La fiche 12 du guide pratique de la CNIL pour les SPST rappelle qu’une étude ou une enquête est un traitement : un responsable identifié, un cadre applicable, une information des personnes. Le service qui participe ou qui relaie une enquête engage sa responsabilité sur la part qu’il en prend.
Plusieurs cas de terrain de l’été et de septembre 2026, rendus anonymes, ont porté sur des questionnaires régionaux diffusés par formulaire en ligne. La question, déjà signalée dans la veille de juillet-août, concerne l’outil utilisé et le responsable de traitement.
Ce qui change
Un formulaire en ligne gratuit, créé en quelques minutes, présente souvent plusieurs défauts à la fois : un responsable de traitement non identifié, un hébergement hors de tout contrat, une mention d’information absente. Le service à qui l’on demande de relayer l’enquête auprès de ses adhérents ou des salariés suivis devient un maillon de la collecte.
Les règles en jeu sont celles du RGPD. L’article 4.7 définit le responsable de traitement, l’article 26 la responsabilité conjointe quand plusieurs services organisent l’enquête ensemble. L’article 28 impose un contrat avec l’outil qui héberge les réponses. Les articles 12 à 14 imposent une information en tête du questionnaire. La notion d’anonymat se vérifie : des réponses rattachables à une entreprise ou à une personne restent des données personnelles.
Ce que cela implique pour un SPST
Relayer une enquête non conforme engage le service qui la diffuse. Avant tout relais, le service vérifie :
- qui est responsable de traitement : l’organisateur, une association, plusieurs services ensemble ;
- quel outil héberge les réponses, où, et sous quel contrat ;
- quelle mention d’information figure en tête du questionnaire ;
- si les réponses sont réellement anonymes, ou rattachables à une entreprise ou à une personne par croisement (taille d’entreprise, secteur, commune, poste).
Le croisement de quelques réponses suffit souvent à identifier un répondant. Dans une petite entreprise, la combinaison du secteur, de la commune et du poste désigne parfois une seule personne. Un questionnaire présenté comme anonyme qui pose ces questions ne l’est pas, et la mention d’information doit le dire.
Une grille de vérification jointe à toute demande de relais évite de refaire l’analyse à chaque fois. Si l’enquête ne passe pas la grille, le service peut proposer une correction à l’organisateur avant diffusion.
Les enquêtes lancées par le service lui-même suivent les mêmes règles, avec une différence : le service en est alors le responsable de traitement et doit tout documenter. Pour chaque étude, il détermine aussi si elle relève d’une méthodologie de référence ou d’un autre cadre.
Comment le traiter dans DPO SUITE
Pour chaque enquête relayée ou lancée, ouvrez le registre des traitements. Si le service est responsable, créez une fiche de traitement complète : finalité, base légale, catégories de données et de personnes, destinataires, durée, mesures de sécurité. Si plusieurs services organisent l’enquête ensemble, déclarez-la comme traitement mutualisé via les « Groupes mutualisés ».
Enregistrez l’outil de formulaire dans le registre des logiciels et son fournisseur dans le registre des sous-traitants, avec sa localisation cloud. Envoyez-lui le questionnaire d’audit lorsque le service en est le client. Dans le registre des délais de conservation, qualifiez les réponses : durée, point de départ, localisation.
Dans le module procédures, créez la procédure « relais et lancement d’enquêtes » avec la grille de vérification et un plan de tâches, puis faites-la approuver. Lorsque l’anonymat des réponses est douteux ou que l’enquête porte sur des données de santé, ouvrez une session d’AIPD. Si une enquête a déjà été relayée sans vérification, créez une non-conformité et une action corrective. ALIX peut proposer une analyse de la mention d’information d’un formulaire, à valider.
Pour documenter vos enquêtes, testez la création de votre registre.
Repères
- RGPD, articles 4.7, 12 à 14, 26 et 28
- Retours d’expérience anonymisés, été et septembre 2026
- Guide CNIL SPST, fiche 12
