Sondaggi anonimi: quante risposte servono perché l'anonimato regga?

A ogni team HR che abbia lanciato un'indagine di clima è stata rivolta la stessa domanda da un collaboratore scettico: « come fate a sapere che è davvero anonima? ». Le risposte abituali — « lo strumento è anonimo », « non guardiamo le risposte individuali », « i risultati sono aggregati » — sono esattamente quelle che non reggono a un esame, perché nessuna descrive una proprietà dei dati. La domanda ha una risposta vera, ed è prima aritmetica e solo dopo diritto.

Questo articolo fornisce i numeri concreti, il ragionamento che li sorregge e lo strato di diritto del lavoro che vi si sovrappone — l'art. 328b CO, che limita ciò che un datore di lavoro può trattare a prescindere da ciò che i collaboratori accettano.

Si può condurre un'indagine di soddisfazione in forma anonima?

Sì — e riuscirci davvero rende più di quanto si immagini. Il diritto della protezione dei dati disciplina i dati personali, cioè le informazioni concernenti una persona fisica identificata o identificabile. I dati realmente anonimizzati non sono più dati personali e la nLPD cessa di applicarsi: nessuna voce nel registro per quelle risposte, nessuna richiesta d'accesso, nessun obbligo di conservazione, nessuna notifica di violazione. Nelle indagini l'anonimato non è una raffinatezza etica: è l'unica via che porta il trattamento interamente fuori dal campo d'applicazione.

Il punto è che « anonimo » è una proprietà tecnica, non un'etichetta che si applica. Un'indagine è anonima quando nessuno — né voi, né la piattaforma, né un analista determinato con il sistema HR aperto in un'altra finestra — può ricondurre una risposta a una persona. La maggior parte delle indagini vendute come anonime è in realtà pseudonima: l'identificatore diretto è stato rimosso, ma restano attributi sufficienti per re-identificare. Questa distinzione e la sua portata giuridica sono il tema del nostro articolo sui moduli anonimi e pseudonimi.

Quante risposte servono perché l'anonimato sia preservato?

Il numero che citano tutti: cinque

Un gruppo minimo di cinque è la convenzione più diffusa nella restituzione delle indagini interne e proviene dal controllo della divulgazione statistica — la disciplina che gli uffici di statistica applicano quando pubblicano tabelle su piccole popolazioni. La regola è semplice: se una cifra pubblicata deriva da meno di cinque record, si sopprime. Molte organizzazioni alzano la soglia a dieci per tutto ciò che viene attribuito a un responsabile identificato, sul presupposto che chi legge i risultati del proprio team dispone di molto più contesto di un lettore anonimo e ha quindi bisogno di una folla più ampia in cui confondersi.

La soglia vale per le celle, non per l'indagine

È l'errore che manda a monte la maggior parte dei programmi ben intenzionati. « Abbiamo avuto 340 risposte, quindi è anonima » descrive l'indagine. La re-identificazione avviene nelle celle, cioè in ogni cifra prodotta da una combinazione di filtri. La formulazione rigorosa di questa idea è la k-anonimità, introdotta da Samarati e Sweeney alla fine degli anni Novanta: un insieme di dati è k-anonimo se ogni record è indistinguibile da almeno k−1 altri rispetto agli attributi che potrebbero identificare qualcuno. Questi attributi — reparto, fascia di anzianità, fascia d'età, genere, sede, livello gerarchico — si chiamano quasi-identificatori, e nessuno di essi identifica qualcuno da solo.

Combinati, però, crollano in fretta. Prendete un'azienda di 340 persone e una dashboard con quattro filtri. Reparto (12 valori), fascia di anzianità (4), fascia d'età (4) e genere (3) generano 576 combinazioni possibili su 340 persone. La cella media contiene meno di una persona. Che l'indagine abbia raccolto 340 risposte non conta: appena qualcuno filtra su « Finanza, 0–2 anni, 30–39, donna », lo strumento restituisce un gruppo di una sola persona e ne traccia volentieri il punteggio di coinvolgimento.

Le quattro falle delle indagini « anonime »

1. Il testo libero — di gran lunga la maggiore

Le regole di soglia operano sui numeri. Una casella di commento opera sulla lingua, e la lingua identifica: l'episodio a cui hanno assistito solo in tre, il progetto su cui lavora una persona sola, la formulazione che i colleghi riconoscono, gli schemi da seconda lingua dell'unica persona non madrelingua di un team. Chi legge i commenti aperti di un reparto che conosce riesce di solito a nominare diversi autori, e di solito ci azzecca. Trattate il testo libero come una categoria di dati distinta e a rischio più elevato: mai scomposto sotto la soglia di restituzione, valutate una sintesi o un oscuramento prima che arrivi ai responsabili, e dite chiaramente a chi risponde che un dettaglio specifico può identificarlo.

