Moduli per sondaggi ai dipendenti e feedback interno

Ogni sondaggio ai dipendenti poggia su una promessa che chi risponde non ha modo di verificare. L'invito dice che i risultati sono anonimi. Il dipendente però sa che le risorse umane hanno scelto la piattaforma, che l'IT amministra l'account e che da qualche parte esiste una banca dati con le sue risposte. Se qualcuno andrebbe davvero a guardarci non è il punto: la garanzia è una direttiva interna, e le direttive interne le scrive la stessa organizzazione che il sondaggio invita a criticare.

Schweizerform cambia la materia di cui è fatta quella promessa. Ogni risposta è cifrata nel browser del dipendente prima di lasciare il dispositivo, e solo chi possiede la chiave della cassaforte può decifrarla. Siamo una società svizzera, gli invii cifrati sono conservati in Svizzera presso Infomaniak e non possiamo leggere alcun invio — né per l'assistenza, né per le statistiche, né su ordine di un'autorità, perché non abbiamo la chiave. Nemmeno il vostro reparto IT può leggerli: sul server non c'è nulla di leggibile. I sondaggi esistono in tedesco, francese, italiano e inglese, il che per un datore di lavoro svizzero con sedi in più regioni linguistiche non è un dettaglio.

Perché il sondaggio interno è il problema di anonimato più difficile dell'azienda

In quasi tutti gli altri moduli che trattiamo la persona da proteggere è esterna all'organizzazione, e l'organizzazione è dalla sua parte. Il sondaggio interno ribalta la situazione. La persona il cui comportamento viene misurato è dentro — spesso è il superiore diretto di chi risponde, a volte il capo dell'area che ha commissionato l'indagine, occasionalmente chi amministra lo strumento. Il modello di minaccia è interno, e lo sanno tutti quelli che rispondono.

Lo scetticismo è razionale, non paranoico

I lavoratori svizzeri calcolano il rischio con precisione. L'art. 336a CO limita l'indennità per disdetta abusiva a sei mesi di salario, gli importi effettivamente riconosciuti restano ben al di sotto — e la disdetta rimane valida. Non esiste reintegrazione. Chi teme che una risposta franca possa essere ricondotta a lui non soppesa una causa contro una valutazione negativa: soppesa un posto di lavoro contro una domanda di un sondaggio. È questo calcolo a far crollare il tasso di risposta proprio nei team che avreste più bisogno di ascoltare, ed è per questo che i rimedi consueti — una frase nella direttiva, la rassicurazione del fornitore, un briefing HR — non lo spostano.

Il sondaggio è anche, silenziosamente, un'indagine sulla salute

Il Job-Stress-Index — condotto dal 2014 da Promozione Salute Svizzera con l'Università di Berna e la ZHAW — nella rilevazione 2022 collocava il 28,2 % delle persone attive in Svizzera nella fascia critica, con più sollecitazioni che risorse, e rilevava il 30,3 % di esaurimento emotivo, sopra la soglia del 30 % per la prima volta nella serie; quantificava la perdita di produttività associata in circa 6,5 miliardi di franchi l'anno. Sono questi numeri a spiegare perché si facciano indagini di clima. Sono anche il motivo per cui l'insieme di dati che ne risulta è più delicato di quanto la maggior parte dei team HR immagini: una scala che chiede quanto ci si senta esausti a fine giornata è una domanda sulla salute.

Che cosa esige davvero il diritto svizzero da un datore di lavoro che fa sondaggi

L'art. 328b CO è il tetto, e il consenso non lo alza

Il datore di lavoro può trattare dati sul lavoratore soltanto nella misura in cui riguardano l'idoneità al rapporto di lavoro o sono necessari all'esecuzione del contratto. È un varco più stretto della proporzionalità generale dell'art. 6 nLPD, ed è la norma che decide se una domanda possa essere posta. Il punto decisivo, e quello che la maggior parte dei questionari sbaglia: l'art. 362 CO rende l'art. 328b diritto imperativo, dal quale non si può derogare a svantaggio del lavoratore — e secondo l'Incaricato federale ciò vale anche con il suo consenso. Non si fa acconsentire qualcuno a domande che non si ha il diritto di porre.

