Um questionário deve recolher a informação necessária para responder a uma pergunta concreta. Antes de escolher a plataforma ou escrever as perguntas, defina a decisão que os resultados vão apoiar: corrigir uma etapa do serviço, comparar satisfação por zona ou compreender uma dificuldade de utilização. «Conhecer melhor os clientes» é demasiado amplo para decidir que dados recolher e quem deve ler as respostas.
Se a recolha for feita por telefone e incluir gravação, trate essa operação separadamente através do guia de gravação de chamadas em Portugal; responder ao inquérito não equivale a aceitar uma gravação para qualquer finalidade.
O trabalho não termina nas perguntas visíveis. Convites individuais, endereços IP, registos da plataforma e grupos pequenos podem permitir identificar participantes mesmo quando o formulário não pede nomes. Este método produz uma ficha de desenho e uma verificação do percurso completo, desde o convite até à eliminação dos ficheiros de análise.
Definir o resultado antes dos campos
Escreva a pergunta de gestão numa frase e indique quem utilizará o resultado. Por exemplo: «Comparar a avaliação da pontualidade entre três zonas de serviço para decidir onde rever a organização das deslocações». Essa finalidade pode justificar uma escala de pontualidade e uma zona ampla, mas não explica automaticamente a recolha de idade, profissão ou morada completa.
Para cada pergunta, identifique a análise que será feita. Se ninguém consegue explicar como a resposta altera a decisão, remova o campo ou reserve a questão para outro estudo devidamente definido. Não acrescente dados apenas porque a plataforma os oferece por defeito ou porque poderão ser úteis num projeto futuro.
A auditoria de minimização de campos ajuda a comparar necessidade e alternativas. Uma faixa pode bastar quando uma data exata acrescenta precisão desnecessária. Porém, uma faixa também pode identificar alguém num grupo pequeno; a simplificação de um campo precisa de ser avaliada em conjunto com os restantes.
Avaliar se o percurso trata dados pessoais
Os artigos 4.º e 5.º do RGPD orientam a análise da identificação e dos princípios. Verifique respostas, metadados, convites e exportações. A ausência de nome no formulário não demonstra anonimato quando o administrador consegue associar cada resposta a um destinatário do convite.
Distinga três situações no projeto: respostas identificadas para acompanhamento individual; respostas pseudonimizadas com ligação separada; e resultados cuja anonimização foi avaliada no cenário de utilização. Cada uma permite operações diferentes. Um estudo que pretende contactar pessoas com avaliações negativas não deve prometer anonimato se mantém precisamente a ligação necessária a esse contacto.
A análise de endereços IP e identificadores técnicos é relevante para plataformas em linha. Pergunte que registos existem, quem os recebe e se podem ser associados às respostas. Um relatório agregado pode ser não identificável para o leitor, enquanto o tratamento anterior continua a envolver dados pessoais na plataforma.
Escolher o fundamento e explicar a participação
Um questionário ligado a um serviço não é automaticamente necessário para executar o contrato. Avalie a finalidade e as condições do fundamento escolhido. Consentimento, interesses legítimos ou uma missão de interesse público podem ser pertinentes em contextos diferentes; nenhum é uma opção universal para todos os inquéritos.
A participação facultativa também não resolve sozinha a escolha do fundamento. Em relações de trabalho, a desigualdade entre as partes exige atenção à liberdade real de uma eventual decisão baseada em consentimento. Se o estudo recolher categorias especiais, analise ainda a condição pertinente do artigo 9.º, além do fundamento geral.
Explique quem organiza, para que utiliza as respostas, que dados trata, quem lhes acede, como decide a conservação e como exercer os direitos aplicáveis. A orientação da CNIL sobre informação e transparência é uma referência prática de apresentação, sem substituir a análise do contexto português. Não peça uma caixa «aceito a política» para simular um fundamento que não foi escolhido.
Exemplo preenchido: satisfação num serviço ao domicílio
Uma empresa fictícia pretende avaliar pontualidade, qualidade e clareza das informações fornecidas. Decide trabalhar com resultados por zona, sem produzir classificações individuais de trabalhadores. A equipa prepara a seguinte ficha antes de publicar o inquérito.
| Elemento | Decisão fictícia |
|---|---|
| Objetivo | Identificar etapas do serviço que precisam de melhoria por zona |
| Perguntas | Três escalas de avaliação, com opção de não responder |
| Localização | Zona ampla escolhida entre opções, sem morada completa |
| Identificação | Sem nome nem número de cliente no conjunto de análise |
| Convites | Lista de envio separada; avaliar ligação técnica entre convite e resposta |
| Texto livre | Omitido nesta versão porque as escalas respondem ao objetivo definido |
| Contacto posterior | Formulário separado e facultativo para quem queira uma resposta individual |
| Acesso | Equipa de análise recebe apenas o conjunto previsto; gestão recebe agregados revistos |
| Fecho | Encerrar recolha, validar agregados e aplicar regras de eliminação por conjunto |
As três escalas são uma escolha metodológica, não uma garantia automática de minimização ou anonimato. A zona, a hora da resposta e uma sessão com poucos clientes podem continuar a permitir ligações. O desenho precisa de confirmar que o nível de detalhe apresentado à gestão é adequado.
