Formulaires de sondage collaborateurs et de feedback interne

Tout sondage auprès du personnel repose sur une promesse que celles et ceux qui y répondent n'ont aucun moyen de vérifier. L'invitation annonce des résultats anonymes. Le collaborateur, lui, sait que les RH ont choisi la plateforme, que l'informatique administre le compte et qu'il existe quelque part une base de données contenant ses réponses. Que quelqu'un aille ou non y regarder n'est pas la question : la garantie est une politique interne, et les politiques internes sont écrites par l'organisation même que le sondage invite à critiquer.

Schweizerform change la matière dont cette promesse est faite. Chaque réponse est chiffrée dans le navigateur du collaborateur avant de quitter l'appareil, et seule une personne détenant la clé du coffre peut la déchiffrer. Nous sommes une société suisse, les envois chiffrés sont conservés en Suisse chez Infomaniak, et nous ne pouvons lire aucune réponse — ni pour le support, ni pour les statistiques, ni sur injonction, parce que nous n'avons pas la clé. Votre propre service informatique ne le peut pas davantage : il n'y a rien de lisible sur le serveur. Les sondages existent en allemand, français, italien et anglais, ce qui, pour un employeur suisse implanté dans plusieurs régions linguistiques, n'est pas un détail.

Pourquoi le sondage interne est le problème d'anonymat le plus difficile de l'entreprise

Dans presque tous les autres formulaires que nous traitons, la personne à protéger est extérieure à l'organisation, et l'organisation est de son côté. Le sondage interne inverse cette configuration. La personne dont le comportement est mesuré est à l'intérieur — souvent le supérieur direct de celui qui répond, parfois la direction du domaine qui a commandé l'enquête, à l'occasion la personne qui administre l'outil. Le modèle de menace est interne, et tous ceux qui répondent le savent.

Le scepticisme est rationnel, pas paranoïaque

Les salariés suisses calculent le risque avec précision. L'art. 336a CO plafonne l'indemnité pour licenciement abusif à six mois de salaire, les montants alloués en pratique restent nettement en deçà — et le licenciement demeure valable. Il n'y a pas de réintégration. Celui qui craint qu'une réponse franche puisse être remontée jusqu'à lui ne met pas en balance un procès et une mauvaise évaluation : il met en balance un emploi et une question de sondage. Ce calcul explique l'effondrement du taux de réponse précisément dans les équipes qu'il faudrait entendre, et pourquoi les parades habituelles — une phrase dans la politique, l'assurance du prestataire, un briefing RH — n'y changent rien.

Le sondage est aussi, discrètement, une enquête de santé

Le Job-Stress-Index — mené depuis 2014 par Promotion Santé Suisse avec l'Université de Berne et la ZHAW — situait dans sa vague 2022 28,2 % des personnes actives en Suisse dans la zone critique, avec plus de contraintes que de ressources, et relevait 30,3 % d'épuisement émotionnel, au-dessus de la barre des 30 % pour la première fois de la série ; il chiffrait la perte de productivité associée à quelque 6,5 milliards de francs par an. Ces chiffres expliquent l'existence même des enquêtes d'engagement. Ils expliquent aussi pourquoi le jeu de données produit est plus sensible que la plupart des équipes RH ne le supposent : une échelle demandant à quel point on se sent épuisé en fin de journée est une question de santé.

Ce que le droit suisse exige réellement d'un employeur qui sonde son personnel

L'art. 328b CO est le plafond, et le consentement ne le relève pas

L'employeur ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur ses aptitudes à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail. C'est plus étroit que la proportionnalité générale de l'art. 6 nLPD, et c'est cette disposition qui décide si une question peut être posée. Le point décisif, et celui que la plupart des questionnaires manquent : l'art. 362 CO rend l'art. 328b impératif, on ne peut y déroger au détriment du travailleur — et le Préposé fédéral considère que cela vaut même avec son consentement. On ne fait pas consentir quelqu'un à des questions que l'on n'a pas le droit de poser.