Il consenso di un dipendente è debole per natura

Sia l'IFPDT sia il Comitato europeo per la protezione dei dati ribadiscono da anni che nel rapporto di lavoro il consenso è raramente libero, a causa dello squilibrio di potere. Questo non rende illeciti i sondaggi; rende il consenso l'elemento portante sbagliato. La partecipazione deve essere davvero — e visibilmente — volontaria: nessuna lista di sollecito, nessun tasso di partecipazione pubblicato per team in modo da rivelare chi non ha risposto, nessun richiamo di un superiore a una singola persona. La legittimità si regge su necessità, trasparenza e minimizzazione, non su una casella spuntata.

Art. 26 OLL 3: non costruite per sbaglio un sistema di sorveglianza

L'art. 26 cpv. 1 dell'ordinanza 3 concernente la legge sul lavoro vieta i sistemi di sorveglianza o di controllo destinati a sorvegliare il comportamento dei lavoratori sul posto di lavoro, e non vi si può derogare per contratto. Se tali sistemi sono necessari per altri motivi, il cpv. 2 impone di concepirli in modo da non pregiudicare la salute e la libertà di movimento; il commentario della SECO si attende uno scopo diverso dalla sorveglianza del comportamento, un sistema necessario e proporzionato a quello scopo, nonché l'informazione e la consultazione delle persone interessate prima della messa in servizio. Una pulse survey settimanale con tracciamento individuale, uno strumento a 360° nominativo che valuta di continuo, un cruscotto direzionale che scende fino a un singolo rispondente: sono esattamente le impostazioni che finiscono dentro questo articolo. Uno strumento anonimo no.

Informazione e consultazione: art. 48 LL e legge sulla partecipazione

L'art. 48 della legge sul lavoro riconosce ai lavoratori o alla loro rappresentanza il diritto di essere informati e consultati sulle questioni di protezione della salute, sull'organizzazione dell'orario di lavoro e sull'impostazione dei piani di lavoro, nonché sulle misure relative al lavoro notturno. Un sondaggio su carico, stress e modelli di orario cade in pieno nella prima categoria: la rappresentanza è parte in causa nella progettazione, non solo destinataria dei risultati.

La legge sulla partecipazione (RS 822.14) definisce il quadro. Nelle aziende con almeno 50 lavoratori questi possono designare una o più rappresentanze; una votazione a scrutinio segreto sull'opportunità di averne una è indetta su richiesta di un quinto del personale — di 100 persone nelle aziende con più di 500 dipendenti. L'art. 9 obbliga il datore di lavoro a informare la rappresentanza almeno una volta all'anno sugli effetti dell'andamento degli affari sull'occupazione e sul personale; l'art. 10 conferisce diritti di partecipazione particolari in materia di sicurezza sul lavoro e protezione dei lavoratori, in caso di trasferimento d'azienda (art. 333/333a CO), di licenziamento collettivo (art. 335d–335g CO) e per l'affiliazione a un istituto di previdenza. In assenza di rappresentanza tali diritti spettano direttamente ai lavoratori. L'art. 14 vincola a sua volta i rappresentanti al riserbo sugli affari aziendali.

Quali dati del sondaggio sono delicati, chi deve leggerli e cosa determina la conservazione

Che cosa cambia con una raccolta a conoscenza zero

In concreto: il questionario è cifrato sul dispositivo del dipendente con una chiave che noi non riceviamo mai. Ai nostri server arriva testo cifrato. Quando il team di analisi apre una risposta, la decifratura avviene nel suo browser con la chiave della cassaforte. Non esiste alcuna copia leggibile sul server, in uno strumento di assistenza, in un backup o in qualcosa che un fornitore possa essere costretto a consegnare.

• La promessa di anonimato smette di essere una direttiva e diventa una proprietà. «Nessuno presso il fornitore può leggere questo» discende dall'architettura invece di essere promesso in un'informativa.
• Il vostro stesso IT esce dal perimetro. L'obiezione interna più frequente — chi amministra il nostro account di sondaggio siede a due scrivanie dalla mia responsabile — svanisce, perché nell'account non c'è nulla di leggibile da amministrare.
• La sicurezza adeguata al rischio (art. 8 nLPD) deriva dall'architettura e non solo dalla vostra politica di accesso.
• L'obbligo di informare dell'art. 19 nLPD si assolve una volta sola, sul modulo, nella lingua del dipendente, compreso che cosa verrà restituito e a chi.
• Non si raccoglie nulla che dobbiate poi giustificare. Sulla pagina pubblica del modulo non gira alcun servizio di analisi né alcun beacon; a una risposta non sono associati indirizzo IP, user agent, referrer, geolocalizzazione o identificatore di cookie.
• La coercizione non cambia nulla. Un ordine giudiziario, una richiesta di produzione estera o un amministratore determinato arrivano tutti allo stesso testo cifrato.