A opção de contacto separado deve explicar que esse segundo percurso identifica a pessoa. Evite uma ligação oculta entre os dois formulários que permita reconstruir a resposta original quando tal ligação não é necessária. Se o objetivo exigir relacioná-los, diga-o e trate essa relação como parte do projeto.
Decidir o que fazer com texto livre
Texto livre pode revelar uma dificuldade que uma escala não capta, mas também pode incluir nomes de terceiros, saúde, conflitos laborais ou outros detalhes desnecessários. Não é proibido por natureza. A decisão consiste em avaliar a utilidade e criar um circuito que limite recolha e acesso.
Se o conservar, formule uma pergunta estreita e indique que não devem ser incluídos nomes ou informações sensíveis desnecessárias. Defina quem revê o conteúdo antes da divulgação e como trata informação fora do âmbito. Uma instrução no formulário reduz o risco, mas não garante que ninguém escreva dados excessivos.
Quando recebe uma resposta com informação clínica irrelevante, a equipa deve ter uma decisão de triagem e remoção ou outra atuação adequada, sem copiar o texto para apresentações amplamente distribuídas. Uma amostra usada para formação interna também precisa de proteção; retirar o nome pode não eliminar detalhes que reconheçam o caso.
Rever plataforma, exportações e utilizações próprias do fornecedor
Peça informação sobre os papéis efetivos, locais de tratamento, assistência, subcontratantes e utilização de respostas pelo fornecedor. O contrato e as configurações devem corresponder ao serviço escolhido. A distinção entre responsável e subcontratante ajuda a identificar operações realizadas por conta da organização e eventuais finalidades próprias da plataforma.
Verifique se estão ativos serviços adicionais de análise, publicidade ou funcionalidades que enviam conteúdo a outros destinos. A facilidade de criar um formulário não dispensa essa análise. Os controlos devem abranger as exportações: um ficheiro descarregado pode conter colunas ocultas, identificadores ou metadados que a interface não apresenta.
Aplique proteção por defeito às permissões. Quem organiza convites não precisa necessariamente de ler respostas individuais, e quem apresenta os resultados pode receber apenas agregados. As orientações do CEPD sobre proteção de dados desde a conceção e por defeito apoiam a integração destas decisões no desenho do tratamento.
Verificar grupos pequenos e resultados publicados
Antes de divulgar uma tabela, tente interpretá-la com a informação que o destinatário já possui. Um chefe de equipa conhece frequentemente quem esteve numa sessão ou quem trabalha numa zona. Uma célula com poucos participantes pode revelar uma avaliação mesmo sem nomes.
Considere agrupamento, redução de detalhe e exclusão de combinações que permitam identificação, avaliando o impacto na utilidade. Não adote um número mínimo universal de respostas como garantia legal. Um grupo maior pode continuar vulnerável se uma resposta for única ou se várias tabelas permitirem deduzir o valor em falta.
A avaliação de anonimização deve considerar o conjunto divulgado e as ligações plausíveis. Publicar estatísticas sucessivas pode permitir comparar diferenças e recuperar informação que uma tabela isolada parecia proteger. A revisão do relatório faz parte do projeto, não é apenas uma tarefa gráfica no final.
Ensaiar o percurso e encerrar a recolha
Submeta uma resposta fictícia pelo convite real, exporte os resultados e veja que informação acompanha o registo. Confirme quem consegue consultá-la, se a opção de contacto cria uma ligação e como se executa a eliminação. Verifique também o que permanece na caixa de envio, nas cópias locais e nas integrações.
Guarde a versão das perguntas, o aviso, as decisões de fundamento e acesso, os resultados desta verificação e o responsável pelo fecho. O dossiê de evidências permite associar a decisão inicial ao resultado observado. Não classifique o projeto como anónimo apenas com base numa opção marcada na plataforma.
Quando o estudo terminar, encerre formulários desnecessários, retire acessos temporários e aplique os prazos justificados a cada conjunto. A lista de convites, as respostas brutas e o relatório agregado podem ter necessidades de conservação diferentes. Uma decisão de voltar a contactar participantes ou reutilizar respostas para outra finalidade exige avaliação própria antes dessa utilização.