privacy

Niet beloofd. Wiskundig afgedwongen.

De meeste enquêteplatforms beloven anonimiteit. Ze slaan antwoorden op, houden een koppeling met de uitnodiging bij en beveiligen die opslag zo goed mogelijk. S3ntiment brengt die antwoorden nooit als geheel samen. Wat er niet is, kan niet lekken, niet worden opgevraagd en niet worden misbruikt.

Het risico zit binnen, niet buiten

Een organisator kent zijn mensen en weet wie hij heeft uitgenodigd. Een enquête in een kleine afdeling die uitsplitst naar functie en leeftijd is dan geen anonieme enquête meer, maar een kruiswoordpuzzel. Wie de antwoorden kent, kent de invuller. Daar is geen datalek voor nodig.

Toeslagenaffaire

Meer dan 40.000 gezinnen werden jarenlang als fraudeur behandeld. De gebruikte gegevens waren op zichzelf onschuldig: nationaliteit, woonadres, betaalgedrag. Pas door koppeling en analyse werd zichtbaar wie het systeem trof.

De puzzel wordt uit elkaar getrokken

Antwoorden komen niet op één plek terecht. Ze worden verspreid over drie nodes in een decentraal netwerk, elk met een eigen TEE: een afgeschermde omgeving die van buitenaf niet toegankelijk is, ook niet voor wie de machine beheert. Wie iets wil herleiden, moet in drie nodes tegelijk inbreken en daarna de context opnieuw bij elkaar puzzelen. De puzzel bestaat nergens als geheel.

Antwoorden verlaten de node nooit

Voor een totaal wordt elke node afzonderlijk om een deeltotaal gevraagd. De individuele antwoorden blijven binnen de TEE. Alleen de deeltotalen komen naar buiten en worden bij elkaar opgeteld. De uitkomst klopt tot op het cijfer, zonder dat één systeem ooit alle antwoorden bij elkaar heeft gezien.

Eén antwoord is op zichzelf onleesbaar

Bij cijfers, ratings en meerkeuzevragen gaat het nog een stap verder. Ook het losse antwoord wordt over de drie nodes verdeeld: een antwoord 2 ligt opgeslagen als -6, 3 en 5. Elk fragment is betekenisloos; alleen alle drie samen leveren het oorspronkelijke antwoord op. Wie in één node inbreekt, vindt ruis.

Identiteit speelt alleen bij de uitgifte

De fragmenten op de drie nodes worden bij elkaar gehouden door een anonieme sleutel. Die sleutel hoort bij een set antwoorden, niet bij een persoon. Daarmee kan iemand altijd bij zijn eigen antwoorden, zonder dat iemand anders kan zien van wie ze zijn.

Identiteit komt maar op één moment in beeld: het uitgeven van de uitnodiging. De mail wordt verstuurd, of het kaartje met QR-code wordt overhandigd. Wat daarna overblijft is een willekeurige code die niets over de ontvanger zegt. De code werkt eenmalig, zodat niemand twee keer invult of de uitslag van buitenaf beïnvloedt, maar er is geen weg terug van code naar persoon.

Architectuur in plaats van beleid

De AVG vraagt om privacy in het systeem zelf (artikel 25), niet om beleid dat achteraf beschrijft wat er gebeurt. Een verwerkersovereenkomst en een privacyverklaring documenteren het risico, ze verkleinen het niet. Bij S3ntiment blijven persoonsgegevens structureel buiten bereik omdat de architectuur het zo afdwingt. Schending is technisch onmogelijk, niet beleidsmatig onwenselijk.

Respondenten hoeven geen verzoek in te dienen om hun data in te zien of te verwijderen. Ze doen dat zelf, direct, zonder tussenkomst van de organisator of van ons.

Op het punt van privacy

Meer over wat anonimiteit doet met datakwaliteit: → Datakwaliteit