Une enquête de satisfaction, un questionnaire adressé à des salariés ou une étude menée auprès de clients : dès qu’une organisation collecte des informations permettant d’identifier une personne, elle doit pouvoir expliquer ce qu’elle en fait. Le registre RGPD rempli n’est pas une simple liste de fichiers. Il décrit les opérations de traitement, leurs objectifs, les données concernées, les destinataires, les durées de conservation et les mesures de sécurité. C’est cette vision d’ensemble qui permet de relier les pratiques quotidiennes aux exigences de l’article 30 du RGPD.
Pour une PME, le travail commence souvent par un cas concret. Une entreprise fictive, Atelier Lisière, souhaite interroger ses clients après un achat. Son exemple de registre RGPD doit distinguer les coordonnées utilisées pour envoyer le questionnaire des réponses recueillies, préciser qui y accède et fixer une durée de conservation cohérente avec la finalité. Il faut aussi vérifier si l’enquête est réellement anonyme : un commentaire libre, une adresse électronique ou un identifiant de commande peuvent permettre de reconnaître un répondant. Le registre devient alors un outil de décision, autant qu’un document de conformité.
En bref
- L’article 30 demande de documenter les traitements, avec des informations adaptées au rôle de responsable ou de sous-traitant.
- Un questionnaire n’est pas automatiquement anonyme : les réponses, les identifiants et les commentaires libres doivent être examinés ensemble.
- La finalité, la base légale, les destinataires et la durée de conservation doivent correspondre au fonctionnement réel de l’enquête.
- Un modèle de registre RGPD sert de point de départ, mais doit être adapté, vérifié et mis à jour par les équipes concernées.
- Le registre soutient la conformité au RGPD, sans remplacer l’information des personnes ni les autres obligations applicables.
Enquête et RGPD : pourquoi inscrire le questionnaire au registre
Le registre des traitements de données recense les opérations portant sur des données personnelles et aide l’organisme à rendre compte de ses choix. L’article 30 du RGPD prévoit des informations différentes selon que l’organisation agit comme responsable du traitement ou comme sous-traitant. L’obligation de tenir un registre ne se limite pas aux grandes entreprises : l’exception prévue pour certains organismes de moins de 250 salariés est encadrée, notamment lorsque les traitements ne sont pas occasionnels ou sont susceptibles de présenter un risque.
Dans le cas d’Atelier Lisière, l’enquête après achat est une activité à documenter si elle implique des données identifiantes. La finalité peut être formulée comme l’évaluation de l’expérience d’achat et l’amélioration du service, plutôt que sous une formule vague comme « analyse commerciale ». Cette précision aide ensuite à vérifier que les informations recueillies ne sont pas réutilisées sans examen pour de la prospection ou une autre activité.
Il faut enfin distinguer le registre des documents adressés aux personnes. Le registre décrit le traitement pour le pilotage interne ; la notice d’information explique aux répondants qui traite leurs données, pourquoi, sur quelle base juridique et comment exercer leurs droits. Documenter une enquête, c’est rendre visibles ses choix avant qu’ils ne deviennent des habitudes.
Distinguer réponse anonyme et donnée personnelle d’enquête
Une réponse n’est anonyme que si aucune personne ne peut être identifiée, directement ou indirectement, avec les moyens raisonnablement susceptibles d’être utilisés. Retirer le nom du questionnaire ne suffit donc pas toujours : un identifiant de commande, une adresse IP, un lien individuel ou un commentaire mentionnant un événement rare peuvent rendre le répondant reconnaissable.
Si les réponses sont véritablement anonymes dès leur collecte et qu’aucune possibilité de rapprochement n’existe, elles ne relèvent pas du RGPD en tant que données personnelles. En revanche, les coordonnées utilisées pour envoyer le questionnaire restent des données personnelles tant qu’elles sont conservées. Cette séparation, lorsqu’elle est possible, réduit les risques et clarifie le traitement des données d’enquête.
Exemple de registre RGPD rempli pour une enquête de satisfaction
Le tableau ci-dessous illustre une fiche pour l’enquête fictive d’Atelier Lisière. Les éléments sont volontairement présentés comme des choix à confirmer : la base juridique, les destinataires et les durées doivent être validés au regard du contexte réel, des informations fournies aux personnes et des obligations applicables à l’entreprise.
