notre article sur les formulaires anonymes et pseudonymes.

Combien de réponses faut-il pour que l'anonymat soit préservé ?

Le chiffre que tout le monde cite : cinq

Un groupe minimal de cinq est la convention la plus répandue dans la restitution des enquêtes internes, et elle vient du contrôle de la divulgation statistique — la discipline qu'appliquent les offices statistiques lorsqu'ils publient des tableaux sur de petites populations. La règle est simple : si un chiffre publié provient de moins de cinq enregistrements, on le supprime. Beaucoup d'organisations relèvent le plancher à dix pour tout ce qui est attribué à un responsable identifié, au motif qu'un responsable lisant les résultats de sa propre équipe dispose de bien plus de contexte qu'un lecteur anonyme et qu'il faut donc une foule plus grande pour s'y fondre.

Le seuil s'applique aux cellules, pas à l'enquête

C'est l'erreur qui ruine la plupart des programmes d'enquête bien intentionnés. « Nous avons eu 340 réponses, donc c'est anonyme » décrit l'enquête. La réidentification se produit dans les cellules — chaque chiffre issu d'une combinaison de filtres. La formulation rigoureuse de cette idée est la k-anonymité, introduite par Samarati et Sweeney à la fin des années 1990 : un jeu de données est k-anonyme si chaque enregistrement est indiscernable d'au moins k−1 autres au regard des attributs susceptibles d'identifier quelqu'un. Ces attributs — service, tranche d'ancienneté, tranche d'âge, genre, site, niveau hiérarchique — s'appellent des quasi-identifiants, et aucun n'identifie qui que ce soit isolément.

Combinés, ils s'effondrent vite. Prenez une entreprise de 340 personnes et un tableau de bord offrant quatre filtres. Service (12 modalités), ancienneté (4), tranche d'âge (4) et genre (3) engendrent 576 combinaisons possibles pour 340 personnes. La cellule moyenne contient moins d'une personne. Peu importe que l'enquête ait recueilli 340 réponses : dès que quelqu'un filtre sur « Finance, 0–2 ans, 30–39, femme », l'outil restitue un groupe d'une seule personne et trace volontiers la courbe de son score d'engagement.

Les quatre fuites des enquêtes « anonymes »

1. Le champ libre — de loin la plus importante

Les règles de seuil opèrent sur des nombres. Une zone de commentaire opère sur la langue, et la langue identifie : l'incident dont trois personnes seulement ont été témoins, le projet sur lequel une seule travaille, la tournure que les collègues reconnaissent, les tics de langue de la seule personne non francophone d'une équipe. Quiconque a lu les commentaires ouverts d'un service qu'il connaît peut généralement nommer plusieurs auteurs, et il a généralement raison. Traitez le champ libre comme une catégorie de données distincte et plus risquée : jamais de ventilation sous le plancher, envisagez une synthèse ou un caviardage avant transmission aux responsables, et dites clairement aux répondants qu'un détail précis peut les identifier.

2. Les questions démographiques dont vous n'aviez pas besoin

Chaque champ démographique est un quasi-identifiant, et chacun multiplie le nombre de cellules. Le test honnête consiste à se demander si vous agirez réellement sur la base de la ventilation. Si personne ne changera quoi que ce soit à partir du découpage par tranche d'âge, la question sur l'âge est un pur risque de réidentification sans rendement analytique. Retirer deux questions démographiques fait généralement plus pour l'anonymat réel que n'importe quel réglage de la plateforme.

3. Les métadonnées que personne ne se rappelle collecter

L'enquête peut être anonyme alors que le canal de diffusion ne l'est pas. Liens d'invitation personnalisés, jetons à usage unique liés à une liste de courriels, adresses IP, empreintes d'appareil, horodatages d'envoi et durées de remplissage se situent tous hors du questionnaire et peuvent tous relier une réponse à une personne. Dans une petite équipe aux horaires différents, un horodatage suffit à lui seul. Demandez explicitement à votre plateforme ce qu'elle stocke à côté d'un envoi, et obtenez la réponse par écrit avant de promettre l'anonymat à qui que ce soit.

