Questionnaire anonyme pour les salariés : garanties et RGPD

Publié par Romain Mougel15 août 2026

Fondateur d'Odana

Questionnaire anonyme pour les salariés : ce qui relève du RGPD, ce qui relève de la méthode, le seuil de restitution à fixer et une grille d'audit en 10 points.

Un questionnaire anonyme adressé aux salariés ne mérite son nom que si aucune réponse ne peut être rattachée à une personne. Ce rattachement doit rester impossible par recoupement comme à la restitution par service.

Les données collectées perdent leur caractère personnel dès que l'anonymat est obtenu¹. À défaut, l'enquête reste un traitement de données à caractère personnel, soumis au règlement général sur la protection des données (RGPD)².

À retenir

Ce qui est obligatoire : l'enquête reste un traitement de données personnelles tant qu'une réponse est rattachable à un salarié, et doit alors respecter la licéité, l'information préalable des salariés, la limitation des questions au nécessaire et une durée de conservation limitée au temps nécessaire.
Ce qui est recommandé : fixer un seuil d'affichage par unité de restitution, parce que l'INRS signale qu'en dessous de dix personnes la présentation des résultats peut lever l'anonymat des répondants.
Par où commencer : écrire dans le cahier des charges le seuil retenu et la liste des variables de croisement autorisées, avant de choisir l'outil ou le cabinet.
Où Odana intervient : Odana diffuse le questionnaire par lien public, sans compte ni adresse e-mail, et masque les résultats des unités situées sous le seuil d'affichage.

Anonymat, pseudonymat, confidentialité : ce que chaque mot engage

Un seul de ces régimes fait disparaître les données personnelles. L'anonymisation consiste à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit, et de manière irréversible³.

La pseudonymisation remplace les données directement identifiantes par des données indirectement identifiantes, par exemple un alias ou un numéro séquentiel. Cette opération est réversible, parce que le détenteur de la table de correspondance peut remonter jusqu'au salarié. Un lien d'enquête personnalisé relève de ce régime tant que les réponses restent reliées au lien, donc au salarié. Elles restent alors des données à caractère personnel².

La confidentialité est un engagement d'organisation : qui accède aux réponses, à quelles conditions, sous quel contrat. Elle protège des données qui restent personnelles et n'ajoute aucun degré d'anonymat. Un cabinet qui promet « la confidentialité la plus stricte » n'a donc rien promis sur l'anonymat.

Le seuil de restitution : combien de répondants par unité

Fixez dès le cadrage le nombre de répondants nécessaire pour publier un résultat. La Commission nationale de l'informatique et des libertés (CNIL) évoque des engagements de non-communication des résultats à l'employeur sous un certain seuil d'agrégation⁴. Elle n'en chiffre aucun, mais demande que les statistiques produites ne fassent référence à aucune information directement ou indirectement identifiante. Elle cite le cas d'un service qui compte un nombre restreint de personnes⁵.

L'Institut national de recherche et de sécurité (INRS) est plus concret. Pour son questionnaire SATIN, il signale le cas des collectifs de travail de petite taille, voire de très petite taille, inférieure à dix. La présentation des résultats peut alors conduire à lever l'anonymat des répondants⁶. Le lecteur du rapport reconnaît certaines réponses parce qu'elles sont singulières.

Retenez dix répondants par unité restituée. En dessous de cinq, ne restituez rien, pas même une moyenne. Regroupez alors l'unité avec une autre, ou renoncez à ce niveau de détail. Ces deux nombres sont un repère de méthode. Écrivez-les au cahier des charges. Typiquement, quand la direction lit un résultat en rouge pour un service de sept personnes, des noms circulent dès le lendemain.

Le code du travail impose de transcrire dans le document unique un inventaire des risques identifiés dans chaque unité de travail de l'entreprise ou de l'établissement⁷. Calez donc vos unités de restitution sur ces unités de travail avant l'enquête, quand les effectifs le permettent. Sinon, vous ne pourrez pas reverser le diagnostic dans le document unique d'évaluation des risques professionnels (DUERP) sans retraitement. Vous perdez alors le bénéfice de l'enquête au moment de coter les risques psychosociaux dans le document unique.

Ce que le RGPD impose quand l'anonymat n'est pas acquis

Sans anonymat acquis, l'enquête reste un traitement de données personnelles. La loi Informatique et Libertés en fixe alors les principes, et chacun se traduit dans le questionnaire.

Les données doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée⁸. Pour l'enquête, la licéité impose une base légale, et la transparence une information des salariés avant la première question.

Les données doivent aussi être limitées à ce qui est nécessaire au regard des finalités. Chaque question doit donc servir le diagnostic.

