Questionnaire anonyme pour les salariés : garanties et RGPD

Publié par Romain Mougel15 août 2026

Fondateur de Diagnoz

Questionnaire anonyme pour les salariés : ce qui relève du RGPD, ce qui relève de la méthode, le seuil de restitution à fixer et une grille d'audit en 10 points.

Promettre l'anonymat coûte une phrase. Le tenir engage toute la chaîne, du formulaire au tableau de restitution.

Un questionnaire anonyme adressé aux salariés ne mérite son nom qu'à une condition : aucune réponse ne doit pouvoir être rattachée à une personne, ni par recoupement, ni à la restitution par service. L'anonymat une fois obtenu, les données collectées ne revêtent plus de caractère personnel¹. À défaut, l'enquête reste un traitement de données à caractère personnel, soumis au règlement général sur la protection des données (RGPD)².

À retenir

Ce qui est obligatoire : dès qu'une réponse reste rattachable à un salarié, l'enquête est un traitement de données personnelles, soumis à la licéité, à l'information préalable des salariés, à la limitation des questions au nécessaire et à une durée de conservation définie.
Ce qui est recommandé : fixer un seuil d'affichage par unité de restitution, l'INRS signalant qu'en dessous de dix personnes la présentation des résultats peut lever l'anonymat des répondants.
Par où commencer : écrire dans le cahier des charges le seuil retenu et la liste des variables de croisement autorisées, avant de choisir l'outil ou le cabinet.
Où Diagnoz intervient : diffusion du questionnaire par lien public, sans compte ni adresse e-mail, et masquage des résultats des unités situées sous le seuil d'affichage.

Anonymat, pseudonymat, confidentialité : ce que chaque mot engage

Un seul de ces régimes fait disparaître les données personnelles. L'anonymisation consiste à rendre impossible, en pratique, toute identification de la personne par quelque moyen que ce soit, et de manière irréversible³. Le mot qui compte est irréversible.

La pseudonymisation remplace les données directement identifiantes par des données indirectement identifiantes, un alias ou un numéro séquentiel. L'opération se défait, et la table de correspondance suffit à remonter au salarié. Un lien d'enquête personnalisé relève de ce régime : les réponses restent des données à caractère personnel².

La confidentialité, elle, n'ajoute pas un degré d'anonymat. C'est un engagement d'organisation : qui accède aux réponses, à quelles conditions, sous quel contrat. Elle protège des données qui restent personnelles. Un cabinet qui promet « la confidentialité la plus stricte » n'a rien promis sur l'anonymat.

Le seuil de restitution : combien de répondants par unité

Le nombre de répondants nécessaire pour publier un résultat se décide au cadrage de l'enquête. La CNIL évoque des engagements de non-communication des résultats à l'employeur sous un certain seuil d'agrégation⁴. Elle n'en chiffre aucun. Elle demande en revanche que les statistiques produites ne fassent référence à aucune information directement ou indirectement identifiante. Elle cite le cas d'un service comptant un nombre restreint de personnes⁵.

L'INRS est plus concret. Sur son questionnaire SATIN, il vise les collectifs de travail de petite taille, inférieure à dix. La présentation des résultats peut alors conduire à lever l'anonymat des répondants⁶. Certaines réponses se reconnaissent parce qu'elles sont singulières.

Retenez dix répondants par unité restituée. En dessous de cinq, ne restituez rien, pas même une moyenne : regroupez l'unité avec une autre, ou renoncez à ce niveau de détail. Ces deux nombres sont un repère de méthode, à écrire au cahier des charges. Un service de sept personnes affiché en rouge dans un rapport de direction fait circuler des noms dès le lendemain.

La maille de restitution se choisit avant l'enquête. Le code du travail impose de transcrire dans le document unique un inventaire des risques identifiés dans chaque unité de travail de l'entreprise ou de l'établissement⁷. Calez vos unités de restitution sur ces unités de travail quand les effectifs le permettent. Sinon le diagnostic ne se reversera pas dans le document unique d'évaluation des risques professionnels (DUERP) sans retraitement. Le bénéfice de l'enquête se perd alors au moment de coter les risques psychosociaux dans le document unique.