Le consentement d'un salarié est faible par nature

Le PFPDT comme le Comité européen de la protection des données rappellent régulièrement qu'un consentement dans la relation de travail n'est que rarement libre, en raison du rapport de subordination. Cela ne rend pas les sondages illicites ; cela fait du consentement le mauvais élément porteur. La participation doit être réellement — et visiblement — volontaire : pas de listes de relance, pas de taux de participation publiés par équipe d'une manière qui révèle qui n'a pas répondu, pas de rappel adressé par un cadre à une personne précise. La légitimité repose sur la nécessité, la transparence et la minimisation, pas sur une case à cocher.

Art. 26 OLT 3 : ne construisez pas un système de surveillance par inadvertance

L'art. 26 al. 1 de l'ordonnance 3 relative à la loi sur le travail interdit les systèmes de surveillance ou de contrôle destinés à surveiller le comportement des travailleurs à leur poste, et on ne peut y déroger par contrat. Lorsque de tels systèmes sont nécessaires pour d'autres raisons, l'al. 2 impose qu'ils soient conçus de manière à ne pas porter atteinte à la santé ni à la liberté de mouvement ; le commentaire du SECO attend un but autre que la surveillance du comportement, un système nécessaire et proportionné à ce but, ainsi que l'information et la consultation des personnes concernées avant la mise en service. Une enquête de pouls hebdomadaire avec suivi individuel, un outil 360° nominatif qui note en continu, un tableau de bord managérial qui descend jusqu'à un seul répondant : voilà exactement les conceptions qui entrent dans cet article. Un instrument anonyme, non.

Information et consultation : art. 48 LTr et loi sur la participation

L'art. 48 de la loi sur le travail donne aux travailleurs ou à leur représentation un droit d'être informés et consultés sur les questions de protection de la santé, l'organisation du temps de travail et l'aménagement des horaires, ainsi que sur les mesures liées au travail de nuit. Un sondage portant sur la charge, le stress et les modèles d'horaires tombe en plein dans la première catégorie : la représentation est partie prenante de la conception, et pas seulement destinataire des résultats.

La loi sur la participation (RS 822.14) pose le cadre. Dans les entreprises occupant au moins 50 travailleurs, ceux-ci peuvent désigner une ou plusieurs représentations ; un vote à bulletin secret sur l'opportunité d'en avoir une est déclenché à la demande d'un cinquième du personnel — de 100 personnes dans les entreprises de plus de 500. L'art. 9 oblige l'employeur à informer la représentation au moins une fois par an sur les effets de la marche des affaires sur l'emploi et le personnel ; l'art. 10 confère des droits de participation particuliers en matière de sécurité au travail et de protection des travailleurs, lors d'un transfert d'entreprise (art. 333/333a CO), de licenciements collectifs (art. 335d–335g CO) et pour l'affiliation à une institution de prévoyance. En l'absence de représentation, ces droits appartiennent directement aux travailleurs. L'art. 14 astreint de son côté les représentants à la discrétion sur les affaires de l'entreprise.

Quelles données de sondage sont sensibles, qui doit les lire, ce qui dicte la conservation

Ce que change une collecte à connaissance nulle

Concrètement : le questionnaire est chiffré sur l'appareil du collaborateur avec une clé que nous ne recevons jamais. Ce qui arrive sur nos serveurs est du chiffré. Lorsque l'équipe d'analyse ouvre une réponse, le déchiffrement a lieu dans son navigateur avec la clé du coffre. Il n'existe aucune copie lisible sur le serveur, dans un outil de support, dans une sauvegarde, ni dans quoi que ce soit qu'un prestataire pourrait être contraint de remettre.

• La promesse d'anonymat cesse d'être une politique pour devenir une propriété. « Personne chez le prestataire ne peut lire ceci » se déduit de l'architecture au lieu d'être promis dans une notice.
• Votre propre informatique sort du périmètre. L'objection interne la plus fréquente — la personne qui administre notre compte de sondage est assise à deux bureaux de ma cheffe — disparaît, faute de données lisibles à administrer.
• La sécurité adaptée au risque (art. 8 nLPD) provient de l'architecture, et pas seulement de votre politique d'accès.
• Le devoir d'information de l'art. 19 nLPD est rempli une fois, sur le formulaire, dans la langue du collaborateur, y compris sur ce qui sera restitué et à qui.
• Rien n'est collecté qu'il faudrait justifier plus tard. Aucun fournisseur d'analyse ni balise ne tourne sur la page publique du formulaire ; aucune adresse IP, aucun agent utilisateur, aucun référent, aucune géolocalisation ni identifiant de cookie n'est attaché à une réponse.
• La contrainte n'y change rien. Une décision judiciaire, une demande de production étrangère ou un administrateur déterminé aboutissent tous au même chiffré.

