Afin de lutter contre les discriminations au travail, de nombreux organismes publics ou privés souhaitent favoriser la diversité au sein de leurs effectifs.
Une telle démarche commence habituellement par un état des lieux afin d’établir s’il existe une inégalité manifeste qui justifie la prise de mesures d’action positive.
L’employeur souhaite donc réaliser une enquête, souvent autoadministrée, portant par hypothèse des données sensibles (origine, handicap, etc.).
Or, le traitement de ce type de données est soumis à des règles strictes en application des réglementations applicables en matière de protection des données à caractère personnel. Il faut donc être prudent !
Le 10 avril 2025, l’autorité française de protection des données (CNIL) a publié une recommandation relative au traitement des données à caractère personnel dans le cadre d’enquêtes de mesure de la diversité au travail. Dans cette recommandation, la CNIL rappelle les règles à respecter lorsqu’une enquête de diversité est menée et préconise une série de bonnes pratiques.
Les principes fondamentaux
Participation entièrement volontaire
- La participation à l’enquête doit être facultative,
- La réponse à chaque question doit être facultative (prévoir systématiquement une case « je ne veux pas répondre »),
- Les travailleurs ne doivent en aucun cas subir des conséquences négatives s’ils refusent de répondre à l’enquête ou à certaines des questions.
Anonymisation des questionnaires
La meilleure manière de s’assurer que les données des travailleurs soient protégées est de concevoir le formulaire de manière entièrement anonyme.
Cela signifie que le questionnaire ne doit permettre, à aucun moment, d’identifier le travailleur qui l’a rempli. Pour ce faire :
- Le formulaire ne doit contenir aucune donnée permettant d’identifier directement ou indirectement le travailleur (nom, prénom, matricule, adresse mail, adresse postale, identifiants, adresse IP, etc.)
Par exemple, le formulaire n’est pas anonyme s’il demande aux travailleurs d’indiquer leur tranche d’âge (0-25 ans, 26-35 ans, 36-45 ans, etc.) alors que l’entreprise ne compte qu’un seul travailleur âgé de moins de 25 ans.
- Les réponses fournies par le travailleur ne doivent pas non plus permettre de l’identifier.
À cette fin, l’employeur privilégiera des questions à choix multiples en s’assurant que les propositions de réponses ne permettent pas d’individualiser le répondant.
De plus, l’enquête doit limiter au maximum le recours aux champs libres dans lesquels les travailleurs peuvent inscrire des réponses qui révéleraient leur identité.
Si les données fournies par l’intermédiaire de l’enquête sont anonymes, ces données ne constituent pas des données à caractère personnel et ne sont pas soumises au RGPD.
En revanche, s’il n’est pas possible d’anonymiser entièrement le formulaire, l’employeur doit veiller à traiter les données conformément au RGPD.
Base de licéité du traitement
Dans sa recommandation, la CNIL reconnaît que l’intérêt légitime de l’employeur à mesurer la diversité au sein de son entreprise et de promouvoir l’égalité des chances justifie le traitement des données à caractère personnel des travailleurs.
Cependant, les données collectées dans le cadre de ces enquêtes révèlent la plupart du temps des données sensibles sur les travailleurs comme leur origine ou encore leurs données de santé (handicap), etc.).
Le traitement de ces données sensibles n’est possible que si l’employeur a récolté un consentement libre, éclairé et explicite du travailleur.
Garanties
En tant que responsable du traitement, l’employeur doit également veiller à :
- N’utiliser les données récoltées par l’enquête que pour la finalité de lutter contre les discriminations au sein de l’entreprise,
- Informer les travailleurs des traitements envisagés ainsi que des droits dont ils disposent sur leurs données (droit d’accès, droit d’opposition, droit de retirer leur consentement, droit à l’effacement, etc.),
- Réaliser préalablement une analyse d’impact relative à la protection des données pour identifier et encadrer les risques liés aux traitements de données sensibles.
Notre conseil :
Voici nos bonnes pratiques à respecter :
- Réaliser une analyse d’impact préalablement à la mise en œuvre du traitement,
- S’assurer du caractère strictement volontaire et facultatif de l’enquête,
- Recourir à des formulaires entièrement anonymisés,
- À défaut, recourir de préférence à un tiers de confiance pour assurer que l’employeur ne puisse accéder aux données individuelles,
- À défaut, s’assurer que seules les données strictement nécessaires à l’enquête sont recueillies et que l’employeur a un accès strictement basé sur le « need-to-know »,
- Obtenir le consentement explicite des travailleurs,
- Sécurisation technique des plateformes si l’enquête est réalisée en ligne,
- Proscrire les zones de commentaires libres, privilégier les choix multiples et les tranches d’âges plutôt que les données exactes,
- Informer les travailleurs sur les traitements envisagés et sur les droits dont ils disposent sur leurs données,
- Encadrer les traitements des données par des contrats avec les prestataires amenés à traiter ces données,
- Supprimer les données immédiatement après en avoir tiré les statistiques souhaitées.