4. Le problème des petites populations

Certains groupes ne peuvent tout simplement pas être interrogés anonymement, et prétendre le contraire est pire que de l'admettre. Une équipe de direction de quatre personnes, les deux titulaires d'une fonction spécialisée, l'unique employé d'un canton : aucun seuil, aucune plateforme et aucune promesse ne rend leurs réponses non attribuables. La bonne attitude est de le dire, de les fondre dans une unité de restitution plus large, ou de mener cette conversation de vive voix.

Les responsables peuvent-ils voir les réponses individuelles ?

Dans la plupart des plateformes, la réponse technique est que quelqu'un le peut — et ce quelqu'un dépend généralement de la même direction que l'enquête est censée évaluer. L'accès aux réponses brutes existe typiquement pour l'administration du compte, pour la personne qui exporte les données et pour le personnel du prestataire. « Les responsables ne voient pas les réponses individuelles » est donc une affirmation sur la configuration et la politique interne, pas sur la capacité technique — sauf si la plateforme est construite de telle sorte qu'aucun enregistrement individuel lisible n'existe.

Les collaborateurs le pressentent, ce qui explique l'effondrement de la participation dès que des résultats paraissent une fois trop précis. Si vous voulez que l'enquête soit crue, promettez avec exactitude : nommez qui administre l'outil, qui peut exporter les données brutes, indiquez le plancher de restitution sous forme de chiffre et dites ce qu'il advient des champs libres. Une description précise et légèrement peu flatteuse de votre dispositif inspire plus confiance qu'un « c'est totalement anonyme » qu'un collaborateur sceptique démonte en réunion.

Ce que le droit suisse exige d'un employeur qui interroge son personnel

L'art. 328b CO limite ce que vous pouvez traiter

L'art. 328b CO n'autorise l'employeur à traiter des données concernant un travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail. Le PFPDT indique expressément qu'il ne peut être dérogé à cette disposition au détriment du travailleur même avec son consentement. Cette seule phrase règle le raccourci le plus fréquent en matière de conception d'enquête : aucune case de consentement ne rattrape un questionnaire trop large.

Le consentement d'un collaborateur est faible par nature

Les explications du PFPDT sur le traitement de données par l'employeur relèvent que les travailleurs sont très rarement en mesure de donner, refuser ou révoquer librement leur consentement, compte tenu du rapport de subordination. En pratique, considérez le consentement des collaborateurs comme une formalité d'accompagnement et non comme votre motif justificatif, et appuyez-vous sur la nécessité pour la relation de travail et sur la proportionnalité de l'art. 6 nLPD — autrement dit : ne demandez que ce sur quoi vous agirez.

Les questions de bien-être peuvent être des données de santé

Ce point est régulièrement manqué. Les questions sur le stress, l'épuisement, le risque de burn-out, le sommeil, la santé psychique ou les maladies liées à la charge produisent des données sur la santé, donc des données sensibles au sens de l'art. 5 let. c nLPD. Le niveau d'exigence monte : consentement exprès lorsque le consentement est la base (art. 6 al. 7 let. a) et analyse d'impact selon l'art. 22 lorsque de telles données sont traitées à grande échelle. Une enquête bien-être auprès de 2000 personnes s'y trouve de plein droit. L'anonymisation véritable est la sortie la plus propre, puisque des données anonymes ne sont pas des données personnelles — et c'est exactement pourquoi la discipline des seuils décrite ici vaut l'effort. Notre checklist de conformité nLPD pour formulaires et sondages recense les devoirs voisins.

Représentation des travailleurs et participation

Dans les entreprises comptant au moins 50 travailleurs, ceux-ci peuvent demander la constitution d'une représentation des travailleurs au sens de la loi sur la participation ; là où elle existe, elle dispose de droits à l'information et à la consultation sur les questions touchant le personnel — programmes d'enquête et dimension de surveillance compris. L'associer tôt n'est pas seulement prudent juridiquement : c'est le signal de confiance le plus efficace disponible, car elle peut vérifier votre plancher de restitution indépendamment des RH.

