Un sondaggio conforme al GDPR parte da una domanda organizzativa precisa: quale decisione verrà presa usando le risposte? Da quella decisione derivano domande, persone coinvolte, base giuridica, accessi, durata e forma dei risultati. Un questionario breve può comunque raccogliere dati identificabili attraverso inviti individuali, indirizzi IP, commenti o gruppi molto piccoli.
Il GDPR richiede un fondamento lecito, trasparenza, minimizzazione e protezioni adeguate quando il processo tratta dati personali. Il risultato utile per chi organizza l’indagine è un questionario approvato insieme a un verbale di collaudo che segua una risposta dalla raccolta al rapporto finale e alla cancellazione. La sola approvazione del testo delle domande lascia fuori una parte importante del trattamento.
Definire scopo e popolazione dell’indagine
Scrivere lo scopo in termini verificabili: confrontare la soddisfazione sul servizio, individuare un problema di accessibilità o valutare la comprensione di una formazione. «Migliorare l’esperienza» è troppo ampio se permette di riutilizzare le risposte per qualsiasi decisione successiva.
Precisare chi viene invitato, come si ottiene l’elenco e se alcune persone possono sentirsi obbligate a partecipare. Dipendenti, pazienti, studenti e clienti dipendenti dal servizio richiedono una valutazione del contesto. La facoltatività dichiarata non dimostra da sola che il consenso sia libero o che il rifiuto non abbia effetti percepiti.
La limitazione delle finalità aiuta a distinguere l’analisi del servizio dalla successiva profilazione commerciale o valutazione individuale dei lavoratori. Se si desiderano più usi, descriverli e valutarli prima della raccolta, evitando di scoprirli soltanto quando il foglio delle risposte diventa disponibile.
Verificare se il sondaggio sia davvero anonimo
Un questionario senza nome non è automaticamente anonimo. Il collegamento personale nell’invito può identificare chi risponde; il sistema può registrare IP e account; una combinazione di reparto, età e anzianità può isolare una sola persona. Il testo libero può contenere nomi o episodi riconoscibili.
La guida sugli indirizzi IP come dati personali chiarisce perché le impostazioni tecniche contino anche quando il modulo appare neutro. La definizione di identificabilità permette di valutare le informazioni ausiliarie ragionevolmente disponibili.
Distinguere tre momenti: gestione degli inviti, raccolta delle risposte e produzione dei risultati. Si può trattare dati personali per invitare le persone e ottenere in seguito un insieme effettivamente anonimo. La documentazione deve spiegare quando e come viene eliminata la possibilità di collegamento, senza chiamare anonimo l’intero percorso se la prima fase non lo è.
Scegliere una base giuridica per lo scopo concreto
Il consenso è una delle basi dell’articolo 6, ma non l’unica. Un interesse legittimo richiede la relativa valutazione; il contratto richiede necessità rispetto alla prestazione, che non deriva automaticamente dal fatto che il sondaggio sia rivolto a clienti. Le autorità pubbliche devono valutare il fondamento pertinente ai propri compiti.
Se il consenso viene utilizzato, rendere la scelta libera e informata e organizzare la revoca. Se si usa un’altra base, non aggiungere una casella «acconsento al GDPR» che faccia credere alla persona di controllare il trattamento attraverso un consenso non realmente adottato.
Per i dati dell’articolo 9 occorre anche una condizione pertinente del paragrafo 2. La guida alle categorie particolari di dati aiuta a riconoscere salute, opinioni politiche o appartenenza sindacale. Una domanda apparentemente generale sul benessere può invitare a descrivere condizioni sanitarie: verificare se tali dettagli siano necessari e lecitamente trattabili.
Ridurre le domande prima di scrivere l’informativa
Per ogni domanda, annotare come la risposta influenzerà l’analisi. Se nessuno sa spiegare quale decisione dipenda dal dato, eliminarlo o riformularlo. La minimizzazione dei campi è più efficace quando modifica il questionario prima della pubblicazione.
Preferire scale e opzioni definite quando permettono di raggiungere lo scopo. Un campo libero può essere utile per comprendere un problema imprevisto, ma richiede indicazioni, accessi limitati e una revisione delle risposte prima di diffonderle. L’avviso «non inserire dati sensibili» non impedisce materialmente che ciò accada.