| Rubrique | Exemple de saisie | Point de contrôle |
|---|---|---|
| Responsable du traitement | Atelier Lisière, coordonnées professionnelles du siège ; contact du référent chargé des questions de données | Identifier l’entité qui détermine les finalités et les moyens essentiels du traitement. |
| Finalité | Mesurer la satisfaction après un achat et repérer des améliorations du parcours client | Énoncer un objectif précis, compréhensible et compatible avec les usages réels. |
| Base juridique | À déterminer et à documenter selon le contexte, les attentes raisonnables des personnes et les modalités de sollicitation | Ne pas assimiler automatiquement participation volontaire et consentement RGPD. |
| Personnes concernées | Clients ayant effectué un achat et sollicités pour répondre au questionnaire | Décrire les groupes concernés, sans inclure des catégories qui ne sont pas ciblées. |
| Catégories de données | Coordonnées de contact, référence de commande si nécessaire, réponses et commentaires libres | Limiter les questions aux informations utiles ; éviter les données sensibles sans nécessité et cadre adaptés. |
| Destinataires | Équipe expérience client ; prestataire d’enquête, le cas échéant, dans le cadre de ses instructions | Préciser les accès internes et les éventuels destinataires externes, y compris les transferts hors EEE s’il y en a. |
| Durée de conservation | Durée définie selon la finalité : séparer, si nécessaire, les coordonnées d’envoi des réponses, puis supprimer ou anonymiser les données devenues inutiles | Fixer un délai justifié et opérationnel plutôt qu’une durée indéfinie ou copiée d’un autre traitement. |
| Sécurité | Accès réservé aux personnes habilitées, authentification adaptée, transmission protégée et sauvegardes sécurisées | Décrire les mesures réellement appliquées et ajustées aux risques du traitement. |
Cette fiche n’est pas un modèle universel à recopier sans vérification. Par exemple, si le prestataire reçoit les adresses électroniques et les réponses associées, le risque de rapprochement est différent de celui d’un questionnaire dont les réponses sont séparées des coordonnées avant analyse. La qualité du registre tient à l’exactitude de la description, pas au nombre de colonnes remplies.
Comment traiter les réponses libres et les informations sensibles
Une question ouverte semble parfois anodine, mais elle peut conduire une personne à révéler des éléments concernant sa santé, ses opinions ou sa situation familiale. Si ces informations ne sont pas nécessaires à l’objectif de l’enquête, mieux vaut reformuler la question, limiter les champs libres ou avertir les répondants de ne pas y inscrire de données sensibles.
Une enquête portant intentionnellement sur des catégories particulières de données appelle une analyse juridique spécifique, notamment quant à la condition autorisant leur traitement et aux garanties nécessaires. Le registre doit refléter ce qui est réellement collecté, et non la seule intention initiale du concepteur du questionnaire.
Remplir un modèle de registre RGPD sans laisser de zones grises
Un questionnaire de conformité RGPD adressé aux équipes peut aider à repérer les activités qui échappent aux procédures formelles. Les fonctions commerciales connaissent les campagnes et les fichiers de contacts ; les ressources humaines recensent les enquêtes internes ; l’informatique identifie les outils, les accès et les lieux d’hébergement. Le registre gagne en fiabilité lorsque ces connaissances sont confrontées plutôt que rassemblées dans un seul service.
Pour chaque enquête, l’organisation peut suivre une progression simple. Elle permet de passer de la collecte observée à une fiche suffisamment précise pour être utile lors d’une évolution du questionnaire, d’un changement de prestataire ou d’une demande d’exercice de droits.
- Recenser les étapes : préciser comment les personnes sont sélectionnées, contactées, interrogées et informées.
- Cartographier les données : distinguer les coordonnées d’envoi, les réponses, les identifiants techniques et les informations saisies librement.
- Définir la finalité et la base juridique : vérifier que les deux correspondent aux opérations réellement menées.
- Identifier les accès et prestataires : noter les équipes concernées, les outils utilisés et les éventuels transferts de données.
- Fixer le cycle de vie : déterminer quand les données sont supprimées, archivées ou rendues anonymes, selon les obligations applicables.
- Décrire la sécurité et les responsabilités : consigner les protections en place et désigner les personnes chargées des mises à jour.
La démarche concerne aussi les organismes qui réalisent des enquêtes pour le compte de clients. Un sous-traitant tient un registre des catégories d’activités effectuées pour ses clients, conformément aux exigences qui lui sont applicables, tandis que le responsable du traitement décrit les opérations dont il détermine les finalités et les moyens. Cette distinction évite qu’une responsabilité soit supposée assumée par l’autre partie.
Pour une enquête conduite auprès de candidats ou de salariés, les enjeux dépassent la rédaction du registre : les informations demandées doivent rester pertinentes au regard de l’objectif poursuivi. Un éclairage sur l’analyse de la CNIL concernant les pratiques de recrutement permet de situer ces questions dans un autre contexte professionnel, où la proportionnalité de la collecte est également déterminante.
Erreurs fréquentes dans un registre RGPD d’enquête
La première erreur consiste à inscrire un intitulé trop large, tel que « gestion des clients », sans expliquer le rôle du questionnaire. Une description précise aide à détecter une réutilisation inattendue des réponses, par exemple leur intégration à une campagne commerciale alors que les personnes avaient été sollicitées pour évaluer un service.