Ce que le RGPD impose quand l'anonymat n'est pas acquis

Tant qu'une réponse peut être rattachée à une personne, l'enquête est un traitement de données personnelles. La loi Informatique et Libertés fixe alors les principes qui s'imposent. Les données doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée. Elles doivent aussi être limitées à ce qui est nécessaire au regard des finalités. Le même texte encadre la conservation : sous une forme permettant l'identification, pendant une durée n'excédant pas celle nécessaire. Il exige enfin une sécurité appropriée des données⁸. Aucun de ces principes n'est optionnel.

La CNIL a formalisé ses attentes pour les enquêtes de mesure de la diversité au travail. Elle précise que ces recommandations peuvent valoir pour d'autres dispositifs, sous réserve d'une analyse au cas par cas⁹. Prenez-les comme un repère de conformité, pas comme un régime transposé d'office aux risques psychosociaux (RPS).

La base légale d'abord. Un traitement n'est licite que s'il remplit au moins une des conditions énumérées par la loi Informatique et Libertés¹⁰. Le consentement de la personne et l'intérêt légitime du responsable de traitement en font partie. Pour une enquête de diversité, la CNIL retient l'intérêt légitime. Ce fondement lui paraît plus équilibré pour les droits des salariés que le consentement, toujours difficile à mobiliser dans le cadre d'une relation de travail¹¹. Cette difficulté tient à la relation de travail elle-même, pas au thème de l'enquête. Sur un questionnaire RPS, examinez donc l'intérêt légitime en premier. Puis tranchez au vu du dispositif réellement déployé.

Un questionnaire RPS bute ensuite sur les données sensibles. La CNIL définit les données de santé comme les données relatives à la santé physique ou mentale, passée, présente ou future, d'une personne physique. Elle les caractérise notamment par leur nature, par leur croisement avec d'autres données ou par leur destination¹². Un questionnaire RPS recueille, selon l'INRS, des informations sur le niveau de stress, les symptômes ressentis et l'état de santé des salariés¹³. Des questions sur l'épuisement ou le sommeil peuvent donc relever de cette catégorie¹². Aucun texte ne l'établit d'office. La qualification s'apprécie question par question, avec le délégué à la protection des données. La loi interdit de traiter des données concernant la santé, les exceptions à cette interdiction étant définies selon les conditions prévues par l'article 9 du RGPD¹⁴. Pour une enquête de mesure de la diversité, la CNIL retient le consentement explicite comme seule exception mobilisable¹⁵. L'intérêt légitime ne suffit alors plus à lui seul.

Deux voies méritent l'examen. La première consiste à ne collecter aucune donnée de santé rattachable à une personne. La seconde repose sur un consentement explicite. Pour les enquêtes de diversité, la CNIL le matérialise par une case à cocher non pré-cochée, placée avant les questions concernées¹⁶. Transposer ce procédé à un questionnaire RPS est une lecture raisonnable, pas une règle posée par un texte. Une enquête réellement anonyme dès la collecte, elle, ne pose pas la question.

L'information des salariés vient ensuite. Le code du travail est net : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance¹⁷. Un outil d'enquête déployé sans annonce préalable tombe sous cette interdiction. La note se joint donc au questionnaire, avant la première question. Son contenu ne s'improvise pas : le droit à l'information s'exerce dans les conditions prévues aux articles 12 à 14 du RGPD¹⁸. La CNIL en détaille les mentions attendues pour une enquête interne¹⁹ :

l'identité du responsable de traitement et les coordonnées du délégué à la protection des données, s'il en existe un ;
l'objectif poursuivi et la base légale retenue ;
le caractère facultatif de la participation et des réponses ;
les destinataires des données et leur durée de conservation ;
les conditions d'exercice des droits, et la période pendant laquelle ils peuvent l'être avant anonymisation ;
la possibilité d'introduire une réclamation auprès de la CNIL.

La minimisation, posée par le même texte, limite les questions à ce qui est nécessaire pour atteindre l'objectif poursuivi. La CNIL vise particulièrement les zones de commentaires libres, susceptibles de révéler un nombre important et non maîtrisé d'informations²⁰. Gardez-les si elles servent le diagnostic. Prévoyez alors une relecture avant diffusion.

La conservation ferme la marche. Une fois les données analysées et agrégées en statistiques, la CNIL demande de supprimer les réponses au plus tôt. Elle laisse au responsable de traitement le soin de fixer cette durée. Elle cite six mois à compter de la clôture de l'enquête comme exemple de maximum suffisant²¹. Les statistiques anonymes, elles, se conservent sans limitation de durée.

