Un entretien de sortie confidentiel exige une promesse précise avant la participation : qui peut consulter la source, ce que les managers recevront, comment les petits groupes seront protégés, quels sujets seront transmis à une voie compétente et quand les données seront supprimées. Le mot « confidentiel » ne remplace pas ces décisions.
Employer les bons termes
Trois notions sont souvent confondues :
- confidentiel : des informations identifiables restent accessibles à des personnes autorisées selon des règles annoncées ;
- anonyme : la personne ne peut pas être identifiée par des moyens raisonnablement susceptibles d’être utilisés à partir des données et du contexte disponibles ;
- désidentifié : les identifiants directs ont été retirés ou séparés, mais le contexte peut encore permettre une réidentification.
Dans un processus de départ, l’employeur sait déjà qui quitte l’organisation. Une fonction rare, un dernier jour, un site, une citation ou un incident connu peut rendre la personne reconnaissable. Dites « confidentiel » si un administrateur ou un analyste peut ouvrir une trace nominative. Un seuil de restitution réduit un risque ; il ne garantit pas l’anonymat.
Écrire la notice avant l’invitation
La CNIL rappelle que les personnes doivent notamment être informées de l’objectif du fichier, de la base légale, du caractère obligatoire ou facultatif des réponses, des destinataires, de la durée de conservation et de leurs droits. Elle précise aussi que l’accès aux données de personnel doit être limité aux personnes habilitées selon leurs missions.
Une notice compréhensible répond à ces questions :
| Question de la personne | Décision à annoncer |
|---|---|
| Pourquoi me sollicitez-vous ? | Finalité précise du programme |
| Sur quelle base traitez-vous les données ? | Base légale retenue et documentée |
| Puis-je refuser ? | Participation, questions facultatives et conséquence d’un refus |
| Que gardez-vous ? | Réponses, notes, audio éventuel, métadonnées et champs de groupe |
| Qui voit la source ? | Rôles autorisés, accès d’assistance éventuel et exceptions |
| Que reçoit le manager ? | Thèmes revus, brief, extrait autorisé ou autre restitution |
| Comment protégez-vous un petit groupe ? | Filtres bloqués, regroupement, délai ou suppression d’un détail |
| Quelles sont les limites ? | Situations nécessitant une escalade ou une divulgation autorisée |
| Combien de temps gardez-vous les données ? | Durée ou critères par type de trace |
| À qui poser une question ? | Contact RH ou protection des données et droits applicables |
La notice courte de l’invitation doit renvoyer vers l’information complète. Elle doit correspondre au système réel, y compris exports, notifications, sauvegardes et accès du support.
Construire une matrice d’accès
Attribuez à chaque rôle le minimum nécessaire au but annoncé, puis testez les droits dans le produit utilisé.
| Rôle | Besoin | Vue possible | Contrôle à tester |
|---|---|---|---|
| Administration | Envoyer et résoudre un problème d’accès | Statut et métadonnées minimales | Séparation entre administration et contenu |
| Analyste autorisé | Lire et coder les réponses | Source de la population approuvée | Accès nominatif, journal et revue périodique |
| Direction RH | Décider une action transverse | Thèmes revus avec dénominateurs | Filtres et liens vers la source restreints |
| Manager | Améliorer une pratique locale | Brief avec contexte et action demandée | Pas de réponses brutes par défaut |
| Direction générale | Arbitrer des ressources | Thèmes organisationnels et journal de décision | Pas de citation recherchable ni filtre identifiant |
| Assistance fournisseur | Résoudre un incident technique | Aucun contenu sauf accès approuvé et limité | Autorisation, durée, trace et fermeture |
Testez les chemins de réidentification : recherche d’une phrase rare, croisement équipe-site-ancienneté-date, notification par courriel, export, changement de filtre après affichage et accès aux sauvegardes. Une règle d’interface n’est pas suffisante si un export contourne la restriction.
Traiter les petits groupes comme identifiables
Exemple fictif : une équipe de maintenance compte cinq personnes et une seule quitte le site ce mois-ci. Son récit décrit une réunion datée et une phrase que plusieurs collègues ont entendue. Retirer son nom ne masque pas sa source. Afficher le thème « planification du travail » pour ce groupe pourrait suffire à l’identifier.
Le responsable peut regrouper ce thème avec une population plus large, retarder la restitution, paraphraser après avoir retiré le détail inutile ou ne pas le publier dans le rapport général. Si le récit contient un signalement grave, il doit suivre la procédure autorisée au lieu d’attendre un groupe plus grand.
Un minimum de cinq répondants n’est pas une garantie d’anonymat. Cinq personnes éligibles ne sont pas cinq participants ; cinq participants ne répondent pas nécessairement à la même question ; une expérience unique peut rester identifiable dans un groupe plus large.