Une autre difficulté tient aux durées de conservation copiées d’une autre fiche ou fixées sans lien avec le besoin. Les coordonnées nécessaires à l’envoi peuvent ne pas devoir être conservées aussi longtemps que des résultats agrégés, à condition que la séparation soit effective et que les durées choisies soient justifiées.
- Confondre anonymisation et pseudonymisation : remplacer un nom par un code n’anonymise pas les réponses si une table de correspondance subsiste.
- Oublier les outils : une plateforme de sondage, un service d’envoi ou un tableur partagé peut faire partie du parcours des données.
- Décrire une sécurité théorique : les accès et protections mentionnés doivent correspondre aux pratiques réellement en place.
- Ne pas mettre à jour la fiche : un nouveau prestataire, une nouvelle question ou une nouvelle finalité peut modifier le traitement.
- Présenter le registre comme une preuve suffisante : il ne remplace ni l’information des répondants, ni la gestion de leurs droits, ni les autres mesures de conformité nécessaires.
Une revue régulière, associant les équipes qui conçoivent et administrent les questionnaires, transforme ces vérifications en réflexe de travail. Un registre fiable est un document vivant : il suit les changements de l’enquête au lieu de les découvrir après coup.
Choisir et adapter un modèle de registre
Un tableur peut convenir à une structure qui gère un nombre limité de traitements, à condition de prévoir un responsable, une date de mise à jour et une méthode de validation. La CNIL propose un modèle simplifié au format ouvert ODS, compatible avec plusieurs logiciels de tableur, comprenant notamment des éléments d’accompagnement, une liste de traitements et des fiches à compléter.
Pour les activités d’enquête, une fiche complémentaire peut documenter le parcours du questionnaire : outil de diffusion, séparation éventuelle des coordonnées et des réponses, modalités d’information, accès aux résultats et procédure de suppression. Ce complément ne remplace pas les mentions requises par l’article 30 ; il rend leur mise en œuvre plus concrète.
Une ressource consacrée au cadre de protection des données dans les processus de recrutement peut également servir de point de comparaison lorsque l’organisation interroge ses candidats ou ses salariés. Le contexte diffère d’une enquête client, mais la même exigence demeure : recueillir uniquement ce qui est pertinent et expliquer les usages prévus.
Faire du registre des traitements un outil de pilotage
Une fiche bien tenue permet de répondre plus facilement à des questions concrètes : quelles équipes peuvent consulter les réponses, le prestataire agit-il uniquement sur instruction, les coordonnées doivent-elles encore être conservées, et le questionnaire doit-il être modifié avant la prochaine campagne ? Ces vérifications réduisent les écarts entre le discours de conformité et les pratiques de terrain.
Le registre facilite aussi les échanges avec les clients et partenaires qui demandent comment les données sont protégées. Il ne constitue pas, à lui seul, une garantie de conformité, mais il offre une base documentée pour expliquer les responsabilités, les flux et les mesures retenues. Pour une PME, cette lisibilité peut rendre les arbitrages plus simples lorsque de nouveaux outils ou usages sont envisagés.
La protection des données personnelles dépend enfin de la compréhension des personnes qui manipulent les réponses. Une consigne claire sur les commentaires libres, les exports et le partage des résultats complète la fiche : le document prend alors place dans une pratique collective plutôt que dans un dossier consulté seulement lors d’un contrôle.
Le registre RGPD est-il obligatoire pour une petite entreprise qui réalise des enquêtes ?
L’article 30 prévoit une obligation de tenue du registre, avec une exception encadrée pour certains organismes de moins de 250 salariés. Cette exception ne s’applique notamment pas lorsque les traitements sont susceptibles de présenter un risque, ne sont pas occasionnels ou portent sur certaines données sensibles ou relatives aux condamnations et infractions.
Quelles informations inscrire pour un questionnaire de satisfaction ?
La fiche décrit notamment le responsable du traitement, la finalité, les personnes concernées, les catégories de données, les destinataires, les durées de conservation et les grandes mesures de sécurité. Elle doit refléter les opérations réelles, y compris les outils et prestataires mobilisés.
Un questionnaire sans nom est-il forcément anonyme ?
Non. Un identifiant de commande, un lien individuel, une adresse IP ou des détails contenus dans une réponse libre peuvent permettre de reconnaître une personne. Il faut examiner les possibilités de rapprochement et distinguer les réponses anonymes des données simplement pseudonymisées.
Un modèle de registre RGPD suffit-il à démontrer la conformité ?
Non. Un modèle facilite la structuration des informations, mais il doit être adapté et maintenu à jour. Il ne remplace pas l’information des personnes, la gestion de leurs droits, le choix d’une base juridique appropriée ni les mesures de sécurité nécessaires.