Comment donner aux cadres des résultats d'équipe sans les réponses individuelles ?

C'est la question dont dépend la crédibilité d'un sondage interne, et elle a deux moitiés : une moitié arithmétique et une moitié d'habilitations. La plupart des organisations résolvent la seconde et ignorent la première.

La moitié arithmétique : la taille du groupe, et pourquoi le seuil vise les cellules

La convention consistant à ne pas restituer un résultat en dessous de cinq réponses — parfois dix — est une pratique de confidentialité statistique, pas un seuil légal suisse : aucun article de la nLPD ne cite un nombre. L'essentiel est que le seuil s'applique à la cellule restituée, non au sondage. Une enquête à 400 réponses n'est pas anonyme si le rapport détaille « les femmes du service financier » alors qu'elles sont trois. Chaque filtre ajouté multiplie les cellules et rétrécit chacune d'elles. L'arithmétique, exemples à l'appui, se trouve dans combien de réponses pour qu'un sondage soit vraiment anonyme.

La moitié habilitations : séparez les lecteurs, pas le chiffrement

• Placez le sondage dans son propre espace de travail. Seuls ses membres peuvent déchiffrer les envois. Si la représentation du personnel ou un analyste externe doit être le seul lecteur, cela découle de la composition de l'espace — et non d'un drapeau d'autorisation posé sur une base que n'importe quel administrateur atteint.
• Utilisez le rôle « viewer » pour ceux qui doivent voir sans toucher. Les rôles vont de owner à admin, member et viewer, ce dernier en lecture seule : un commanditaire ou un délégué du personnel peut suivre la matière brute sans pouvoir modifier ni supprimer.
• Les cadres reçoivent un rapport, pas une boîte de réception. La synthèse d'équipe est écrite par un humain après déchiffrement et au-dessus du seuil. Il n'existe aucun moyen de remettre à un cadre une vue filtrée en direct des réponses, et cette limite fait un travail utile.
• Écrivez la règle de restitution avant l'ouverture — taille minimale de cellule, ventilations existantes, destinataires de chaque rapport, sort des équipes sous le seuil. Joignez-la à l'invitation : une règle annoncée après coup se lit comme une règle inventée après coup.
• Chaque lecture, export et suppression est journalisé. Le journal d'audit est en ajout seul et couvre connexions, exports et suppressions : « qui a ouvert les réponses » devient une question qui a une réponse.

C'est dans le champ libre que meurt l'anonymat

Ce ne sont pas les questions démographiques qui identifient les gens. C'est la zone de commentaire, et de loin. Les collaborateurs écrivent « depuis mon retour de congé parental en mars », « en tant que seule personne à temps partiel de l'équipe », « depuis l'arrivée de notre nouveau chef de service » — autant d'identifiants écrits volontairement par la personne même que le sondage protège. Aucune plateforme ne peut l'empêcher, la nôtre comprise ; le chiffrement empêche le prestataire et l'administrateur de lire, pas l'analyste qui est censé le faire.

1. Dites-le sur le formulaire, juste au-dessus du champ. Une phrase : « Décrivez la situation sans vous nommer, sans nommer votre équipe ni des personnes — nous ne pouvons pas rendre anonyme après coup un commentaire identifiant. » Cette ligne fait plus que tout contrôle technique.
2. Ne diffusez jamais de verbatim sous le seuil de restitution. Paraphrasez et regroupez par thème. Un commentaire qui ne peut être paraphrasé sans perdre son sens ne peut en général pas être partagé sans identifier son auteur.
3. Décidez à l'avance du sort d'un commentaire révélant un problème grave — harcèlement, risque de sécurité, crise de santé. Vous en recevrez un. L'anonymat implique que vous ne pouvez pas recontacter l'auteur : c'est précisément pourquoi un canal de signalement identifié doit exister à côté du sondage et être nommé dans l'invitation.
4. Renoncez à l'analyse automatique de sentiment sur le champ libre. Elle ne peut de toute façon pas fonctionner ici — le texte est chiffré et n'atteint aucun modèle — mais le point de fond est qu'elle transforme un commentaire en score attaché à un groupe, et les groupes sont petits.

