Pseudonymiser ou anonymiser les réponses de votre enquête : méthode et limites

Avant de transmettre les réponses d’une enquête, remplacez les données d’identification (nom, adresse e-mail…) par un identifiant créé pour l’occasion, et gardez à part le fichier qui fait le lien : c’est une pseudonymisation. Elle protège vos répondants, mais les données restent personnelles au sens du RGPD tant que ce lien existe. Elles ne deviennent anonymes que si vous supprimez ce lien et que plus aucun recoupement, notamment par les réponses ouvertes ou par de petits groupes, ne permet de retrouver les personnes. Voici la méthode pas à pas, et ce qu’il faut vérifier en plus.

Rappel sur les données personnelles

Les réponses à votre enquête sont considérées comme des données personnelles à partir du moment où elles permettent d’identifier les répondants. C’est notamment le cas si vous collectez l’un de ces points :

• Nom et prénom
• Adresse e-mail
• Numéro de téléphone
• Adresse IP
• Autre identifiant (numéro client, numéro de commande, matricule, numéro de sécurité sociale…)
• Plusieurs données dont le recoupement permet d’identifier (ou presque) la personne : le poste, l’ancienneté et le site géographique d’un employé par exemple, ou le produit acheté, la boutique et la date d’achat pour un client.

Pseudonymisation ou anonymisation : quelle différence ?

Les deux termes sont souvent confondus, alors qu’ils n’ont pas les mêmes conséquences :

La pseudonymisation est définie à l’article 4 du RGPD : les données ne peuvent plus être attribuées à une personne « sans avoir recours à des informations supplémentaires », conservées séparément. Le considérant 26 du même texte précise que ces données restent des données personnelles, et que seules les informations réellement anonymes échappent au RGPD. La CNIL résume la différence ainsi : l’anonymisation est irréversible, la pseudonymisation ne l’est pas (L’anonymisation de données personnelles, CNIL).

Pourquoi pseudonymiser les réponses avant de les partager ?

Le RGPD (Règlement Général sur la Protection des Données) amène un certain nombre d’obligations dans le cadre des enquêtes en ligne (j’en dis plus dans l’article sur le RGPD et les enquêtes en ligne). Notamment, le RGPD implique de ne pas transmettre les données personnelles à ceux qui n’en ont pas besoin.

Or, vous serez peut-être amené à transmettre les résultats de l’enquête à d’autres personnes, en interne (collègues, collaborateurs, chefs…) ou en externe (prestataires, partenaires…). De manière générale, ces personnes n’auront pas besoin des données personnelles, dans le sens où elles n’auront pas besoin de relier chaque réponse à un répondant. C’est notamment le cas dans mes prestations : dans la grande majorité des cas, je n’ai pas besoin de savoir qui a dit quoi pour analyser les réponses (le contexte, les objectifs de l’enquête et la nature des répondants sont beaucoup plus importants).

La bonne pratique (et celle qui découle du principe de minimisation du RGPD) est donc de pseudonymiser les réponses avant de les communiquer à d’autres parties (moi y compris, donc), et de les anonymiser dès que vous n’avez plus besoin de retrouver les répondants.

Comment pseudonymiser les réponses, étape par étape

Pseudonymiser les réponses signifie séparer les réponses de leur auteur, tout en gardant de votre côté le moyen de faire le lien. Voici le guide, étape par étape, pour pseudonymiser les réponses sans perdre d’informations pour autant :

1. Générez l’export des réponses

Pour commencer, générer l’export des réponses au format tableur : Excel, Google Sheets, Open Office, Libre Office… Prenez votre outil préféré ! J’utiliserai Excel dans les illustrations de cet article.

Sur Excel, je vous recommande de créer un tableau (Sélectionnez vos données, puis Insertion > Tableau), qui vous permettra de plus facilement gérer, trier et filtrer vos données.

Voici à quoi cela devrait ressembler. Les réponses de ces illustrations sont fictives, et sans grand intérêt « dans la vraie vie » : elles servent seulement à montrer les manipulations sur Excel. Je les ai générées en quelques clics avec GenerateData.com.

2. Créez un identifiant unique par participant

Dans votre tableau, ajoutez ensuite une colonne que vous nommerez « identifiant » (ou « ID » si vous préférez). Pour la placer en première position, comme sur la capture ci-dessous, faites un clic droit dans la première colonne du tableau, puis Insérer > Colonnes de tableau à gauche. Une colonne saisie à côté du tableau, à sa gauche, n’y serait pas intégrée automatiquement.

Votre colonne est vide pour l’instant. Dans la cellule de la première ligne (sous le titre « identifiant »), entrez 1. Dans la cellule du dessous, entrez 2. Puis sélectionnez ces deux cellules, placez votre souris dans le coin inférieur droit de la sélection, cliquez et tirez jusqu’en bas du tableau.

Félicitations, chacun de vos répondants a maintenant un identifiant unique ! Et puisque cet identifiant a été créé pour l’occasion, il n’y a aucune manière de savoir qui se cache par exemple derrière le répondant 23 sans avoir ce tableau. À une condition : que l’ordre des lignes ne trahisse rien. Si votre export est trié par nom ou par heure de réponse, triez d’abord les lignes dans un ordre aléatoire (par exemple sur une colonne remplie avec la fonction ALEA), avant de numéroter.