Empêcher les recoupements successifs
Une restitution peut sembler sûre isolément et devenir identifiante lorsqu’on compare plusieurs requêtes. Exemple fictif : un tableau affiche un thème pour 12 départs d’un site. Un second filtre montre 7 personnes sur l’équipe du soir ; un troisième affiche 6 personnes après exclusion des moins de six mois. La différence entre 7 et 6 peut révéler une contribution.
La fiche de contrôle doit donc couvrir :
- les combinaisons de filtres et les différences entre deux vues ;
- les dénominateurs et valeurs manquantes ;
- les citations, dates et événements distinctifs ;
- l’historique des exports et captures ;
- le regroupement ou la suppression complémentaire lorsque plusieurs vues se recoupent.
Documentez le motif de chaque restitution. Une synthèse doit rester utile à la décision sans rendre le récit attribuable.
Séparer restitution et traitement des cas
Une conversation peut faire apparaître un sujet de discrimination, harcèlement, sécurité, fraude, santé ou paie. Une promesse selon laquelle « rien ne sortira de l’entretien » peut empêcher l’organisation d’appliquer sa procédure ou tromper la personne.
Avant le lancement :
- définissez les sujets qui exigent une revue humaine ;
- nommez le rôle autorisé à recevoir le minimum nécessaire ;
- expliquez cette limite dans la notice et au début de l’échange ;
- empêchez le rapport manager de devenir le canal du cas ;
- consignez la transmission et les accès ;
- expliquez la suite à la personne lorsque cela est possible et approprié.
Une classification automatique peut manquer un contexte ou produire une fausse alerte. Elle peut aider une personne autorisée à repérer un élément ; elle ne doit pas décider seule de l’escalade.
Fixer une conservation par trace
La CNIL explique le principe de conservation limitée : lorsque aucun texte ne fixe une durée, le responsable la détermine selon la finalité. Une donnée peut ensuite relever d’un archivage intermédiaire distinct si une obligation ou un contentieux le justifie. Cela ne fournit pas une durée universelle pour les entretiens de sortie.
Cartographiez invitation, coordonnées, version de notice, audio éventuel, transcription, réponse, code, synthèse, correction, accès et action. Pour chaque objet, écrivez la finalité, le responsable, les accès, la durée active, l’éventuel archivage et la suppression. Demandez si l’audio reste nécessaire après validation d’une transcription, ou si une citation reste nécessaire après codage du thème.
Pour une organisation britannique, l’ICO fournit un cadre sur les dossiers d’emploi. Une organisation multi-pays doit valider ses règles dans chaque juridiction et ne pas copier automatiquement une durée française ou britannique.
Restituer sans transformer les récits en verdict
Le rapport peut indiquer la population éligible, les participants, les répondants à la question, les thèmes revus, les contre-exemples, les absences de données, les contrôles de divulgation, l’action, le responsable et la date de revue. Écrivez « six répondants ont décrit… » plutôt que « les salariés pensent… ».
L’entretien de sortie complet donne un codebook et un exemple de journal de décision. La confidentialité ne doit pas vider le rapport de sa valeur ; elle oblige à conserver seulement le contexte nécessaire pour agir.
Tester le processus avec le produit
Si vous évaluez une conversation numérique, examinez l’approche produit de Lontra avec cette matrice. Dans le flux public actuel, des collaborateurs sont invités à une campagne et le manager reçoit un brief sans réponses brutes ; une personne décide de l’action. L’essai couvre une campagne, jusqu’à 30 invitations pendant 60 jours, sans carte.
Testez les droits administrateur, le risque de contexte identifiable, l’escalade, la conservation et les besoins d’export avant de présenter ce flux comme adapté à un entretien de sortie. Le seuil minimal de cinq répondants pour les vues RH agrégées est un contrôle d’affichage, pas une garantie d’anonymat.
FAQ
Un entretien de sortie est-il confidentiel ?
Il peut être traité de manière confidentielle lorsque l’employeur définit les accès, la restitution, la protection des petits groupes, la conservation et les cas d’escalade. Le mot confidentiel ne suffit pas à créer cette protection.
Confidentiel veut-il dire anonyme ?
Non. La confidentialité limite l’usage et le partage d’informations identifiables. L’anonymat signifie que la personne ne peut pas être identifiée ; dans un départ, le rôle, la date, le site ou un événement distinctif peuvent révéler son identité.
Un manager doit-il voir les réponses brutes ?
Un manager a généralement besoin d’un thème revu, de son contexte et d’une action attendue, plutôt que d’une réponse brute. La décision d’accès doit suivre la finalité annoncée, le risque d’identification et la procédure d’escalade.
Que doit expliquer la notice de confidentialité ?
Elle doit expliquer la finalité, la base légale, le caractère facultatif, les données collectées, les destinataires, les règles de restitution, les limites de confidentialité, la durée de conservation, les droits applicables et le contact utile.
