Outils de sondage conformes : le comparatif

Le constat qui structure cette page : dans toutes les plateformes de sondage courantes que nous avons vérifiées, l’anonymat est un réglage que quelqu’un doit activer, et il est désactivé par défaut. SurveyMonkey enregistre l’adresse IP du répondant tant que vous ne la désactivez pas dans chaque canal de collecte. Qualtrics enregistre l’IP et la localisation tant que l’option « Anonymize Response » n’est pas activée. Le réglage « réponses anonymisées » de LimeSurvey vaut Non par défaut, ce qui laisse les réponses reliables à la table des participants. Rien de tout cela n’est scandaleux — c’est un défaut raisonnable pour bien des protocoles de recherche. Cela signifie en revanche que la phrase « notre sondage est anonyme » est, dans presque tous les outils du marché, une affirmation sur une case à cocher et non sur le logiciel.

Un sondage n’est pas un formulaire avec plus de questions. La différence, c’est que dans un sondage l’anonymat est souvent le produit : c’est lui qui fait répondre honnêtement sur son supérieur, sa santé, son salaire ou le harcèlement subi. Ce comparatif s’organise donc autour des garanties d’anonymat, des seuils minimaux de réponses, des tris croisés, de la gestion des panels et des quotas — et de la question que personne ne pose à voix haute dans cette catégorie : où se déroule l’analyse par rapport à la frontière de chiffrement ? Nous disons aussi franchement ce qu’une plateforme à connaissance nulle abandonne, car pour de la vraie recherche par sondage la réponse est « beaucoup ».

Qu’est-ce qui rend un outil de sondage « conforme » ?

L’expression désigne au moins six choses différentes, et les fournisseurs vous laissent volontiers supposer qu’ils les visent toutes. Par difficulté décroissante :

1. Le fournisseur ne peut pas lire les réponses. Une propriété d’architecture. Obtenue par le chiffrement de bout en bout, ou en exploitant le logiciel soi-même.
2. Personne dans votre organisation ne peut relier une réponse à une personne. Une propriété de conception du sondage : pas de jeton, pas de capture d’IP, pas de suivi au niveau des invitations, et aucune combinaison démographique assez fine pour isoler quelqu’un.
3. Les réponses restent dans une juridiction que vous avez choisie. Une propriété d’hébergement. Vérifiable dans une liste de sous-traitants, pas sur un drapeau affiché en page d’accueil.
4. L’outil ne piste pas les répondants avec des cookies ou des scripts tiers. Une propriété de la page du sondage, vérifiable en trente secondes avec l’inspecteur réseau du navigateur.
5. Il existe un contrat de sous-traitance, une liste de sous-traitants et une règle de conservation documentée. Une propriété contractuelle — nécessaire, et la plus facile des six à obtenir.
6. Le fournisseur détient une certification. Une propriété d’audit. Utile, et souvent confondue avec le premier point de cette liste, qu’elle n’implique pas.

Un outil peut satisfaire parfaitement les points trois à six et échouer sur un et deux : c’est l’état normal de ce marché. Notre liste de contrôle pour la partie paperasse est la checklist nLPD pour formulaires et sondages.

Le constat gênant : l’anonymat est un défaut, et le défaut est « désactivé »

SurveyMonkey enregistre les adresses IP par canal de collecte tant que vous ne coupez pas le suivi, et le réglage vit sur chaque canal — un sondage diffusé par lien web et par invitation courriel demande donc de basculer l’interrupteur deux fois. Le traitement complet des réponses anonymes, y compris la suppression des adresses IP, se trouve sur les offres payantes ; en Enterprise, un administrateur principal peut fixer un défaut à l’échelle de l’organisation. Les adresses IP sont par ailleurs consignées dans des journaux techniques et supprimées après treize mois, ce qui est une autre question que ce qui apparaît dans votre export de résultats.

Qualtrics enregistre l’adresse IP et les données de localisation dérivées tant que l’option « Anonymize Response » n’est pas activée pour le sondage. Une diffusion par « lien anonyme » ne rend pas à elle seule les réponses anonymes : elle signifie qu’aucun identifiant de panel n’est attaché, alors que l’IP est toujours captée par défaut. Cette distinction a produit une petite bibliothèque de fiches de comités d’éthique universitaires expliquant aux chercheurs comment la désactiver, ce qui en dit long sur la fréquence de l’oubli.