Elles ne doivent pas être conservées sous une forme permettant l'identification au-delà de la durée nécessaire. Le texte exige enfin une sécurité appropriée des données⁸. Concrètement, fixez une date de suppression des réponses et réservez leur accès à quelques personnes nommées.

La CNIL a formalisé ses attentes pour les enquêtes de mesure de la diversité au travail. Selon elle, certaines de ces recommandations peuvent valoir pour d'autres dispositifs, sous réserve d'une analyse au cas par cas⁹. Elles ne s'appliquent pas d'office à un questionnaire sur les risques psychosociaux (RPS). Prenez-les comme un repère de conformité.

Commencez par la base légale. Un traitement n'est licite que s'il remplit au moins une des conditions énumérées par la loi Informatique et Libertés¹⁰. Le consentement de la personne et l'intérêt légitime du responsable de traitement en font partie. La loi exclut toutefois l'intérêt légitime pour les traitements effectués par les autorités publiques dans l'exécution de leurs missions¹⁰. Un employeur public vérifie donc d'abord si cette exclusion le concerne.

Pour une enquête de diversité, la CNIL retient l'intérêt légitime. Ce fondement lui paraît plus équilibré pour les droits des salariés que le consentement. Selon elle, le consentement est toujours difficile à mobiliser dans une relation de travail¹¹. Cette difficulté tient à la relation de travail elle-même, quel que soit le thème de l'enquête. Sur un questionnaire RPS, examinez donc l'intérêt légitime en premier. Tranchez ensuite au vu du dispositif réellement déployé.

Vérifiez ensuite si le questionnaire touche aux données de santé. La CNIL définit les données de santé comme les données relatives à la santé physique ou mentale, passée, présente ou future, d'une personne physique. Elle les reconnaît à leur nature, à leur croisement avec d'autres données ou à leur destination, et les apprécie au cas par cas¹².

Selon l'INRS, un questionnaire RPS recueille des informations sur le niveau de stress, les symptômes ressentis et l'état de santé des salariés¹³. Des questions sur l'épuisement ou le sommeil peuvent donc relever de cette catégorie¹². Aucun texte ne l'établit d'office. Appréciez la qualification question par question, avec le délégué à la protection des données.

La loi Informatique et Libertés interdit de traiter des données concernant la santé. Les exceptions à cette interdiction sont fixées dans les conditions prévues par l'article 9 du RGPD et par cette même loi¹⁴. Pour une enquête de mesure de la diversité, la CNIL retient le consentement explicite comme seule exception mobilisable¹⁵. L'intérêt légitime ne suffit alors plus à lui seul.

Deux voies méritent l'examen. La première consiste à ne collecter aucune donnée de santé rattachable à une personne. La seconde repose sur un consentement explicite. Pour les enquêtes de diversité, la CNIL donne l'exemple d'une case à cocher non pré-cochée, placée au début du formulaire ou avant les questions concernées¹⁶. Transposer ce procédé à un questionnaire RPS est une lecture raisonnable, mais aucun texte ne l'impose. Une enquête réellement anonyme dès la collecte échappe à cette question. Le RGPD ne s'y applique plus. La CNIL demande alors seulement qu'elle reste facultative¹.

L'information des salariés vient après. Le code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance¹⁷. Un outil nominatif ou pseudonymisé déployé sans annonce préalable tombe sous cette interdiction. Joignez donc une note d'information au questionnaire, avant la première question. Son contenu obéit à des règles précises, parce que le droit à l'information s'exerce dans les conditions prévues aux articles 12 à 14 du RGPD¹⁸. La CNIL en détaille les mentions attendues pour les enquêtes de diversité¹⁹ :

l'identité du responsable de traitement et les coordonnées du délégué à la protection des données, s'il en existe un ;
l'objectif poursuivi et la base légale retenue ;
le caractère facultatif de la participation et des réponses ;
les destinataires des données et leur durée de conservation ;
les conditions d'exercice des droits, et la période pendant laquelle ils peuvent l'être avant anonymisation ;
la possibilité d'introduire une réclamation auprès de la CNIL.

Appliquez aussi la minimisation, posée par la loi Informatique et Libertés⁸. Ce principe limite les questions au nécessaire pour atteindre l'objectif poursuivi. La CNIL vise particulièrement les zones de commentaires libres, susceptibles de révéler un nombre important et non maîtrisé d'informations²⁰. Limitez-les à ce qui sert le diagnostic, et prévoyez une relecture avant diffusion.

Fixez enfin une durée de conservation. Pour les enquêtes de diversité, la CNIL demande de supprimer les réponses au plus tôt, une fois les données analysées et agrégées en statistiques. Elle laisse au responsable de traitement le soin de fixer cette durée. Elle cite six mois à compter de la clôture de l'enquête comme exemple de maximum suffisant²¹. Vous pouvez en revanche conserver sans limitation de durée les statistiques anonymes.

