Réponse courte
Un seuil de restitution RH est une règle de diffusion, pas une garantie d’anonymat. Examinez le résultat avec ses filtres, ses totaux, les rapports déjà accessibles et les informations connues du lecteur. Fixez les règles avant la collecte, puis testez l’ensemble de la restitution. Un commentaire reconnaissable exige une revue propre, même si le groupe dépasse le seuil.
Ce guide sert à préparer une diffusion. Il ne choisit pas le canal de collecte et ne calcule pas la participation. Ces deux étapes sont traitées dans le guide des canaux d’écoute et la fiche des taux de réponse.
Distinguer le seuil, l’agrégation et l’anonymisation
| Notion | Question pratique |
|---|---|
| Seuil de restitution | En dessous de combien de répondants cette cellule n’est-elle pas affichée ? |
| Agrégation | Quels dossiers sont réunis dans le chiffre ou le thème présenté ? |
| Pseudonymisation | Un identifiant a-t-il été remplacé tout en conservant un moyen de retrouver la personne ? |
| Anonymisation | La personne reste-t-elle identifiable dans le contexte de diffusion ? |
L’ICO distingue anonymisation et pseudonymisation. Lorsqu’une organisation conserve les informations permettant de retrouver une personne, remplacer son nom ne rend pas ces données anonymes pour ce traitement. Produire un agrégat à partir de données personnelles constitue aussi un traitement, même si la sortie finale est effectivement anonyme.
Cette distinction relève du cadre britannique expliqué par l’ICO. Les exigences applicables à une organisation US, UK ou présente dans plusieurs juridictions doivent être qualifiées pour son traitement précis. Le guide ICO indique être en réexamen à la suite du Data (Use and Access) Act : vérifiez sa version au moment de définir votre politique.
Regarder ce que le destinataire peut rapprocher
Le test de ré-identification proposé par l’ICO examine les moyens raisonnablement susceptibles d’être utilisés et les informations accessibles à une personne cherchant à identifier quelqu’un. Pour une restitution interne, le destinataire peut déjà connaître les équipes, les changements de poste et les événements locaux. Il faut aussi considérer les autres rapports auxquels il a accès.
Préparez un dossier de diffusion plutôt qu’une validation isolée de chaque case. La fiche suivante est une proposition de travail pour les responsables RH, données et confidentialité :
| Champ | À documenter avant diffusion |
|---|---|
| But | La décision qui justifie le résultat |
| Audience | Les rôles destinataires et les possibilités de transfert |
| Population | Les personnes susceptibles d’avoir contribué |
| Découpages | Les filtres et regroupements disponibles |
| Règle numérique | Le seuil retenu et son application aux comptes, taux et moyennes |
| Autres sorties | Totaux, rapports antérieurs, captures et exports comparables |
| Texte | Les détails et formulations qui pourraient désigner une personne |
| Mesure retenue | Regroupement, masquage, retrait d’un filtre ou absence de diffusion |
| Décision | Le responsable, la date, les limites et le prochain contrôle |
Un tableau de dix répondants n’est pas automatiquement sûr parce qu’il dépasse un plancher de cinq. La question reste ce que le public concerné peut en déduire. Un accès limité réduit certaines possibilités de rapprochement ; il ne remplace pas l’examen du contenu.
Exemple fictif : une case masquée reste calculable
Une entreprise fictive de services prépare une restitution commune pour ses responsables de Glasgow et de Cleveland. Le tableau ci-dessous compte les personnes ayant terminé une collecte. Le projet a retenu un plancher de cinq pour cet affichage.
| Résultat proposé | Équipe A | Équipe B | Total |
|---|---|---|---|
| Personnes ayant terminé | Masqué | 9 | 13 |
La case A respecte visuellement le masquage prévu, mais sa valeur est 13 − 9 = 4. Le destinataire peut la retrouver immédiatement. Ce calcul révèle un petit effectif protégé ; il ne révèle pas nécessairement une réponse individuelle, mais invalide la protection recherchée pour cette cellule.
L’ONS explique la suppression secondaire : d’autres cases doivent parfois être masquées pour empêcher la reconstruction à partir des totaux. Sa politique porte sur des statistiques officielles de naissances et décès, pas sur un seuil obligatoire pour les entreprises. Le problème de soustraction reste une vérification utile pour ce tableau RH.