2. Le domande demografiche di cui non avevate bisogno

Ogni campo demografico è un quasi-identificatore, e ognuno moltiplica il numero delle celle. La verifica onesta consiste nel chiedersi se agirete davvero sulla base della scomposizione. Se nessuno cambierà nulla in base alla suddivisione per fascia d'età, la domanda sull'età è puro rischio di re-identificazione senza resa analitica. Togliere due domande demografiche fa di norma più per l'anonimato reale di qualsiasi configurazione della piattaforma.

3. I metadati che nessuno ricorda di raccogliere

L'indagine può essere anonima mentre il canale di invio non lo è. Link d'invito personalizzati, token monouso legati a una lista di indirizzi, indirizzi IP, impronte del dispositivo, marche temporali di invio e tempi di compilazione stanno tutti fuori dal questionario e possono tutti ricollegare una risposta a una persona. In un piccolo team con orari diversi basta da sola una marca temporale. Chiedete espressamente alla vostra piattaforma che cosa conserva accanto a un invio e fatevi dare la risposta per iscritto prima di promettere l'anonimato a chiunque.

4. Il problema delle popolazioni piccole

Alcuni gruppi non possono semplicemente essere interrogati in forma anonima, e fingere il contrario è peggio che ammetterlo. Un team di direzione di quattro persone, le due persone di una funzione specialistica, l'unico dipendente in un cantone: nessuna soglia, nessuna piattaforma e nessuna promessa rende le loro risposte non attribuibili. La cosa giusta è dirlo, accorparli a un'unità di restituzione più ampia, oppure fare quella conversazione di persona.

I responsabili possono vedere le risposte individuali?

Nella maggior parte delle piattaforme la risposta tecnica è che qualcuno può — e quel qualcuno di solito risponde alla stessa direzione che l'indagine dovrebbe valutare. L'accesso alle risposte grezze esiste tipicamente per l'amministrazione dell'account, per chi esporta i dati e per il personale del fornitore. « I responsabili non vedono le risposte individuali » è quindi un'affermazione su configurazione e regole interne, non sulla capacità tecnica — a meno che la piattaforma non sia costruita in modo che nessun record individuale leggibile esista affatto.

I collaboratori lo intuiscono, ed è per questo che la partecipazione crolla dopo la prima volta in cui i risultati appaiono troppo specifici. Se volete che l'indagine venga creduta, promettete con esattezza: dite chi amministra lo strumento, chi può esportare i dati grezzi, indicate la soglia di restituzione come numero e spiegate che fine fa il testo libero. Una descrizione precisa e un po' poco lusinghiera del vostro assetto genera più fiducia di un sicuro « è completamente anonima » che una persona scettica smonta in riunione.

Che cosa esige il diritto svizzero da un datore di lavoro che conduce indagini

L'art. 328b CO limita ciò che potete trattare

L'art. 328b CO consente al datore di lavoro di trattare dati concernenti il lavoratore soltanto nella misura in cui riguardano l'idoneità al rapporto di lavoro o sono necessari all'esecuzione del contratto. L'IFPDT precisa espressamente che da questa disposizione non si può derogare a svantaggio del lavoratore nemmeno con il suo consenso. Questa sola frase liquida la scorciatoia più diffusa nella progettazione delle indagini: nessuna casella di consenso sana un questionario troppo ampio.

Il consenso di un collaboratore è debole per natura

Le spiegazioni dell'IFPDT sul trattamento dei dati da parte del datore di lavoro rilevano che i lavoratori sono molto raramente nella posizione di dare, rifiutare o revocare liberamente il consenso, vista la natura subordinata del rapporto. In pratica, trattate il consenso dei collaboratori come una formalità di accompagnamento e non come il vostro motivo giustificativo, e fondatevi sulla necessità per il rapporto di lavoro unita alla proporzionalità dell'art. 6 nLPD — che è un altro modo per dire: chiedete solo ciò su cui agirete.

Le domande sul benessere possono essere dati sanitari

Questo sfugge con regolarità. Le domande su stress, esaurimento, rischio di burnout, sonno, benessere psichico o malattie legate al carico producono dati sulla salute, cioè dati degni di particolare protezione ai sensi dell'art. 5 lett. c nLPD. L'asticella si alza: consenso esplicito quando il consenso è la base (art. 6 cpv. 7 lett. a) e valutazione d'impatto secondo l'art. 22 quando tali dati sono trattati su vasta scala. Un'indagine sul benessere rivolta a 2000 dipendenti vi rientra in pieno. L'anonimizzazione autentica è l'uscita più pulita, perché i dati anonimi non sono dati personali — ed è esattamente per questo che la disciplina delle soglie descritta qui vale la fatica. I doveri circostanti sono elencati nella nostra checklist di conformità nLPD per moduli e sondaggi.