Pour ces mêmes enquêtes, la CNIL ne fait pas du recours à un tiers de confiance une condition de licéité du dispositif²². Ce tiers est un intermédiaire extérieur à l'organisme, qui sécurise la remontée et l'analyse des réponses pour le compte de l'employeur²². Une enquête menée en interne peut donc être licite, à condition que d'autres garanties existent pour les droits des répondants. La CNIL présente toutefois ce recours comme une garantie supplémentaire pour les salariés²².

Où l'anonymat casse en pratique

L'anonymat peut casser sans aucune intention de nuire, sur un détail d'exécution que personne n'a arbitré.

Le cas typique : une entreprise de propreté de 140 salariés, répartis sur onze sites. Le prestataire envoie un lien personnalisé à chaque agent pour relancer les non-répondants. Le tableau de restitution détaille les résultats site par site, alors que deux sites comptent sept agents. Sur l'un des deux, un agent cite nommément le chef d'équipe dans un commentaire libre. Personne ne relit le rapport avant son envoi au comité de direction.

Le chef d'équipe apprend l'existence du commentaire dans la semaine. À la vague suivante, l'entreprise recueille moitié moins de réponses. Le diagnostic est perdu, mais l'obligation de l'employeur demeure. Le code du travail lui impose de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs²³.

Réglez d'abord la question du lien d'accès. Avec un lien public unique, vous renoncez à toute relance individuelle. Acceptez ce coût. Pour les enquêtes de diversité, la CNIL proscrit d'ailleurs toute liste des participants ou des non-participants, par exemple pour des relances individualisées²⁴. Avec une telle liste, les salariés sont incités à répondre par crainte que l'employeur en prenne connaissance.

Un lien nominatif rend la relance possible, parce que le prestataire sait alors qui a répondu. Ce suivi de la participation porte déjà sur des données personnelles. Si les réponses restent reliées au lien, l'enquête est pseudonymisée et les réponses restent des données à caractère personnel². Respectez alors les obligations déjà vues : base légale, information, minimisation, durée de conservation. Détruisez la table de correspondance avant l'analyse, et annoncez-le dès le lancement. Quel que soit votre choix, dites-le aux salariés.

Surveillez ensuite les variables signalétiques, qui décrivent le profil du répondant. Un recoupement peut suffire à réidentifier quelqu'un : intitulé de poste, ancienneté, âge et sexe. La CNIL cite l'exemple d'une femme juriste de 31 ans, seule de son service à réunir ces caractéristiques²⁵. Préférez des tranches larges, puis testez le croisement sur votre propre fichier de paie avant le lancement.

Exigez enfin que le logiciel impose lui-même le seuil d'affichage, quel que soit le filtre appliqué ensuite. Ne laissez pas ce contrôle à l'analyste. Vérifiez ce point en démonstration, sur un jeu de données où une unité compte trois répondants. Pour choisir l'instrument de mesure, consultez le comparatif des questionnaires RPS validés scientifiquement.

Grille d'audit anonymat en 10 points

Opposez la grille ci-dessous telle quelle à un éditeur ou à un cabinet, point par point. Quatre lignes portent, au moins en partie, une exigence du droit applicable. Elles concernent l'information préalable des salariés¹⁷, la limitation des questions au nécessaire, la durée de conservation et la sécurité des données⁸. Ces exigences valent tant que l'enquête traite des données rattachables à un salarié. Sur une enquête réellement anonyme dès la collecte, elles redeviennent des bonnes pratiques¹.

Les six autres lignes relèvent de la méthode. Ce déséquilibre tient au statut de l'anonymat, qui constitue une mesure recommandée mais pas une condition de licéité d'une enquête²⁶. Négociez-le, puis écrivez-le au contrat.