Une réponse par personne sans savoir laquelle — et le piège dont personne ne parle

Tout responsable de sondage veut deux choses à la fois : une réponse par salarié, et aucune idée duquel. La réponse honnête est qu'on s'en approche, et que chaque mécanisme coûte une part mesurable d'anonymat. Du moins cher au plus cher : marqueur d'appareil, puis identifiant réseau haché, puis jeton à usage unique, puis adresse e-mail, puis authentification — ce que chaque niveau apporte réellement est détaillé dans spam, bots et doublons.

Le schéma qui fonctionne pour un effectif s'appelle « anonyme mais vérifié » : une instance qui n'analyse pas — la représentation du personnel, un tiers de confiance, l'administration des salaires — émet des liens ou codes à usage unique contre la liste du personnel et ne voit jamais les réponses ; l'équipe d'analyse voit les réponses et jamais la liste. Deux rôles, deux savoirs, personne qui détient les deux. C'est plus de travail qu'un publipostage depuis le SIRH, et c'est la seule version d'« une voix par personne » qu'un collaborateur ait une raison de croire.

Ce que nous pouvons compter sans rien lire

Le chiffrement nous retire les réponses, il ne vous retire pas le pilotage. Sur le formulaire chiffré, nous comptons toujours combien de personnes l'ont ouvert, combien ont répondu, quelle a été la durée médiane, et — par question — combien de celles qui ont vu une question y ont répondu. Ce dernier chiffre est le plus utile d'un pilote : une question à faible taux de réponse est une question que les gens refusent, et le refus dit quelque chose de la question, pas de la personne.

La règle de conception est que les compteurs sont plats et jamais croisés. Jour, appareil, canal et question sont des décomptes séparés qu'on ne peut pas recouper vers un individu, car ce croisement est exactement la jointure qui réidentifie sur de faibles effectifs. Les compteurs sont aussi enregistrés à la réception et jamais décrémentés, et il n'existe aucune reconstitution rétroactive : un produit capable de recréer après coup un historique parfait a conservé, par personne, de quoi le recréer. Le détail complet est dans des statistiques de formulaire sans traçage.

Premiers pas pour un sondage collaborateurs

Mener un sondage de bout en bout

Objections fréquentes — et réponses réalistes

Nous avons déjà une plateforme d'enquête, avec un mode anonyme.

Alors vérifiez deux choses plutôt que de croire l'étiquette. D'abord, si le traitement anonyme doit être activé par canal de collecte : chez les grandes plateformes, c'est le cas, il est désactivé par défaut, et une enquête diffusée à la fois par lien web et par invitation e-mail peut devoir être réglée deux fois. Ensuite, si le réglage retire l'identifiant du seul export de résultats, alors que les adresses réseau restent dans les journaux techniques pendant des mois. Rien de tout cela ne rend un éditeur malhonnête. Cela fait d'« anonyme » un réglage à vérifier, ce qui n'est pas une garantie.

Notre prestataire s'engage à ne jamais restituer sous cinq réponses.

C'est un engagement sur le rapport, pas sur les données. Les réponses sous-jacentes existent toujours en clair sur ses systèmes, restent accessibles à quiconque dispose d'un accès de production, et répondent toujours à une injonction. Un seuil de restitution protège de la réidentification incidente par un cadre, le scénario le plus probable — cela vaut la peine. Il ne protège pas du scénario que les collaborateurs ont en tête quand ils hésitent devant la zone de commentaire.

Quelqu'un signalera un harcèlement dans un champ libre et nous ne pourrons pas agir.

Cela arrivera, et c'est le meilleur argument pour deux canaux au lieu d'un. Le sondage mesure ; un canal de signalement nommé et confidentiel traite les cas. Dites-le dans l'invitation, placez le lien à côté de la zone de commentaire, et acceptez qu'un sondage réellement anonyme ne puisse pas être un outil de gestion de cas. Nous décrivons la frontière dans le cas d'usage RH et lanceurs d'alerte et dans le comparatif des plateformes de signalement, y compris là où une suite dédiée nous surpasse franchement.

Il nous faut des croisements ancienneté × service × sexe.