Peut-on mener une enquête salariale interne en protégeant les identités ?

C'est le cas le plus difficile de la catégorie, parce que le salaire combiné à la fonction et à un attribut démographique est presque unique dans la plupart des organisations, et parce qu'il s'agit précisément des données dont les collaborateurs redoutent le plus la circulation interne. Trois pratiques le rendent praticable.

1. Collecter des tranches, pas des montants. Des fourchettes salariales de 10 000 à 20 000 francs de largeur détruisent bien moins de valeur analytique qu'on ne le craint et retirent la variable la plus identifiante.
2. Ne restituer qu'à des niveaux d'agrégation où la foule est réelle. Une analyse d'égalité salariale par famille de fonctions à l'échelle de l'entreprise fonctionne ; la même analyse pour une fonction de cinq personnes non — elle doit être supprimée, pas assortie d'une réserve.
3. Séparer la collecte de l'analyse. Lorsque la sensibilité est élevée, un analyste externe ou une plateforme dans laquelle l'employeur ne peut pas lire les enregistrements individuels retire entièrement la question de l'accès interne — la question que les collaborateurs posent réellement.

Ce que la plateforme doit garantir — et ce qu'elle ne peut pas

C'est ici qu'un fournisseur est censé dire « notre chiffrement rend votre enquête anonyme », et ce serait faux. Le chiffrement de bout en bout protège les envois contre l'exploitant de la plateforme, contre une compromission de l'infrastructure et contre les intermédiaires. Il ne protège pas un collaborateur de son propre employeur, puisque celui-ci détient la clé et déchiffre les réponses — c'est toute la raison d'être du produit. Si votre enquête collecte le service, la tranche d'ancienneté et un champ libre, le chiffrement ne change rien à la capacité des RH de deviner qui a écrit quoi.

L'anonymat d'une enquête interne naît donc de choix de conception, et le rôle de la plateforme est de les rendre possibles et applicables :

• Aucun identifiant du répondant collecté ni déductible — pas d'obligation de connexion, pas de lien personnalisé rattachant une réponse à une personne, pas de collecte d'adresse « juste pour le tirage au sort ».
• Métadonnées minimisées et documentées — vous devez pouvoir dire exactement ce qui est stocké à côté de chaque réponse, et les adresses IP ne devraient pas en faire partie.
• Des seuils de restitution que vous contrôlez, appliqués à chaque ventilation et non au total de l'enquête, avec la suppression comme réglage par défaut plutôt qu'une option qu'il faut penser à activer.
• Un champ libre traité délibérément — séparable des résultats structurés, avec une voie de synthèse ou de caviardage avant diffusion.
• Aucun accès du prestataire au contenu, pour que « qui d'autre pourrait lire ceci » ait une réponse courte et vérifiable. C'est ce que le chiffrement apporte réellement : il retire le fournisseur de l'équation de confiance, pas l'employeur.

Mener une enquête qui résiste à l'examen

En résumé : combien de réponses pour que l'anonymat tienne ?

Cinq par chiffre publié, dix avant toute attribution à un responsable identifié, et le plancher appliqué à chaque cellule plutôt qu'à l'enquête dans son ensemble. Voilà la réponse de terrain — une convention empruntée à la pratique statistique et non une règle d'un texte suisse, ce qui signifie qu'elle ne vous protège que dans la mesure où vous l'appliquez effectivement à chaque ventilation publiée.

La réponse plus profonde, c'est que le seuil est la dernière défense et non la première. L'anonymat se gagne plus tôt, dans la conception : combien de questions démographiques vous posez, si l'invitation est personnalisée, quelles métadonnées sont conservées, comment le champ libre est traité. Trois questions démographiques de moins et l'arithmétique cesse de vous combattre. Et soyez honnête dans ce que vous dites aux collaborateurs : une enquête à laquelle on croit vaut mieux qu'une enquête techniquement défendable — et pour être cru deux fois, il faut avoir été exact la première.