Rappresentanza dei lavoratori e partecipazione

Nelle aziende con almeno 50 lavoratori questi possono chiedere la costituzione di una rappresentanza dei lavoratori ai sensi della legge sulla partecipazione; dove esiste, essa dispone di diritti di informazione e consultazione nelle questioni che riguardano il personale — programmi di indagine e qualsiasi dimensione di sorveglianza compresi. Coinvolgerla presto non è solo prudente sul piano giuridico: è il segnale di fiducia più efficace a disposizione, perché può verificare la vostra soglia di restituzione indipendentemente dalle risorse umane.

Si può condurre internamente un'indagine salariale proteggendo le identità?

È il caso più difficile della categoria, perché il salario combinato con la funzione e un attributo demografico è quasi unico nella maggior parte delle organizzazioni, e perché si tratta esattamente dei dati la cui circolazione interna i collaboratori temono di più. Tre pratiche lo rendono praticabile.

1. Raccogliere fasce, non importi. Fasce salariali di 10 000–20 000 franchi di ampiezza distruggono molto meno valore analitico di quanto si tema e rimuovono la variabile di gran lunga più identificante.
2. Restituire solo a livelli di aggregazione con una folla reale. Un'analisi sulla parità salariale per famiglia professionale a livello aziendale funziona; la stessa analisi per una funzione di cinque persone no — va soppressa, non accompagnata da una riserva.
3. Separare la raccolta dall'analisi. Quando la sensibilità è alta, un analista esterno o una piattaforma in cui il datore di lavoro non può leggere i record individuali elimina del tutto la questione dell'accesso interno — che è poi la domanda che i collaboratori si pongono davvero.

Che cosa deve garantire la piattaforma — e che cosa non può

Qui ci si aspetta che un fornitore dica « la nostra crittografia rende anonima la vostra indagine », e sarebbe falso. La crittografia end-to-end protegge gli invii dal gestore della piattaforma, da un'infrastruttura compromessa e da chiunque stia nel mezzo. Non protegge un collaboratore dal proprio datore di lavoro, perché è quest'ultimo a detenere la chiave e a decifrare le risposte: è esattamente lo scopo del prodotto. Se la vostra indagine raccoglie reparto, fascia di anzianità e una casella di testo libero, la crittografia non cambia nulla sulla capacità delle risorse umane di capire chi ha scritto che cosa.

L'anonimato in un'indagine interna nasce quindi da scelte di progettazione, e il compito della piattaforma è renderle possibili e applicabili:

• Nessun identificatore di chi risponde raccolto o ricavabile — nessun obbligo di accesso, nessun link personalizzato che leghi una risposta a una persona, nessuna raccolta di indirizzo « solo per l'estrazione a premi ».
• Metadati minimizzati e documentati — dovete poter dire con esattezza che cosa viene conservato accanto a ogni risposta, e gli indirizzi IP non dovrebbero farne parte.
• Soglie di restituzione che controllate voi, applicate a ogni scomposizione e non al totale dell'indagine, con la soppressione come impostazione predefinita anziché come opzione da ricordarsi di attivare.
• Testo libero trattato deliberatamente — separabile dai risultati strutturati, con una via per sintetizzarlo o oscurarlo prima della distribuzione.
• Nessun accesso del fornitore ai contenuti, così che « chi altro potrebbe leggerlo » abbia una risposta breve e verificabile. È questo ciò che la crittografia offre davvero: toglie il fornitore dall'equazione della fiducia, non il datore di lavoro.

Condurre un'indagine che regge all'esame

In sintesi: quante risposte servono perché l'anonimato regga?

Cinque per ogni cifra pubblicata, dieci prima di qualsiasi attribuzione a un responsabile identificato, e la soglia applicata a ogni cella anziché all'indagine nel suo insieme. Questa è la risposta operativa, ed è una convenzione presa in prestito dalla pratica statistica, non una regola di un atto normativo svizzero: vi protegge quindi solo nella misura in cui la applicate davvero a ogni scomposizione pubblicata.

La risposta più profonda è che la soglia è l'ultima difesa, non la prima. L'anonimato si vince prima, nella progettazione: quante domande demografiche ponete, se l'invito è personalizzato, quali metadati vengono conservati, come viene trattato il testo libero. Tre domande demografiche in meno e l'aritmetica smette di lavorarvi contro. E siate onesti in ciò che dite ai collaboratori: un'indagine a cui si crede vale più di un'indagine tecnicamente difendibile — e per essere creduti due volte bisogna essere stati esatti la prima.