Come dare ai responsabili i risultati di team senza le risposte individuali?

È la domanda da cui dipende la credibilità di un sondaggio interno, e ha due metà: una aritmetica e una di autorizzazioni. La maggior parte delle organizzazioni risolve la seconda e ignora la prima.

La metà aritmetica: la dimensione del gruppo e perché la soglia vale per le celle

La convenzione di non restituire un risultato sotto le cinque risposte — talvolta dieci — è una pratica di riservatezza statistica, non una soglia legale svizzera: nessun articolo della nLPD indica un numero. Ciò che conta è che la soglia si applichi alla cella restituita, non al sondaggio. Un'indagine con 400 risposte non è anonima se il rapporto scompone «le donne dell'area finanziaria» e sono tre. Ogni filtro aggiunto moltiplica le celle e rimpicciolisce ciascuna. L'aritmetica, con esempi, è in quante risposte servono perché un sondaggio sia davvero anonimo.

La metà delle autorizzazioni: separate i lettori, non la cifratura

• Mettete il sondaggio in uno spazio di lavoro dedicato. Solo i suoi membri possono decifrare gli invii. Se la rappresentanza dei lavoratori o un analista esterno devono essere gli unici lettori, ciò discende da chi è nello spazio — non da un permesso applicato sopra una banca dati raggiungibile da qualsiasi amministratore.
• Usate il ruolo viewer per chi deve vedere senza toccare. I ruoli sono owner, admin, member e viewer, con viewer in sola lettura: un committente o un delegato della rappresentanza può seguire il materiale grezzo senza poter modificare né cancellare.
• I responsabili ricevono un rapporto, non una casella di posta. La sintesi di team la scrive una persona dopo la decifratura e sopra la soglia. Non esiste alcun modo di consegnare a un responsabile una vista filtrata e dal vivo delle risposte, e questo limite fa un lavoro utile.
• Scrivete la regola di restituzione prima dell'apertura — dimensione minima della cella, quali scomposizioni esistono, chi riceve cosa e che cosa accade ai team sotto soglia. Allegatela all'invito: una regola annunciata dopo si legge come una regola inventata dopo.
• Ogni lettura, esportazione e cancellazione è registrata. Il registro di audit è in sola aggiunta e copre accessi, esportazioni e cancellazioni: «chi ha aperto le risposte» diventa una domanda con risposta.

È nel campo libero che muore l'anonimato

Non sono le domande demografiche a identificare le persone. È il campo dei commenti, e con ampio margine. I dipendenti scrivono «dopo il mio rientro dal congedo parentale a marzo», «come unica persona part-time del team», «da quando è arrivato il nuovo capo area» — e ognuno di questi è un identificatore scritto volontariamente proprio da chi il sondaggio dovrebbe proteggere. Nessuna piattaforma può impedirlo, la nostra compresa; la cifratura impedisce al fornitore e all'amministratore di leggere, non all'analista che deve farlo.

1. Ditelo sul modulo, subito sopra il campo. Una frase: «Descriva la situazione senza nominare sé stesso, il suo team o singole persone — un commento identificante non può essere reso anonimo a posteriori.» Questa riga vale più di qualsiasi controllo tecnico.
2. Non diffondete mai commenti testuali sotto la soglia di restituzione. Parafrasate e raggruppate per tema. Un commento che non si può parafrasare senza perderne il senso di solito non si può neppure condividere senza identificarne l'autore.
3. Decidete in anticipo che cosa fare di un commento che rivela un problema grave — molestie, un rischio per la sicurezza, una crisi di salute. Ne riceverete uno. Anonimato significa che non potete ricontattare l'autore: proprio per questo accanto al sondaggio deve esistere un canale di segnalazione identificato, nominato nell'invito.
4. Rinunciate all'analisi automatica del sentiment sul campo libero. Qui non potrebbe comunque funzionare — il testo è cifrato e non raggiunge alcun modello — ma il punto di fondo è che trasforma un commento in un punteggio riferito a un gruppo, e i gruppi sono piccoli.