Reste la question du prestataire. Pour ces mêmes enquêtes, la CNIL indique que le recours à un tiers de confiance ne conditionne pas la licéité du dispositif²². Une enquête menée en interne peut être licite, à condition que d'autres garanties existent pour les droits des répondants. La crédibilité interne, en revanche, se joue souvent là.

Où l'anonymat casse en pratique

Les ruptures d'anonymat viennent rarement d'une intention. Elles viennent d'un détail d'exécution que personne n'a arbitré.

Typiquement, une entreprise de propreté de 140 salariés, répartis sur onze sites. Le prestataire envoie un lien personnalisé à chaque agent, pour pouvoir relancer les non-répondants. Le tableau de restitution descend au site, et deux sites comptent sept agents. Sur l'un des deux, un commentaire libre cite nommément le chef d'équipe. Le rapport part au comité de direction sans relecture.

La suite s'écrit seule. Le chef d'équipe apprend l'existence du commentaire dans la semaine. La vague suivante recueille moitié moins de réponses. Le diagnostic est perdu. L'obligation demeure : l'employeur prend les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs²³.

Le lien d'accès se règle en premier. Un lien public unique interdit toute relance individuelle, et c'est le prix à payer. La CNIL déconseille d'ailleurs de tenir une liste des participants et des non-participants à des fins de relances individualisées²⁴. Une telle liste incite à répondre par crainte que l'employeur en prenne connaissance. Un lien nominatif rend cette relance possible. L'enquête devient alors pseudonymisée. Les réponses restent des données à caractère personnel², avec les obligations qui suivent : base légale, information, minimisation, durée de conservation. Détruisez la table de correspondance avant l'analyse. Annoncez-le dès le lancement. Trancher sans le dire est la seule option à exclure.

Viennent les variables signalétiques. Le recoupement de l'intitulé de poste, de l'ancienneté, de l'âge et du sexe peut suffire à réidentifier quelqu'un. La CNIL cite l'exemple d'une femme juriste de 31 ans, seule de son service à réunir ces caractéristiques²⁵. Préférez des tranches larges. Testez le croisement sur votre propre fichier de paie, avant le lancement.

Le seuil d'affichage, enfin, doit vivre dans le logiciel et non dans la tête de l'analyste. Exigez qu'il tienne quel que soit le filtre appliqué ensuite. Vérifiez-le en démonstration, sur un jeu de données où une unité compte trois répondants. Le choix de l'instrument de mesure est un autre sujet, traité dans le comparatif des questionnaires RPS validés scientifiquement.

Grille d'audit anonymat en 10 points

La grille ci-dessous s'oppose telle quelle à un éditeur ou à un cabinet, point par point. Quatre lignes portent, au moins en partie, une exigence du droit applicable : l'information préalable des salariés¹⁷, la limitation des questions au nécessaire, la durée de conservation et la sécurité des données⁸. Ces quatre exigences valent tant que l'enquête traite des données rattachables à un salarié. Sur une enquête réellement anonyme dès la collecte, elles redeviennent des bonnes pratiques¹. Les six autres lignes relèvent de la méthode. Ce déséquilibre est instructif : l'anonymat, bien qu'il constitue une mesure recommandée, n'est pas une condition de licéité d'une enquête²⁶. Il se négocie, puis s'écrit au contrat.

Point de contrôle	Ce que vous exigez de l'outil ou du cabinet	Statut
1. Données d'identification	Aucun nom, matricule, adresse e-mail, adresse IP ni numéro d'ordre renvoyant à une table de correspondance.	Bonne pratique
2. Lien d'accès et relances	Lien public unique, ou lien individuel dont la correspondance est détruite avant l'analyse, avec preuve de la suppression.	Bonne pratique
3. Variables signalétiques	Tranches larges pour l'âge et l'ancienneté, nombre de variables limité, aucun intitulé de poste nominatif.	Bonne pratique
4. Test de recoupement	Une simulation écrite montrant qu'aucun croisement des variables proposées ne renvoie à une seule personne.	Bonne pratique
5. Seuil d'affichage	Un nombre minimal de répondants sous lequel aucun résultat ne s'affiche, appliqué par le logiciel et non par l'analyste.	Bonne pratique
6. Commentaires libres	Usage limité à ce qu'exige l'objectif de l'enquête ; relecture avant diffusion et retrait des noms et des situations reconnaissables.	Exigence légale pour la limitation au nécessaire tant que l'enquête traite des données personnelles, bonne pratique pour la relecture
7. Information des répondants	Une note d'information remise avant la première question, reprenant les mentions attendues et le caractère facultatif des réponses.	Exigence légale tant que l'enquête traite des données personnelles
8. Accès aux réponses brutes	La liste nominative des personnes habilitées, et l'engagement que l'employeur ne reçoive que des résultats agrégés.	Bonne pratique
9. Durée de conservation	Une durée de conservation définie et une suppression des réponses déclenchée dès l'agrégation des résultats.	Exigence légale tant que l'enquête traite des données personnelles
10. Hébergement et sous-traitance	Localisation des données, contrat encadrant le prestataire, accès réservé aux personnes dont les missions le justifient²⁷ ; journalisation et authentification renforcée calibrées sur le risque.	Exigence légale pour la sécurité des données et la protection contre les accès non autorisés tant que l'enquête traite des données personnelles ; encadrement contractuel du prestataire attendu par la CNIL