L’équipe examine deux propositions. La première conserve B mais retire le total ; la seconde publie uniquement un résultat combiné, si ce niveau sert encore la décision. Avant de choisir, elle vérifie que le total n’apparaît pas déjà dans un rapport accessible. Masquer une case dans le nouveau fichier ne retire pas une information précédemment distribuée.
Le dossier enregistre la version refusée, le calcul qui l’a invalidée, les sorties comparées et la version autorisée. Une nouvelle répartition d’équipe ou un nouveau filtre impose de refaire cette revue. L’exemple montre un contrôle précis, pas une garantie universelle pour la solution retenue.
Traiter les extraits comme une diffusion distincte
Imaginez ce commentaire fictif : « Depuis mon passage de l’équipe de nuit au service technique après la fermeture d’avril, je n’ai plus le même accès. » Même sans nom, la combinaison d’un mouvement, d’une période et d’une fonction peut être reconnaissable localement. Remplacer seulement le nom du site ne règle pas forcément le problème.
Pour chaque extrait envisagé, le relecteur doit se demander :
- Quel détail est nécessaire pour préparer l’action ?
- Qui pourrait reconnaître la situation avec les autres informations disponibles ?
- Une reformulation fidèle permet-elle de garder le point utile avec moins de détails ?
- La reformulation introduit-elle une interprétation ou efface-t-elle un désaccord ?
- Si le sens ne peut être conservé dans une forme adaptée au public, faut-il renoncer à diffuser l’extrait ?
Dans cet exemple, une synthèse pourrait signaler un problème d’accès après une mobilité sans reproduire le parcours précis. Il resterait à vérifier que le groupe et le contexte ne désignent pas la même personne. Une citation ne doit pas devenir une preuve décorative obtenue au prix de la promesse faite aux participants.
Fixer une règle que l’on peut appliquer
Consignez avant la collecte le public, les regroupements, le seuil, les accès, le traitement des textes et la personne qui autorise la diffusion. Expliquez aux participants qui reçoit des réponses, des briefs ou des résultats groupés, sans résumer des règles différentes par le seul mot « anonyme ».
Lorsqu’une demande nouvelle arrive après lecture des résultats, examinez-la comme une nouvelle diffusion. Il ne suffit pas d’abaisser discrètement le seuil parce qu’une petite équipe intéresse un comité. Si la sortie utile n’est pas compatible avec les engagements et les contrôles, le dossier peut conclure à un niveau plus large ou à l’absence de restitution de ce détail.
Le contrôle doit aussi s’appliquer aux captures, exports et documents de présentation. Une règle dans un écran n’établit pas le comportement d’un autre mode de partage. Vérifiez les options réellement disponibles dans le produit utilisé et le processus de l’organisation.
Appliquer la fiche au périmètre Lontra
Lontra accompagne des conversations ciblées avec des collaborateurs invités et prépare des briefs pour une discussion humaine. Les managers ne reçoivent pas les réponses brutes. Les vues RH agrégées appliquent un seuil minimal de cinq répondants ; cette règle produit ne garantit pas, à elle seule, l’anonymat dans tous les contextes.
Utilisez la fiche pour examiner votre population, les rôles, les regroupements et les informations déjà accessibles aux destinataires. L’objectif est de préparer une action pertinente avec le niveau de détail autorisé. La décision de diffusion et l’interprétation restent humaines.
L’essai couvre une campagne, jusqu’à 30 invitations et 60 jours, sans carte bancaire. Définissez les règles de restitution avant d’inviter les participants et vérifiez le parcours dans votre configuration. Un essai limité ne prouve pas la sûreté de tous les futurs découpages ou usages.
Questions fréquentes
Cinq réponses suffisent-elles à garantir l’anonymat ?
Non. Un seuil empêche certains affichages sur de petits groupes, mais un lecteur peut encore reconnaître une personne grâce aux filtres, aux totaux, aux rapports antérieurs, aux détails d’un commentaire ou à ce qu’il sait déjà.
Que faire si un résultat masqué peut être recalculé ?
Revoyez l’ensemble des informations accessibles au même public. Il peut être nécessaire de masquer une autre valeur ou un total, de retirer un découpage ou de publier un groupe plus large, puis de vérifier à nouveau les rapprochements possibles.
Un commentaire devient-il anonyme au-dessus du seuil ?
Non. Une fonction rare, une date, un événement ou une formulation peuvent rendre une personne reconnaissable. Examinez chaque extrait dans son contexte et choisissez une reformulation, une réduction du détail ou une absence de diffusion si nécessaire.