Vous le pouvez, après déchiffrement, dans votre propre tableur — et vous devriez réfléchir sérieusement à l'opportunité de le faire. Côté serveur, nous ne le pouvons pas : pas de moteur de requête sur du chiffré, pas de tableau de bord filtré en direct, pas de pondération, pas de gestion de panel, pas de liaison de la même personne d'une vague à l'autre. Pour une étude avec quotas et pondération, une plateforme spécialisée est la recommandation honnête. Pour l'enquête annuelle d'une organisation de 200 personnes, le croisement demandé est généralement celui qui aurait identifié quelqu'un.

Notre représentation du personnel veut détenir les résultats, pas les RH.

C'est la configuration la plus propre que cette architecture permette, et elle mérite d'être conçue délibérément : la représentation possède l'espace de travail et la clé du coffre, les RH reçoivent le rapport, et la garantie technique épouse l'arrangement politique au lieu de le contredire. L'art. 14 de la loi sur la participation astreint déjà les représentants à la discrétion sur les affaires de l'entreprise ; le chiffrement rend vrai le sens inverse.

Nos collaborateurs ne nous croiront pas pour autant.

Certains, non — et l'attitude honnête consiste à énoncer le vérifiable plutôt qu'à rassurer. Ce qui peut figurer dans l'invitation, une phrase chacun : les réponses sont chiffrées dans votre navigateur et le prestataire ne peut pas les lire ; la page du sondage ne charge aucun traceur et n'enregistre aucune adresse IP ; les personnes capables de déchiffrer sont nommées, les voici ; les résultats sous N réponses ne seront pas restitués ; les données brutes seront supprimées à cette date. Chacune de ces affirmations est vérifiable par un collaborateur sceptique avec l'inspecteur réseau de son navigateur — c'est davantage que ce qu'a jamais offert un paragraphe d'assurances.

Là où Schweizerform n'est pas la bonne réponse

• Aucune analyse côté serveur des réponses. Pas de croisements, pas de tableaux de bord filtrés en direct, pas de pondération, quotas ou panels, pas d'analyse de sentiment, pas de base de comparaison sectorielle. Tout se passe après déchiffrement, devant une personne.
• Aucune liaison longitudinale. Sans identifiant, nous ne pouvons pas relier la même personne d'une vague à l'autre — et cet identifiant est justement ce que vous cherchez à ne pas avoir. Les tendances fonctionnent en agrégé.
• Ce n'est pas un outil de gestion de cas. Pas de boîte anonyme où l'auteur peut revenir, pas de suivi de délais, pas de flux d'enquête. Si vous en avez besoin, achetez une plateforme de signalement et gardez le sondage pour la mesure.
• Aucune règle de conservation automatique par formulaire. La suppression est un acte, unitaire ou en lot. Mettez-la à l'agenda.
• La perte de la clé est irréversible. Deux dépositaires nommés et une copie hors ligne, convenus avant l'ouverture, sont une condition préalable et non une note de bas de page.
• Pas d'authentification unique (SSO), que certaines DSI exigent avant toute validation. Demandez-nous où nous en sommes plutôt que de le supposer.

L'essentiel sur les formulaires de sondage collaborateurs

Un sondage interne collecte des données de santé au sens de l'art. 5 let. c nLPD, se heurte au plafond de l'art. 328b CO que le consentement ne relève pas, déclenche des devoirs de consultation au titre de l'art. 48 LTr et de la loi sur la participation, et peut glisser vers l'interdiction de surveillance de l'art. 26 OLT 3 s'il devient individuel et assez fréquent. Tout cela se gère. Ce qu'aucune politique ne gère, c'est ce qui empêche réellement les réponses franches : savoir que quelqu'un, à l'intérieur, pourrait regarder.

Le chiffrement de bout en bout est la seule réponse à cela qui ne dépende pas d'être cru. Les réponses sont chiffrées dans le navigateur, les envois chiffrés sont conservés en Suisse, l'ensemble des lecteurs est un espace de travail que vous contrôlez, et les statistiques qui subsistent sont des décomptes et non du contenu. Ce à quoi vous renoncez — croisements, pondération, suivi longitudinal, tableaux de bord en direct — nous préférons que vous le sachiez avant de choisir plutôt qu'après un premier sondage auquel on aura répondu prudemment.