LimeSurvey est le plus explicite des trois et mérite une lecture attentive, car il montre à quoi ressemble une vraie garantie d’anonymat dans une base de données classique. « Réponses anonymisées » vaut Non par défaut. Réglé sur Oui, il n’existe aucune relation de clé étrangère entre la table des participants et les réponses, et la date d’envoi comme la date d’achèvement du jeton sont toutes deux fixées à 1980-01-01 00:00 — sinon deux horodatages séparés de quelques secondes relieraient de nouveau l’invitation à la réponse. Ce détail est la marque d’une conception qui a pris le problème au sérieux, et l’illustration la plus claire de la facilité avec laquelle l’anonymat fuit par des métadonnées que personne ne considérait comme des données.

Les sept plateformes, une par une

SurveyMonkey et Qualtrics — les suites de recherche

SurveyMonkey est le leader en volume et la réponse par défaut pour un sondage marketing ou client. Il tourne sur AWS avec les États-Unis par défaut, une région UE à Dublin et une région canadienne ; le centre de données européen est limité à SurveyMonkey Enterprise et GetFeedback Direct, et les comptes ouverts avant 2019 ne peuvent pas déplacer questions et réponses. Notre vue détaillée est dans la comparaison avec SurveyMonkey.

Qualtrics est la plateforme de recherche pour grandes organisations : la logique la plus profonde, la meilleure gestion de panels et de quotas, et des fonctions d’analyse que rien d’autre ici n’approche. C’est une plateforme au siège américain avec des centres de données régionaux disponibles, la région étant fixée contractuellement — la réponse à « où sont nos données » figure donc dans votre bon de commande et non dans un article d’aide, et il faut se la faire confirmer par écrit. Si votre besoin est une étude longitudinale avec échantillons pondérés et quotas complexes, Qualtrics est l’outil, et aucune plateforme de collecte chiffrée ne le remplace.

LimeSurvey — l’installé auto-hébergé

LimeSurvey est le standard des universités, hôpitaux et administrations cantonales suisses, pour de bonnes raisons : une profondeur de logique de questions inégalée, aucun coût par réponse et une installation que vous contrôlez de bout en bout. Deux points à énoncer avec exactitude. D’abord, les réponses arrivent en clair dans votre base MySQL — « auto-hébergé » répond à la question de la juridiction et non à celle de la confidentialité, et quiconque a accès à la base lit tout. Ensuite, LimeSurvey Cloud propose l’Australie, le Canada, la Finlande, l’Allemagne, Singapour, le Royaume-Uni et les États-Unis — la Suisse n’y est pas — et le fournisseur est LimeSurvey GmbH à Hambourg. Une résidence suisse avec LimeSurvey signifie l’installer soi-même sur une infrastructure suisse.

onlineumfragen.com et Findmind — les plateformes suisses

onlineumfragen.com est la suite de sondage suisse la plus sérieuse. onlineumfragen.com GmbH a son siège à Sarnen (OW), ses conditions indiquent que toutes les données — données personnelles, données de sondage et données de compte — sont stockées dans ses propres centres de données sécurisés à Zurich, seuls des serveurs de supervision se trouvant à l’étranger, et elle détient une certification ISO/IEC 27001:2022 que nous n’avons pas. Si votre grille d’achat dit littéralement « plateforme de sondage suisse certifiée ISO 27001 », la réponse honnête est onlineumfragen.com et non nous.

Findmind est l’option suisse gratuite. Le Navigateur educa, tenu par l’agence suisse pour la numérisation dans l’éducation, indique Bâle comme lieu de stockage, Fabian Keller comme partenaire contractuel sans sous-traitants, le droit suisse et le for à Saint-Gall ; le répertoire BF-Tools de l’Université de Zurich mentionne des fonctions gratuites complètes sans limite de participants et un abonnement premium unique de 49 CHF par sondage. Pour une évaluation de cours ou un sondage d’association, c’est difficile à battre, et payer un abonnement mensuel pour un chiffrement dont on n’a pas besoin serait de la sur-ingénierie.

Microsoft Forms — celui que vous possédez déjà

Microsoft Forms convient réellement à une prise de température interne, et il est déjà payé. Les deux faits qui décident s’il peut porter un sondage sensible : un tenant suisse (AELE) atterrit dans la macro-région européenne et non dans une macro-région suisse, et Forms ne porte aucun engagement spécifique de résidence des données alors même que la Suisse est une géographie Advanced Data Residency — une validation de tenant couvrant Exchange, SharePoint et Teams ne couvre donc pas Forms. Ajoutez la question de l’administrateur du tenant, généralement décisive pour un sondage collaborateurs. Détails dans Microsoft Forms est-il conforme au droit suisse et dans la comparaison avec Microsoft Forms.