Una risposta per persona senza sapere chi — e la trappola di cui nessuno avverte

Chi conduce un sondaggio vuole due cose insieme: una risposta per dipendente e nessuna idea di quale. La risposta onesta è che ci si avvicina, e che ogni meccanismo costa una quota misurabile di anonimato. Dal più economico al più costoso: marcatore del dispositivo, poi identificatore di rete sottoposto ad hash, poi token monouso, poi indirizzo e-mail, poi autenticazione — che cosa dia davvero ciascun livello è spiegato in spam, bot e invii duplicati.

Lo schema che funziona con il personale si chiama «anonimo ma verificato»: un soggetto che non analizza — la rappresentanza dei lavoratori, un fiduciario, l'amministrazione salari — emette link o codici monouso a fronte dell'elenco del personale e non vede mai le risposte; il team di analisi vede le risposte e mai l'elenco. Due ruoli, due livelli di conoscenza, nessuno che abbia entrambi. È più lavoro di una stampa unione dal gestionale HR, ed è l'unica versione di «un voto a testa» che un dipendente abbia motivo di credere.

Che cosa possiamo contare senza leggere nulla

La cifratura toglie a noi le risposte, non a voi il governo del processo. Sul modulo cifrato continuiamo a contare quante persone lo hanno aperto, quante hanno risposto, quanto è durata la compilazione mediana e — per ogni domanda — quante fra chi l'ha vista vi hanno risposto. Quest'ultimo numero è la cosa più utile in un pilota: una domanda con basso tasso di risposta è una domanda che le persone rifiutano, e il rifiuto dice qualcosa della domanda, non della persona.

La regola di progettazione è che i contatori sono piatti e mai incrociati. Giorno, dispositivo, canale e domanda sono conteggi separati che non si possono ricondurre a un individuo, perché l'incrocio è esattamente la giunzione che reidentifica su numeri piccoli. I contatori sono inoltre registrati al momento della ricezione e mai decrementati, e non esiste alcun recupero retroattivo: un prodotto capace di ricostruire a posteriori uno storico perfetto ha conservato, per persona, qualcosa da cui ricostruirlo. Il quadro completo è in statistiche dei moduli senza tracciamento.

Primi passi per un sondaggio ai dipendenti

Condurre un sondaggio dall'inizio alla fine

Obiezioni frequenti — e risposte realistiche

Abbiamo già una piattaforma di sondaggi, con una modalità anonima.

Allora verificate due cose invece di fidarvi dell'etichetta. Primo, se il trattamento anonimo debba essere attivato per ciascun canale di raccolta: nelle piattaforme più diffuse è così, è disattivato per impostazione predefinita, e un'indagine distribuita sia via link sia via invito e-mail può richiedere l'impostazione due volte. Secondo, se l'impostazione rimuova l'identificatore solo dall'esportazione dei risultati, mentre gli indirizzi di rete restano nei registri tecnici per mesi. Nulla di ciò rende disonesto un fornitore. Rende «anonimo» una configurazione da verificare, che è altra cosa da una garanzia.

Il nostro fornitore si impegna a non restituire mai sotto le cinque risposte.

È un impegno sul rapporto, non sui dati. Le risposte sottostanti restano leggibili sui suoi sistemi, restano accessibili a chiunque abbia accesso di produzione e continuano a rispondere a un ordine dell'autorità. Una soglia di restituzione protegge dalla reidentificazione occasionale da parte di un responsabile, lo scenario più probabile — e vale la pena averla. Non protegge dallo scenario che i dipendenti hanno in mente quando esitano davanti al campo dei commenti.

Qualcuno segnalerà molestie in un campo libero e non potremo agire.

Succederà, ed è l'argomento più forte per avere due canali invece di uno. Il sondaggio misura; un canale di segnalazione nominato e riservato tratta i casi. Ditelo nell'invito, mettete il link accanto al campo dei commenti e accettate che un sondaggio davvero anonimo non possa essere un sistema di gestione dei casi. Descriviamo il confine nel caso d'uso HR e segnalazioni e nel confronto delle piattaforme di segnalazione, compreso dove una suite dedicata ci supera nettamente.

