Le 9 juillet 2024, la CNIL a publié, sur son site internet un projet de recommandations sur les enquêtes de mesure de la diversité au travail. Ce projet était soumis à consultation jusqu’au 13 septembre 2024. De sorte qu’une version finalisée de recommandations en la matière devrait être publiée sous peu sur le site internet de la CNIL. De telles recommandations sont apparues particulièrement nécessaires pour la CNIL, dans un contexte où pour lutter contre les discriminations, de nombreuses administrations et entreprises souhaitent mesurer la diversité au sein de leurs effectifs.
Si ce type de démarche n’est pas prohibée, la CNIL entend néanmoins via cette consultation et les recommandations à intervenir rappeler la nécessité de porter une attention renforcée au respect de la réglementation inhérente à la protection des données personnelles. Aussi, à ce titre, la CNIL plébiscite fortement le caractère directement anonyme des enquêtes (ce qui suppose néanmoins toute incapacité de réidentification de la personne via les réponses apportées). A défaut d’une telle possibilité, la CNIL formule différentes recommandations pour garantir la conformité des enquêtes de diversité au RGPD, parmi lesquelles :
- L’établissement claire de la finalité poursuivie par l’enquête, laquelle ne saurait concourir qu’à l’amélioration de l’égalité des chances au travail et non fonder des décisions individuelles ;
- Le recours à l’intérêt légitime comme base juridique du traitement ;
- Le caractère facultatif des réponses apportées par les participants ;
- La limitation des données traitées via notamment une restriction forte des zones libres de commentaire ;
- Le recours à un tiers de confiance pour favoriser la confidentialité des données recueillies ;
- Des précautions renforcées en cas de réalisation desdites enquêtes directement par internet (page web dédiée, cloisonnement des environnements, exclusion du recours à des identifiants personnels) ;
- La consolidation des résultats sous forme anonymisée et la suppression des données personnelle dès leur analyse et leur agrégation.
Au-delà et à l’instar de l’ensemble des activités de traitement de données personnelles, la CNIL exige une information parfaitement transparente des personnes concernées sur cette activité de traitement ainsi qu’une contractualisation conforme aux exigences du RGPD avec les éventuels prestataires ou partenaires associés audit traitement.
Enfin, il sera noté utilement, à ce stade que la CNIL semble privilégier pour ce type de traitement la réalisation préalable d’une analyse d’impact relative à la protection des données (AIPD), laquelle permettra précisément de vérifier que les recommandations précitées ont bien été respectées. Il convient donc de rester en alerte sur la publication prochaine des recommandations définitives de la CNIL sur ce sujet sensible.