Schweizerform — une collecte chiffrée, pas une suite de recherche

Schweizerform chiffre chaque réponse dans le navigateur du répondant ; le serveur stocke un chiffré qu’il ne peut pas ouvrir, et le déchiffrement a lieu dans votre navigateur avec la clé du coffre. Les envois chiffrés sont stockés en Suisse chez Infomaniak, la page du sondage ne charge aucun traceur tiers, et une seule définition publie en FR, DE, IT et EN. Nous sommes une couche de collecte chiffrée — pas une plateforme de recherche par sondage. Ce que cela signifie concrètement fait l’objet de la section ci-dessous, et nous préférons que vous la lisiez avant de nous choisir plutôt qu’après.

Les sept comparées

Les deux dernières colonnes tirent en sens contraire, et cette tension résume honnêtement toute la catégorie. La profondeur de recherche vient de la capacité de la plateforme à voir, relier et modéliser les données. Les garanties d’anonymat viennent de son incapacité à le faire. Aucun produit ne maximise les deux, et tout fournisseur qui l’affirme décrit une politique, pas une architecture.

Garanties d’anonymat : réglage, conception ou architecture ?

Trois degrés, et il vaut la peine de savoir lequel on achète. Un réglage — la plateforme peut identifier les répondants et on lui a demandé de s’abstenir ; réversible, auditable au mieux dans les journaux du fournisseur, et dépendant du fait que personne ne le réactive. Une conception — le sondage ne collecte aucun identifiant : pas de jeton, pas de lien d’invitation rattaché à une personne, pas de champ libre invitant à se nommer. Une architecture — la plateforme est structurellement incapable de lire les réponses, si bien que la question de l’anonymat se réduit à ce que le commanditaire a choisi de demander. La distinction entre anonymat et pseudonymat, que la plupart des textes de sondage brouillent, est posée dans formulaires anonymes ou pseudonymes.

Pour une enquête auprès du personnel, le degré compte plus que dans tout autre cas d’usage, parce que la personne contre laquelle on protège est à l’intérieur de l’organisation et contrôle souvent l’outil. Un sondage validé par la représentation du personnel, dans lequel l’administrateur RH peut techniquement réactiver le suivi des répondants, a un problème de gouvernance qu’aucune politique de confidentialité ne règle. C’est précisément la lacune que comble une plateforme chiffrée : non parce que nous serions plus dignes de confiance, mais parce qu’il n’y a aucun interrupteur au sujet duquel nous faire confiance.

Seuils de réponses et tris croisés — là où l’anonymat casse vraiment

L’anonymat échoue rarement au niveau de la plateforme. Il échoue dans le rapport, et il échoue par arithmétique. Des effectifs minimaux de cinq ou dix réponses sont une convention de contrôle de la divulgation statistique et non un seuil légal suisse ; ils existent parce qu’une équipe de neuf personnes ventilée par service, ancienneté et genre produit des cellules d’une personne. Chaque dimension de tri croisé supplémentaire multiplie les façons dont quelqu’un devient le seul membre de son groupe. Le texte libre est pire encore : les gens décrivent des incidents qu’eux seuls ont vécus, dans leur propre style — et aucune règle de taille de cellule n’attrape cela.

La capacité qui compte n’est donc pas « prend-elle en charge les réponses anonymes » mais « m’empêche-t-elle de publier un tri croisé qui identifie quelqu’un ». Les suites de recherche vous donnent les outils pour construire exactement ce rapport et, au mieux, un avertissement. Nous faisons l’inverse : chaque dimension est comptée indépendamment et jamais croisée — une vraie limite pour la recherche et le comportement correct pour un sondage en petite population. L’arithmétique, exemples à l’appui, est dans combien de réponses avant que l’anonymat tienne.

Ce qu’une plateforme à connaissance nulle abandonne

C’est la section que le cahier des charges de cette page exigeait, à juste titre. Si le serveur ne peut pas lire les réponses, il ne peut rien calculer qui dépende de leur contenu. Voici ce que cela coûte, sans détour :

Lisez les deux dernières lignes contre les quatre premières. Si votre sondage est une étude de marché sur la perception de marque, la moitié haute de ce tableau est votre métier et vous devriez acheter Qualtrics ou SurveyMonkey. Si votre sondage demande à des collaborateurs si leur supérieur exerce des représailles, à des patients leurs symptômes ou à des élèves s’ils sont harcelés, c’est la moitié basse qui est votre métier — et l’analyse perdue était surtout une analyse que vous n’auriez pas dû mener sur ces données.