3. Enregistrez votre copie personnelle

Maintenant, enregistrez une copie de document, par exemple en ajoutant « - données personnelles » à la fin du nom du fichier. Ce tableau, la « table de correspondance », sera à diffuser le moins possible (voire pas du tout) et sera le seul moyen de faire le lien entre les répondants et leurs réponses.

4. Supprimez les données d’identification

Maintenant, supprimez les colonnes correspondant aux données d’identification (nom, adresse mail, adresse IP…), sans oublier les métadonnées ajoutées par l’outil d’enquête, comme la date et l’heure de réponse.

5. Enregistrez le nouveau document

Vous pouvez maintenant enregistrer ce nouveau document pseudonymisé, par exemple en ajoutant « - pseudonymisé » à la fin du nom du fichier. Ce tableau-là peut être partagé plus largement : les personnes qui le recevront ne sauront pas qui a dit quoi. L’information n’est pas perdue pour autant : à partir de l’identifiant, vous pourrez retrouver le répondant à partir de la première sauvegarde, ce que les autres personnes ne pourront pas faire.

Pour vous, qui détenez la table de correspondance, ces réponses restent des données personnelles : le RGPD continue de s’appliquer, avec un risque fortement réduit en cas de fuite du fichier partagé.

Comment rendre les réponses réellement anonymes ?

La pseudonymisation suffit pour partager les résultats pendant l’analyse. Mais une fois que vous n’avez plus besoin de retrouver les répondants, vous pouvez aller jusqu’à l’anonymisation, qui demande deux choses.

Supprimez tout ce qui permet de faire le lien

Supprimez la table de correspondance, mais aussi les réponses identifiées qui restent ailleurs : dans l’outil d’enquête en ligne, dans les exports d’origine, dans les pièces jointes d’e-mails… Tant qu’une copie identifiée existe quelque part, les réponses ne sont pas anonymes.

Vérifiez que personne ne peut être reconnu par recoupement

Supprimer les noms ne suffit pas toujours. La CNIL, reprenant l’avis des autorités européennes sur les techniques d’anonymisation (2014), retient trois critères : on ne doit pas pouvoir isoler une personne dans les données, relier ses réponses à d’autres données qui la concernent, ni déduire d’informations sur elle. Dans les enquêtes internes, deux risques reviennent particulièrement.

Les réponses ouvertes

Les verbatim sont la première source de ré-identification. Un répondant peut citer son service, son responsable, un collègue, ou décrire une situation que tout le monde reconnaîtra (« depuis mon retour de congé maternité », « depuis que je suis le seul à gérer ce dossier »). Relisez les réponses ouvertes avant de les diffuser, et retirez ou généralisez ce qui permet de reconnaître quelqu’un.

Les petits effectifs

Une fois les réponses croisées, certains groupes deviennent minuscules : s’il n’y a que deux personnes de plus de 20 ans d’ancienneté dans un service, leurs réponses n’ont plus rien d’anonyme. Fixez donc un seuil minimal de répondants par groupe, en dessous duquel vous ne présentez pas de résultats, ni dans les rapports ni dans les tableaux croisés. Beaucoup d’outils d’enquête RH proposent ce réglage, avec des seuils de l’ordre de 3 à 5 répondants ; plus le sujet est sensible, plus le seuil doit être élevé. Regroupez au besoin les petites équipes, ou les tranches d’âge et d’ancienneté.

Si l’un de ces risques subsiste, vos données sont pseudonymisées, pas anonymes : elles restent soumises au RGPD.

Conclusion

Vous savez maintenant pseudonymiser vos résultats avant de les partager, et ce qu’il faut vérifier pour les rendre réellement anonymes.

Gardez en tête que le RGPD s’applique aussi quand vous interrogez des contacts professionnels ou vos collaborateurs : leur nom, leur adresse e-mail professionnelle ou leur matricule restent des données personnelles. Dans tous les cas, je vous recommande fortement d’utiliser cette méthode, et de manière générale de veiller à la sécurité et à la confidentialité des réponses. Bien sûr, les personnes à qui vous vous adressez ne sont ni mal intentionnées ni négligentes ! Mais à chaque personne avec qui vous partagez les résultats, c’est un risque potentiel supplémentaire. Prendre vos précautions est encore le meilleur moyen de protéger vos répondants et vous-même !

Quoi qu’il en soit, si vous avez besoin d’aide pour l’analyse de vos réponses, ou à tout autre moment de votre enquête en ligne, n’hésitez pas à faire appel à un spécialiste :)

Découvrez l’accompagnement

En résumé

• Remplacer le nom et l’adresse e-mail des répondants par un identifiant, en gardant à part la table de correspondance, est une pseudonymisation : les réponses restent des données personnelles au sens du RGPD.
• Pseudonymisez les réponses avant de les transmettre à des personnes qui n’ont pas besoin de savoir qui a dit quoi, collègues ou prestataires.
• Les réponses ne deviennent anonymes que si plus personne, vous compris, ne peut les relier à leurs auteurs : table de correspondance et copies identifiées supprimées, aucun recoupement possible.
• Dans une enquête interne, relisez les réponses ouvertes avant de les diffuser : elles citent souvent des noms ou des situations reconnaissables.
• Ne présentez pas de résultats pour des groupes trop petits une fois les réponses croisées : fixez un seuil minimal de répondants par groupe.