Deux points se vérifient en quelques minutes de démonstration. Le premier est le seuil d'affichage appliqué par le logiciel, le second la preuve de suppression de la table de correspondance. Commencez par eux. Le comité social et économique (CSE), lui, gagne à être associé au choix du seuil dès le cadrage, bien avant les consultations obligatoires sur les risques psychosociaux.

Un anonymat qui ne survit pas au tableau de restitution n'a jamais existé.

Ouvrez le cahier des charges de votre prochaine enquête et ajoutez-y deux lignes : le seuil d'affichage retenu, et la liste des variables de croisement autorisées. Diagnoz applique ce seuil au niveau du logiciel et diffuse le questionnaire par lien public. L'hébergement et la gestion des accès sont décrits sur la page sécurité, le détail des restitutions sur la page fonctionnalités.

FAQ

Un questionnaire anonyme est-il obligatoire pour évaluer les RPS ?

Non. Le code du travail oblige l'employeur à évaluer les risques pour la santé et la sécurité des travailleurs²⁸. Il lui impose ensuite de transcrire les résultats de cette évaluation dans le document unique⁷. Aucune disposition n'impose le questionnaire comme méthode³². L'INRS le présente comme un outil parmi ceux qu'il est possible d'utiliser, à compléter par des entretiens ou des observations au poste de travail²⁹. La CNIL rappelle par ailleurs que l'anonymat, bien qu'il constitue une mesure recommandée, ne conditionne pas la licéité d'une enquête²⁶. Il sert la sincérité des réponses, et il fait sortir l'enquête du RGPD lorsqu'il est réel.

Un questionnaire anonyme est-il soumis au RGPD ?

Non, si l'anonymat est effectif. La CNIL indique que dès lors que l'anonymat est obtenu, les données ne revêtent plus de caractère personnel¹. La réglementation cesse alors de s'appliquer. Dès qu'un lien nominatif, un matricule ou une adresse IP subsiste, l'enquête redevient un traitement de données personnelles².

Combien de répondants faut-il pour restituer les résultats d'un service ?

Le chiffre se décide au cadrage de l'enquête. La CNIL évoque un seuil d'agrégation sans le chiffrer⁴, et l'INRS signale qu'en dessous de dix personnes la présentation des résultats peut lever l'anonymat⁶. Dix répondants par unité restituée forment un repère raisonnable. En dessous de cinq, regroupez l'unité avec une autre plutôt que de publier une moyenne de façade.

Peut-on relancer les non-répondants sans casser l'anonymat ?

Oui, par une relance collective adressée à tous les salariés. Une relance ciblée suppose de savoir qui a répondu, donc un lien individuel. L'enquête devient pseudonymisée et reste soumise au RGPD². Détruire la table de correspondance avant l'analyse et l'annoncer au lancement sont deux garanties parmi d'autres, pas un blanc-seing.

Faut-il consulter le CSE avant de lancer un questionnaire anonyme ?

Cela dépend du dispositif. La consultation prévue par le code du travail au titre de l'évaluation des risques porte sur le document unique et sur ses mises à jour³⁰. Dans les entreprises d'au moins cinquante salariés, le comité est par ailleurs informé et consulté, préalablement à la décision de mise en œuvre dans l'entreprise, sur les moyens ou les techniques permettant un contrôle de l'activité des salariés³¹. Un questionnaire nominatif ou pseudonymisé appelle donc cet examen. Dans le doute, consultez.

Fonctionnalités

Tarifs

Le coût des RPS

Sécurité