Où se déroule l’analyse par rapport à la frontière de chiffrement

C’est la question qui sépare vraiment les produits, et presque personne ne la pose. Dans une plateforme classique, la frontière est au bord du réseau : les données sont chiffrées en transit et au repos, et tout ce qui est à l’intérieur — stockage, indexation, rapports, tableaux de bord, exports, outils de support — travaille sur du clair. Dans une plateforme chiffrée de bout en bout, la frontière est le navigateur du répondant : tout ce qui exige de lire le contenu doit donc se produire sur un appareil qui détient la clé. L’analyse ne disparaît pas ; elle se déplace vers vous.

Ce qui survit côté serveur, c’est tout ce qui relève du comptage et non de la lecture : vues, démarrages, complétions, point d’abandon, durée, répartition par appareil, langue choisie et nombre de réponses par question. Ce sont les métriques qui changent les décisions sur l’instrument de mesure, et aucune n’exige de savoir ce que quelqu’un a répondu. Ce qui est compté, et ce qui n’est délibérément jamais croisé, est décrit dans des statistiques de formulaire sans traceurs.

Le flux pratique est donc : lancer le sondage, suivre les métriques agrégées en direct, exporter à la clôture et analyser dans l’outil qu’utilisent déjà vos statisticiens. C’est un vrai recul face à un tableau de bord Qualtrics en direct, et un vrai progrès face à une plateforme qui peut être contrainte de produire des réponses lisibles. Lequel des deux est le progrès dépend entièrement du sondage.

Quel outil de sondage pour une PME suisse ?

Pour la plupart des PME suisses, la plupart du temps : une plateforme généraliste hébergée en Suisse pour les sondages ordinaires, et un outil chiffré pour les deux ou trois sondages où l’anonymat est porteur. Concrètement — onlineumfragen.com pour une suite suisse certifiée avec de vraies fonctions de recherche, Findmind si le sondage est petit et le budget nul, Microsoft Forms pour une prise de température interne dans un tenant déjà exploité, et Schweizerform pour l’enquête auprès du personnel, la collecte de signalements, le questionnaire patient et tout ce dont l’honnêteté dépend de l’impossibilité de remonter à la personne. Exploiter deux outils est un cadrage, pas un échec de consolidation.

Quel outil pour quel sondage

Choisissez Qualtrics ou SurveyMonkey quand…

…le sondage est de la recherche : échantillons représentatifs, quotas, pondération, vagues, suivi de marque, programmes d’expérience client. L’analyse est le livrable, les répondants sont des participants consentants et non des personnes exposées de l’intérieur, et la plateforme doit voir les données pour faire son travail. Faites confirmer la région d’hébergement par écrit et vérifiez les défauts d’anonymat par canal avant le lancement.

Choisissez LimeSurvey quand…

…vous avez une informatique institutionnelle, une logique de questions complexe et le goût de posséder la pile. Installez-le sur une infrastructure suisse si la résidence compte, réglez « réponses anonymisées » sur Oui délibérément plutôt que par hasard, et gardez en tête que vos administrateurs de bases lisent chaque réponse — ce qui va très bien quand ils relèvent des mêmes règles institutionnelles que les chercheurs, et pas du tout quand le sondage porte sur eux.

Choisissez onlineumfragen.com ou Findmind quand…

…vous voulez une plateforme suisse sans en exploiter une. onlineumfragen.com pour de la recherche professionnelle avec l’ISO/IEC 27001:2022 sur la liste d’exigences ; Findmind pour un sondage gratuit, court et peu sensible où un stockage à Bâle et un for suisse suffisent. Ce sont deux réponses suisses honnêtes, et pour une grande part du travail de sondage en Suisse, ce sont les bonnes.

Choisissez Schweizerform quand…

…la raison de l’anonymat est que la réponse honnête pourrait coûter quelque chose au répondant. Enquêtes de personnel dont le constat porte sur un cadre identifiable, questionnaires de santé, collecte de signalements, sondages auprès de patients, d’élèves ou de requérants d’asile, recherche sur des comportements stigmatisés. Vous renoncez à l’analyse côté serveur et vous obtenez une garantie qui survit à un changement de direction, à une injonction et à un administrateur curieux. La page sécurité en expose le mécanisme.

En résumé

Toutes les plateformes de ce comparatif peuvent être exploitées de manière conforme, et la plupart des organisations suisses y arriveront le plus vite avec une suite hébergée en Suisse plus une règle de conservation écrite. La question plus étroite — la promesse d’anonymat survit-elle au fait que quelqu’un change d’avis à son sujet — n’a que deux réponses ici : exploiter le logiciel soi-même et contrôler qui touche la base, ou utiliser une plateforme qui ne peut pas lire les réponses. Décidez lesquels de vos sondages exigent ce degré de promesse avant de standardiser un outil unique pour tous.