Valutare anche le categorie troppo dettagliate. Età esatta, sede, ruolo unico e data dell’episodio possono rendere identificabile il rispondente. Una fascia più ampia può preservare l’utilità statistica riducendo il rischio, purché non comprometta una necessità analitica realmente motivata.
Informare nel punto in cui la persona decide di rispondere
L’informativa deve indicare titolare, scopo, base, destinatari, durata o criteri, diritti e altre informazioni applicabili. Spiegare se le risposte sono collegate all’invito e chi vedrà dati individuali o soli risultati aggregati. Non promettere anonimato quando il team può aprire un elenco nominativo delle risposte.
La procedura di trasparenza dell’articolo 12 aiuta a organizzare un primo livello leggibile e l’accesso alle informazioni complete. La guida EDPB ai diritti richiama la necessità di informazioni comprensibili e canali effettivi per esercitarli.
Se l’indagine usa dati ottenuti da un partner, verificare anche l’informativa dell’articolo 14. L’invito non deve sorprendere una persona che non può capire come l’organizzazione abbia ottenuto il suo contatto.
Un questionario ipotetico per un servizio a domicilio
Un’impresa vuole confrontare la soddisfazione tra aree servite. Sceglie tre valutazioni facoltative su puntualità, qualità del servizio e chiarezza delle comunicazioni, con scala da uno a dieci. Raccoglie l’area ampia e non il nome del cliente nel dataset di analisi. Valuta separatamente se l’invito individuale e i log consentano ancora di collegare la risposta.
| Elemento | Decisione dell’esempio | Motivo |
|---|---|---|
| Nome nel questionario | Escluso | Non necessario al confronto per area |
| Valutazioni | Tre scale facoltative | Collegate alle decisioni sul servizio |
| Commento libero | Escluso nella prima versione | Le decisioni previste sono coperte dalle scale |
| Richiesta di richiamata | Percorso separato | Il contatto non entra nell’analisi ordinaria |
| Invito personale | Token separato e limitato allo scopo operativo | Gestire l’invito senza conservare inutilmente il collegamento |
| Report | Aggregazione verificata | Evitare gruppi che rendano riconoscibile il cliente |
Non si tratta di un modello valido per ogni indagine. Un reclamo complesso può richiedere un canale narrativo separato; uno studio sanitario richiede un’analisi diversa. L’esempio mostra come una scelta di progettazione possa ridurre i dati prima che diventino un problema di accesso o cancellazione.
Controllare piattaforma e accessi
Verificare cosa registra il servizio oltre alle risposte: IP, account, cookie, eventi, localizzazione e informazioni sul dispositivo. Esaminare ruolo del fornitore, eventuali finalità proprie, subfornitori e trasferimenti. Un pulsante «anonimizza» deve essere tradotto in un comportamento concreto e verificato.
Limitare chi può vedere risposte grezze, esportare file e creare collegamenti pubblici ai report. La politica di sicurezza informatica deve trovare applicazione anche nei piccoli strumenti acquistati autonomamente da un reparto. Un sondaggio creato per un progetto temporaneo non è esente dalla gestione degli account.
Chiudere la raccolta e verificare i risultati
Prima dell’avvio, inviare una risposta sintetica e seguirla in esportazioni e report. Controllare identificativi nascosti, fogli aggiuntivi, filtri che isolano singoli rispondenti e copie condivise. Provare anche la cancellazione secondo le regole stabilite e la gestione di una richiesta dell’interessato dove applicabile.
Alla chiusura, disattivare il modulo, limitare gli accessi residui e applicare le durate definite per inviti, risposte e risultati. Non confondere un rapporto aggregato che può essere conservato con i file identificabili usati per prepararlo. Il verbale finale deve indicare le copie eliminate, quelle ancora necessarie e la ragione della loro conservazione.
Se durante l’analisi emerge un nuovo uso, riaprire la valutazione prima di attuarlo. Un sondaggio sulla soddisfazione non dovrebbe diventare silenziosamente una graduatoria nominativa dei clienti o dei dipendenti. L’accountability rende visibili queste decisioni e permette di verificare che i risultati siano usati nel perimetro spiegato alle persone.