Mesure de la diversité au travail : que retenir du projet de recommandation de la CNIL publié le 9 juillet¹ ?

De nombreuses entreprises souhaitent mesurer la diversité au sein de leurs effectifs afin de corriger les éventuelles discriminations et promouvoir l’égalité des chances au travail².

Or, pour ce faire, des données personnelles sensibles sur les salariés (telles que des données relatives au handicap ou l’orientation sexuelle) peuvent être traitées. Le plus souvent, ces données sont récoltées au travers de questionnaires que l’employeur remet à ses salariés. Compte tenu du fait que de telles données touchent au particulièrement intime des individus, elles bénéficient d’un cadre très protecteur au titre du RGPD.

De surcroît, le lien de subordination entre les employeurs et les salariés rend particulièrement délicate la conduite de ces enquêtes de diversité. Enfin, la mise en œuvre de telles enquêtes doit respecter les limites posées par le Conseil constitutionnel en lien avec les données relatives à l’origine.

Compte tenu de l’ensemble de ces éléments, la CNIL a publié un projet de recommandation afin d’aider les employeurs dans leur démarche. Soucieuse d’édicter des recommandations qui tiennent compte de la réalité des pratiques, la CNIL a soumis à consultation publique son projet de recommandation. Les acteurs ont jusqu’au 13 septembre pour faire remonter à la CNIL tout commentaire qu’ils auraient quant à ce projet.

À noter que ce projet de recommandation s’inscrit dans la continuité du guide « Mesurer pour progresser vers l’égalité des chances » que la CNIL avait rédigé et publié en 2012, en collaboration avec le Défenseur des droits. Ce guide étant assez ancien et antérieur au RGPD, il est compréhensible que la CNIL ait voulu refaire le point sur ce sujet en tenant compte des nouveautés apportées par le RGPD et de l’expérience acquise depuis 2012.

Sur le fond, la CNIL adopte une position globalement similaire à celle de 2012 concernant les principes de protection des données personnelles, modulo quelques compléments et ajustements dont les principaux seront évoqués plus bas. En revanche, si le guide de 2012 contenait des modèles de clauses ou de notices d’information à fournir aux personnes dont les données sont traitées³, le projet de recommandation n’en contient pas. Certains acteurs pourraient le regretter car les modèles permettent d’avoir une base de travail et de mieux cerner ce que la CNIL attend. Néanmoins, l’absence de modèles laisse les acteurs totalement libres dans la manière de remplir leurs obligations en vertu du RGPD en termes d’information et de contractualisation avec les tiers.

La CNIL rappelle en premier lieu que les enquêtes de mesure de la diversité doivent s’accompagner de garanties appropriées afin d’assurer le respect de la vie privée des participants. Ces garanties permettraient, dans le même temps, d’instaurer un climat de confiance favorisant l’adhésion des salariés à ces enquêtes et donc leur succès.

Les recommandations de la CNIL, soumises à consultation, sont plus amplement détaillées ci-dessous. Bien sûr, elles pourront faire l’objet d’ajustements en fonction des retours que la CNIL aura obtenus lors de la phase de consultation publique.

Privilégier les enquêtes anonymes

La CNIL recommande d’assurer l’anonymat des participants dès la collecte des données. Une telle mesure constituerait une garantie forte pour les personnes concernées.

Pour ce faire, les questionnaires ne doivent pas recueillir ni mentionner d’information permettant d’identifier l’individu (nom, prénom, adresse email, etc.), ni permettre une identification de l’individu par recoupement de réponses aux questions posées ou avec d’autres fichiers.

Exemple cité par la CNIL : le recoupement d’informations relatives à l’intitulé du poste, à l’ancienneté, à l’âge et au sexe pourrait permettre de réidentifier une femme juriste de 31 ans travaillant dans un service juridique depuis huit mois, dès lors qu’elle serait la seule personne à réunir l’ensemble de ces caractéristiques.

Pour éviter les recoupements d’informations et risques de réidentification, la CNIL recommande d’inclure des formulations larges et des questions à choix multiples.

Exemple cité par la CNIL :

Quel est votre âge ?

□ moins de 25 ans ?
□ entre 25 et 35 ans ?
□ entre 36 et 45 ans ?
□ entre 46 et 55 ans ?
□ plus de 55 ans ?
□ je ne souhaite pas répondre

La taille de l’entreprise peut avoir une incidence sur le risque de réidentification par recoupement d’informations. En effet, plus une organisation est petite et plus le risque de réidentification par recoupement sera élevé. Le guide de 2012 soulignait déjà qu’une « enquête anonyme par questionnaire ne peut être envisagée qu’au sein d’organismes ayant des effectifs...