Données des répondants : ce que le RGPD impose vraiment à un institut de sondage

Il existe une croyance tenace selon laquelle la recherche d'opinion, parce qu'elle agrège et anonymise, échapperait largement au RGPD. C'est faux. Au stade de la collecte, vous manipulez des données directement identifiantes : numéro de téléphone, e-mail, adresse, parfois nom. Et même au stade de l'analyse, des croisements de variables fines peuvent réidentifier un individu. Tant que la réidentification est possible, vous traitez des données personnelles.

Vous êtes donc responsable de traitement au sens du règlement. Cela vous impose une série d'obligations que l'urgence du terrain fait souvent négliger :

• déterminer et documenter une base légale pour chaque enquête ;
• informer le répondant de manière claire et concise au moment de la collecte ;
• tenir un registre des activités de traitement ;
• respecter les principes de minimisation et de limitation de conservation ;
• permettre l'exercice des droits (accès, effacement, opposition).

La base légale la plus courante en études est l'intérêt légitime, qui dispense de recueillir un consentement formel pour chaque appel — à condition d'avoir mené et documenté la mise en balance entre votre intérêt et les droits du répondant, et d'offrir un droit d'opposition simple. Le consentement explicite, lui, redevient obligatoire pour les panels rémunérés et pour les données sensibles.

Le RGPD distingue les données ordinaires des données sensibles, dont le traitement est en principe interdit sauf exception. Or les enquêtes d'opinion en collectent fréquemment sans que l'institut en ait pleinement conscience :

• les opinions politiques (intentions de vote, sympathie partisane) ;
• les convictions religieuses ou philosophiques ;
• l'état de santé (enquêtes médico-sociales, baromètres bien-être) ;
• l'orientation sexuelle ou l'origine ethnique perçue (études sociétales).

Un baromètre politique manipule des données sensibles à chaque vague. Ce n'est pas une étude « comme les autres » du point de vue du RGPD.

Le traitement de ces données suppose une base juridique renforcée : le plus souvent le consentement explicite du répondant, ou une exception prévue par la loi pour la recherche. Cela impose une information spécifique, une sécurité accrue et, presque toujours, la conduite d'une analyse d'impact relative à la protection des données (AIPD) lorsque le traitement est susceptible d'engendrer un risque élevé. Lancer un baromètre politique annuel sans AIPD documentée est une non-conformité caractérisée.

Peu d'instituts réalisent tout en interne. Vous mobilisez des plateformes de terrain téléphonique, des fournisseurs de panels en ligne, des enquêteurs indépendants, des outils d'envoi d'e-mails. Au sens du RGPD, ce sont des sous-traitants — et c'est là que se loge un risque majeur, parce que le responsable de traitement répond des manquements de ses sous-traitants.

L'article 28 du RGPD impose un contrat de sous-traitance écrit qui encadre précisément : l'objet et la durée du traitement, les instructions documentées, les mesures de sécurité, le sort des données en fin de mission, et l'interdiction de sous-traiter à votre insu. Sans ce contrat, deux risques cumulés :

1. une non-conformité directement sanctionnable par la CNIL ;
2. une responsabilité solidaire si le panel ou la plateforme subit une fuite : c'est votre fichier de répondants qui est exposé, et c'est vous que les personnes concernées et la CNIL viendront chercher.

Auditez vos sous-traitants : où sont hébergées les données ? Hors Union européenne ? Avec quelles garanties de transfert ? Un panel hébergé hors UE sans cadre de transfert valide est une bombe à retardement réglementaire. Cette cartographie de votre chaîne de données est aussi l'information que votre assureur cyber vous demandera pour calibrer votre couverture.

Le scénario que le RGPD redoute le plus est la violation de données : un fichier de répondants exfiltré après une intrusion, un panel piraté, un envoi groupé en clair par erreur, un ordinateur portable d'enquêteur volé. Dès qu'une violation présente un risque pour les droits des personnes, deux obligations se déclenchent :

• Notifier la CNIL sous 72 heures après en avoir pris connaissance ;
• Informer les personnes concernées sans délai si le risque est élevé.

Au-delà des sanctions possibles, c'est la gestion de crise qui coûte cher : expertise informatique pour qualifier la fuite, accompagnement juridique pour la notification, communication vers des milliers de répondants, parfois reconstitution du système. Pour un institut dont l'actif central est sa base de répondants et sa réputation de confidentialité, une fuite est un sinistre existentiel.

C'est exactement le périmètre d'une assurance cyber : prise en charge des frais de notification et de gestion de crise, expertise forensique, accompagnement CNIL, frais de défense, et selon les contrats, les conséquences d'une réclamation des personnes concernées. Combinée à une RC Professionnelle, elle complète la protection d'un métier dont la matière première est, littéralement, la donnée personnelle. Les garanties à privilégier pour votre activité sont détaillées sur la page assurance institut de sondage.

La conformité RGPD d'un institut ne se décrète pas une fois par an ; elle s'inscrit dans chaque vague d'enquête. Voici les réflexes à industrialiser.

1. Une mention d'information standardisée par mode de collecte (téléphone, web, terrain), prête à l'emploi pour chaque enquêteur, indiquant l'identité du responsable, la finalité, la base légale et le droit d'opposition.
2. Une durée de conservation définie par finalité : pourquoi garder un fichier nominatif au-delà de la livraison du rapport ? Pseudonymiser ou anonymiser dès que possible réduit drastiquement le risque.
3. Un registre vivant des traitements mis à jour à chaque nouvelle étude, pas reconstitué dans l'urgence d'un contrôle.
4. Des contrats article 28 signés avec chaque plateforme, panel et enquêteur indépendant, sans exception.
5. Un plan de réponse à incident écrit, avec les contacts de votre assureur cyber, pour tenir le délai de 72 heures sans improviser.

Ces réflexes ne sont pas un coût administratif : ils sont la condition de votre crédibilité auprès des commanditaires sérieux, qui exigent de plus en plus des garanties de conformité avant de vous confier une étude.