Interroger des personnes, c'est collecter des données les concernant : réponses, mais aussi âge, profession, commune, parfois opinions politiques ou données de santé. Le règlement général sur la protection des données et la loi Informatique et Libertés s'appliquent pleinement. La question n'est pas de savoir si une enquête est concernée, mais qui en répond juridiquement, et selon quelles garanties.

Qui est responsable de traitement ?

Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement. Dans une enquête commandée par une collectivité à un institut, la collectivité fixe l'objectif et le périmètre : elle est responsable de traitement, l'institut agissant comme sous-traitant. Il arrive que l'institut soit responsable conjoint, voire seul responsable, lorsqu'il conçoit et exploite l'enquête pour son propre compte. Cette qualification doit être tranchée et écrite, car elle détermine qui informe les personnes et qui répond en cas de manquement.

La base légale : l'article 6 du RGPD

Tout traitement doit reposer sur l'une des bases légales limitativement énumérées à l'article 6 du RGPD. Pour une enquête d'opinion, deux voies dominent. Le consentement, libre, spécifique, éclairé et univoque, lorsque la participation est volontaire et que les données sont sensibles. L'intérêt légitime, lorsque le traitement est proportionné et que les personnes peuvent raisonnablement s'y attendre. Une collectivité peut également invoquer l'exécution d'une mission d'intérêt public. Le choix n'est pas indifférent : il commande les droits ouverts aux personnes, notamment le droit d'opposition.

Les données sensibles : un régime renforcé

Les opinions politiques, les convictions religieuses, l'appartenance syndicale, les données de santé ou l'orientation sexuelle relèvent de l'article 9 du RGPD : leur traitement est en principe interdit, sauf exception, dont le consentement explicite. Une enquête électorale, un baromètre sur l'accès aux soins ou une étude sur la santé mentale entrent directement dans ce champ. La conséquence pratique est lourde : recueil d'un consentement spécifique, information renforcée, et le plus souvent réalisation d'une analyse d'impact relative à la protection des données.

Informer les personnes : articles 13 et 14

Au moment de la collecte, la personne interrogée doit recevoir une information claire : identité du responsable de traitement, finalités, base légale, destinataires, durée de conservation, existence des droits d'accès, de rectification, d'effacement, de limitation et d'opposition, ainsi que le droit de saisir la CNIL. Lorsque les données ne sont pas collectées directement auprès de la personne — panel constitué par un tiers, fichier transmis par la collectivité —, l'article 14 impose une information équivalente et l'indication de la source.

Minimisation, durée, sécurité

Le principe de minimisation interdit de collecter des données qui ne serviront pas à l'analyse. Une question sur le revenu exact, alors qu'une tranche suffirait, est une non-conformité. La durée de conservation doit être définie a priori et proportionnée à la finalité : les données directement identifiantes n'ont normalement pas à être conservées au-delà de l'apurement de la base. L'anonymisation, lorsqu'elle est effective et irréversible, fait sortir les données du champ du RGPD ; la simple pseudonymisation, non.

La sous-traitance : article 28

Le recours à un institut suppose un contrat de sous-traitance conforme à l'article 28 du RGPD : objet, durée, nature et finalité du traitement, catégories de données et de personnes concernées, obligations et droits du responsable. Le sous-traitant ne traite les données que sur instruction documentée, garantit la confidentialité, assiste le responsable dans la gestion des demandes de droits et des violations, et n'engage pas de sous-traitant ultérieur — panel, plateforme de collecte, hébergeur — sans autorisation. Vérifier cette chaîne fait partie de l'analyse des offres.

Questions fréquentes

Une enquête anonyme est-elle soumise au RGPD ?

Si l'anonymisation est réalisée après la collecte, le RGPD s'applique à toute la phase de collecte et de traitement des données identifiantes. Seules des données véritablement anonymes, c'est-à-dire non réidentifiables, échappent au règlement.

Les opinions politiques peuvent-elles être collectées ?

Oui, mais elles relèvent des catégories particulières de l'article 9 du RGPD. Leur traitement suppose une base spécifique, en pratique le consentement explicite, ainsi qu'une information renforcée et, le plus souvent, une analyse d'impact.

Faut-il déclarer l'enquête à la CNIL ?

Non, le régime de déclaration préalable a disparu avec le RGPD. Il est remplacé par une logique de responsabilité : registre des traitements, analyse d'impact lorsque le risque est élevé, et documentation des choix. La CNIL contrôle a posteriori.