Ci servono incroci anzianità × reparto × sesso.

Potete farlo, dopo la decifratura, nel vostro foglio di calcolo — e converrebbe riflettere se farlo. Lato server non possiamo: nessun motore di interrogazione sul testo cifrato, nessun cruscotto filtrato dal vivo, nessuna ponderazione, nessuna gestione di panel, nessun collegamento della stessa persona fra rilevazioni successive. Per uno studio con quote e ponderazione, la raccomandazione onesta è una piattaforma specializzata. Per l'indagine annuale di un'organizzazione di 200 persone, l'incrocio richiesto è di solito proprio quello che avrebbe identificato qualcuno.

La nostra rappresentanza vuole detenere i risultati, non le risorse umane.

È la configurazione più pulita che questa architettura consenta, e vale la pena progettarla di proposito: la rappresentanza possiede lo spazio di lavoro e la chiave della cassaforte, le risorse umane ricevono il rapporto, e la garanzia tecnica coincide con l'accordo politico invece di contraddirlo. L'art. 14 della legge sulla partecipazione vincola già i rappresentanti al riserbo sugli affari aziendali; la cifratura rende vera anche la direzione opposta.

I dipendenti non ci crederanno lo stesso.

Alcuni no — e la cosa onesta è enunciare ciò che è verificabile anziché rassicurare. Nell'invito possono stare, una frase ciascuna: le risposte sono cifrate nel vostro browser e il fornitore non può leggerle; la pagina del sondaggio non carica alcun tracciatore e non registra alcun indirizzo IP; chi può decifrare è indicato per nome, eccoli; i risultati sotto N risposte non saranno restituiti; i dati grezzi saranno cancellati in questa data. Ognuna di queste affermazioni è controllabile da un dipendente scettico con l'ispettore di rete del browser — più di quanto abbia mai offerto un paragrafo di rassicurazioni.

Dove Schweizerform non è la risposta giusta

• Nessuna analisi lato server delle risposte. Niente incroci, niente cruscotti filtrati dal vivo, niente ponderazioni, quote o panel, niente analisi del sentiment, nessuna banca dati di confronto. Tutto avviene dopo la decifratura, davanti a una persona.
• Nessun collegamento longitudinale. Senza un identificatore non possiamo collegare la stessa persona fra rilevazioni — e quell'identificatore è proprio ciò che non volete avere. Le tendenze funzionano in aggregato.
• Non è un sistema di gestione dei casi. Nessuna casella anonima a cui l'autore possa tornare, nessun monitoraggio dei termini, nessun flusso di indagine. Se servono, comprate una piattaforma di segnalazione e tenete il sondaggio per la misurazione.
• Nessuna regola di conservazione automatica per modulo. La cancellazione è un atto, singolo o in blocco. Mettetela in agenda.
• La perdita della chiave è irreversibile. Due custodi nominati e una copia offline, concordati prima dell'apertura, sono un presupposto e non una nota a piè di pagina.
• Nessun single sign-on, che alcuni reparti IT esigono prima di qualsiasi approvazione. Chiedeteci a che punto siamo invece di darlo per scontato.

In sintesi sui moduli per sondaggi ai dipendenti

Un sondaggio interno raccoglie dati sanitari ai sensi dell'art. 5 lett. c nLPD, incontra il tetto dell'art. 328b CO che il consenso non alza, attiva doveri di consultazione ai sensi dell'art. 48 LL e della legge sulla partecipazione e può scivolare nel divieto di sorveglianza dell'art. 26 OLL 3 se diventa individuale e abbastanza frequente. Tutto questo è governabile. Ciò che nessuna direttiva governa è la cosa che davvero impedisce risposte franche: sapere che qualcuno, all'interno, potrebbe guardare.

La cifratura end-to-end è l'unica risposta che non dipende dall'essere creduti. Le risposte sono cifrate nel browser, gli invii cifrati sono conservati in Svizzera, l'insieme dei lettori è uno spazio di lavoro che controllate voi e le statistiche che restano sono conteggi, non contenuti. Ciò a cui rinunciate — incroci, ponderazione, collegamento longitudinale, cruscotti dal vivo — preferiamo che lo sappiate prima di scegliere, e non dopo un primo sondaggio a cui si è risposto con prudenza.