Point de contrôle	Ce que vous exigez de l'outil ou du cabinet	Statut
1. Données d'identification	Aucun nom, matricule, adresse e-mail, adresse IP ni numéro d'ordre renvoyant à une table de correspondance.	Bonne pratique
2. Lien d'accès et relances	Lien public unique, ou lien individuel dont la correspondance est détruite avant l'analyse, avec preuve de la suppression.	Bonne pratique
3. Variables signalétiques	Tranches larges pour l'âge et l'ancienneté, nombre de variables limité, aucun intitulé de poste nominatif.	Bonne pratique
4. Test de recoupement	Une simulation écrite montrant qu'aucun croisement des variables proposées ne renvoie à une seule personne.	Bonne pratique
5. Seuil d'affichage	Un nombre minimal de répondants sous lequel aucun résultat ne s'affiche, appliqué par le logiciel et non par l'analyste.	Bonne pratique
6. Commentaires libres	Usage limité à ce qu'exige l'objectif de l'enquête ; relecture avant diffusion et retrait des noms et des situations reconnaissables.	Exigence légale pour la limitation au nécessaire tant que l'enquête traite des données personnelles, bonne pratique pour la relecture
7. Information des répondants	Une note d'information remise avant la première question, reprenant les mentions attendues et le caractère facultatif des réponses.	Exigence légale tant que l'enquête traite des données personnelles
8. Accès aux réponses brutes	La liste nominative des personnes habilitées, et l'engagement que l'employeur ne reçoive que des résultats agrégés.	Bonne pratique
9. Durée de conservation	Une durée de conservation limitée au temps nécessaire, et une suppression des réponses dès l'agrégation des résultats.	Exigence légale pour la durée limitée tant que l'enquête traite des données personnelles, recommandation de la CNIL pour la suppression dès l'agrégation
10. Hébergement et sous-traitance	Localisation des données, contrat encadrant le prestataire, accès réservé aux personnes dont les missions le justifient²⁷ ; journalisation des accès (trace de qui consulte quoi) et authentification renforcée, par exemple un second code de connexion, calibrées sur le risque.	Exigence légale pour la sécurité des données et la protection contre les accès non autorisés tant que l'enquête traite des données personnelles ; encadrement contractuel du prestataire attendu par la CNIL

Vous contrôlez deux points en quelques minutes de démonstration. Le premier est le seuil d'affichage appliqué par le logiciel, le second la preuve de suppression de la table de correspondance. Commencez votre audit par eux. Associez aussi le comité social et économique (CSE) au choix du seuil dès le cadrage, bien avant les consultations obligatoires sur les risques psychosociaux.

Ouvrez le cahier des charges de votre prochaine enquête. Ajoutez-y deux lignes : le seuil d'affichage retenu et la liste des variables de croisement autorisées. Odana applique ce seuil au niveau du logiciel et diffuse le questionnaire par lien public. La page sécurité décrit l'hébergement et la gestion des accès, la page fonctionnalités le détail des restitutions.

FAQ

Un questionnaire anonyme est-il obligatoire pour évaluer les RPS ?

Non. Le code du travail oblige l'employeur à évaluer les risques pour la santé et la sécurité des travailleurs²⁸. Il lui impose ensuite d'en transcrire les résultats dans le document unique⁷. Aucune disposition n'impose le questionnaire comme méthode²⁹. L'INRS le présente comme un outil parmi d'autres, à compléter par des entretiens ou des observations au poste de travail³⁰. La CNIL recommande l'anonymat sans en faire une condition de licéité d'une enquête²⁶. Il sert la sincérité des réponses et fait sortir l'enquête du RGPD quand il est réel.

Un questionnaire anonyme est-il soumis au RGPD ?

Non, si l'anonymat est effectif. Pour la CNIL, des données devenues anonymes ne revêtent plus de caractère personnel¹. La réglementation cesse alors de s'appliquer. En revanche, un lien nominatif, un matricule ou une adresse IP peut rattacher les réponses à un salarié. L'enquête redevient alors un traitement de données personnelles².

Combien de répondants faut-il pour restituer les résultats d'un service ?

Fixez ce seuil au cadrage de l'enquête. La CNIL évoque un seuil d'agrégation sans le chiffrer⁴. L'INRS signale qu'en dessous de dix personnes, la présentation des résultats peut lever l'anonymat⁶. Dix répondants par unité restituée forment un repère raisonnable. En dessous de cinq, regroupez l'unité avec une autre plutôt que de publier une moyenne de façade.

Peut-on relancer les non-répondants sans casser l'anonymat ?

Oui, par une relance collective adressée à tous les salariés. Une relance ciblée suppose de savoir qui a répondu, donc un lien individuel et un suivi de la participation. Si les réponses restent reliées à ce lien, l'enquête est pseudonymisée et reste soumise au RGPD². Détruire la table de correspondance avant l'analyse et l'annoncer au lancement sont deux garanties parmi d'autres, mais elles ne suffisent pas à elles seules.

Faut-il consulter le CSE avant de lancer un questionnaire anonyme ?

Cela dépend du dispositif. La consultation prévue par le code du travail au titre de l'évaluation des risques porte sur le document unique et sur ses mises à jour³¹. Dans les entreprises d'au moins cinquante salariés, le comité est aussi informé et consulté sur les moyens ou les techniques permettant un contrôle de l'activité des salariés³². Cette consultation intervient préalablement à la décision de mise en œuvre dans l'entreprise. Examinez donc ce point avant de lancer un questionnaire nominatif ou pseudonymisé. Dans le doute, consultez.

Sources

Dernière vérification : 13 octobre 2026