Por qué tres es el umbral de privacidad adecuado — y por qué un umbral no basta

La opinión anónima hace una promesa fácil de romper sin querer. Las respuestas no se guardan con nombres, pero el resultado de un grupo de dos son las respuestas de dos personas, y cada una conoce una de ellas.

Qué hace el umbral

Un umbral de privacidad es el número más pequeño de personas que puede describir un resultado. Por debajo, una puntuación, una celda del mapa de calor o un recuento de comentarios se convierte en un guion, y el grupo queda fuera de los informes y las exportaciones. Cuenta personas, no respuestas: quien responde diez veces es una persona. En Polzy el umbral es tres salvo que elijas otro número, y funciona igual para un equipo, un segmento de clientes, una sesión de un evento o una clase.

Por qué tres

Piensa en un grupo de dos. Cada uno conoce su propia respuesta, así que la media del grupo revela exactamente la del otro. No es una suposición. Es aritmética.

Con tres, la misma resta deja a dos personas. Quien quita su propia respuesta del resultado del grupo sabe lo que dijeron los otros dos juntos, no lo que dijo ninguno de ellos. Tres es el grupo más pequeño en el que ningún miembro puede deducir la respuesta de otro solo a partir del resultado, y por eso el umbral nunca baja de ahí.

Por qué no cinco

Hasta noviembre de 2026 el valor predeterminado era cinco, y este blog lo defendía. Cinco oculta más: también cada grupo de tres o cuatro. Eran muchos grupos —un equipo pequeño, un grupo de seminario, una sesión con un puñado de asistentes, un segmento de clientes que aún está creciendo— y las personas que había en ellos respondían a un resultado que nadie veía. La gente deja de responder cuando nada de lo que dice parece llegar a nadie.

Cinco tampoco da la protección que parece dar. Un número más alto no hace nada contra las formas de acotar un resultado a posteriori, y ahí es donde suele perderse el anonimato. Por eso el valor predeterminado es ahora tres, y el trabajo se dedicó a las protecciones de abajo. Los espacios de trabajo nuevos empiezan en tres. Un espacio que ya existía conserva el número que tenía: el que eligió un Administrador, o cinco si nadie eligió ninguno; así, un grupo oculto ayer no se muestra hoy salvo que un Administrador baje el umbral.

Por qué un umbral no basta

Un umbral comprueba los resultados de uno en uno. El anonimato también depende de cuándo y a quién se muestran los resultados. Quien vio a un compañero terminar la encuesta hace un minuto y luego ve llegar un comentario nuevo no necesita un nombre.

Lo que Polzy añade

• Una sola regla, aplicada en el servidor. Cada gráfico, filtro, mapa de calor, informe, exportación, llamada a la API y respuesta de Ask Polzy pasa por la misma comprobación, así que ninguna pantalla ni herramienta puede saltársela.
• Una selección tiene que superar el umbral por los dos lados. Cuando alguien que lee una línea de reporte elige una parte, las cifras solo aparecen si tanto las personas elegidas como las que quedan fuera alcanzan el umbral. Un acotamiento que señalaría a otra persona siempre se retiene.
• Tus propias respuestas solo las ves tú. Un miembro ve sus propias respuestas tema por tema, porque la única persona a la que describen es quien las lee. Lo decide el servidor, y nunca levanta el umbral sobre las respuestas de nadie más.
• Un comentario lleva un día, no una hora, y solo lleva el nombre de su grupo cuando ese grupo alcanza el umbral.

Lo que ha llegado desde entonces

Las tres protecciones que este artículo anunciaba al principio ya están en el producto:

• Los comentarios, a la mañana siguiente. En una campaña que mantiene las respuestas anónimas, los comentarios aparecen a la mañana siguiente a las 07:00, en el reloj de tu espacio, junto con los demás de ese día, para que el momento en que aparece un comentario no diga nada de quién acaba de responder. Desde Team.
• El nombre de un grupo solo donde cubre a bastantes personas. Un comentario solo lleva el nombre de su grupo cuando el grupo alcanza el umbral, y también las personas de él que comentaron en lo que estás leyendo, y nunca cuando quien lo escribió pertenece a varios grupos de ese campo. Si no, muestra Grupo anonimizado.
• Los resultados de incorporación y de salida, por tandas. Una campaña anónima enviada en la fecha propia de cada persona retiene sus resultados hasta que hayan respondido tantas personas como el umbral, y luego los publica juntos con una misma fecha, para que la encuesta de salida de una sola persona nunca se lea por separado. Desde Team.

Cuándo subirlo

Tres es lo más bajo a lo que el umbral puede llegar sin riesgo, no el número adecuado para cada tema. Cuando los grupos son pequeños y el tema es delicado —una encuesta del comité de empresa, preguntas sobre un único responsable, un procedimiento de quejas—, súbelo. Sirve cualquier número de 3 a 50, y todas las vistas usan el nuevo enseguida.

Lo que no puede hacer

Un umbral protege los resultados, no las palabras de un comentario. Si alguien escribe su nombre, o un detalle que solo esa persona puede conocer, el comentario se lee tal como se escribió. Por eso Polzy ofrece el seguimiento anónimo: puedes hacer una pregunta a la persona que está detrás de un comentario anónimo, Polzy se la hace llegar y nunca sabrás quién es.