Pourquoi trois est le bon seuil de confidentialité — et pourquoi un seuil ne suffit pas

Un retour anonyme fait une promesse qu’il est facile de rompre par accident. Les réponses ne sont pas enregistrées avec des noms, mais le résultat d’un groupe de deux, ce sont les réponses de deux personnes, et chacune connaît l’une des deux.

Ce que fait le seuil

Un seuil de confidentialité est le plus petit nombre de personnes qu’un résultat peut décrire. En dessous, un score, une cellule de carte thermique ou un nombre de commentaires devient un tiret, et le groupe est exclu des rapports et des exports. Il compte des personnes, pas des réponses : quelqu’un qui répond dix fois est une seule personne. Dans Polzy, le seuil est de trois si vous ne choisissez pas un autre nombre, et il fonctionne de la même façon pour une équipe, un segment de clients, une session d’événement ou une classe.

Pourquoi trois

Prenez un groupe de deux. Chacun connaît sa propre réponse, donc la moyenne du groupe révèle exactement celle de l’autre. Ce n’est pas une supposition. C’est de l’arithmétique.

À trois, la même soustraction laisse deux personnes. Celui qui retire sa propre réponse du résultat du groupe apprend ce que les deux autres ont dit ensemble, pas ce qu’a dit l’un d’eux. Trois est le plus petit groupe dans lequel aucun membre ne peut retrouver la réponse d’un autre à partir du seul résultat. C’est pourquoi le seuil ne descend jamais plus bas.

Pourquoi pas cinq

Jusqu’en novembre 2026, la valeur par défaut était cinq, et ce blog la défendait. Cinq masque davantage : aussi chaque groupe de trois ou quatre. Cela faisait beaucoup de groupes — une petite équipe, un groupe de travaux dirigés, une session avec une poignée de participants, un segment de clients encore en croissance — et les personnes concernées répondaient dans un résultat que personne ne voyait. On cesse de répondre quand rien de ce qu’on dit ne semble parvenir à quelqu’un.

Cinq n’apporte pas non plus la protection qu’il semble apporter. Un nombre plus élevé ne fait rien contre les façons de restreindre un résultat après coup, et c’est là que l’anonymat se perd le plus souvent. La valeur par défaut est donc désormais trois, et le travail est allé aux protections ci-dessous. Les nouveaux espaces de travail commencent à trois. Un espace qui existait déjà garde le nombre qu’il avait : celui qu’un Administrateur a choisi, ou cinq si personne n’en a choisi — ainsi un groupe masqué hier n’est pas affiché aujourd’hui, sauf si un Administrateur abaisse le seuil.

Pourquoi un seuil ne suffit pas

Un seuil vérifie un résultat à la fois. L’anonymat dépend aussi du moment où les résultats sont montrés, et de qui les voit. Quelqu’un qui a vu un collègue terminer l’enquête il y a une minute, puis voit arriver un nouveau commentaire, n’a pas besoin d’un nom.

Ce que Polzy y ajoute

• Une seule règle, appliquée sur le serveur. Chaque graphique, filtre, carte thermique, rapport, export, appel d’API et réponse d’Ask Polzy passe par le même contrôle : aucun écran ni outil ne peut le contourner.
• Une sélection doit franchir le seuil des deux côtés. Quand quelqu’un qui lit une ligne hiérarchique en choisit une partie, les chiffres n’apparaissent que si les personnes choisies et les personnes laissées de côté atteignent toutes deux le seuil. Une restriction qui désignerait une autre personne est toujours retenue.
• Vos propres réponses ne sont montrées qu’à vous. Un membre voit ses propres réponses thème par thème, parce que la seule personne qu’elles décrivent est le lecteur. C’est le serveur qui en décide, et cela ne lève jamais le seuil sur les réponses de quelqu’un d’autre.
• Un commentaire porte un jour, pas une heure, et n’est étiqueté avec son groupe que lorsque ce groupe atteint le seuil.

Ce qui est arrivé depuis

Les trois protections que cet article annonçait d’abord sont désormais dans le produit :

• Les commentaires le lendemain matin. Dans une campagne qui garde les réponses anonymes, les commentaires apparaissent le lendemain à 07:00, à l’heure de votre espace, avec les autres de ce jour-là, pour que le moment où un commentaire apparaît ne dise rien de qui vient de répondre. À partir de Team.
• Le nom d’un groupe seulement s’il couvre assez de personnes. Un commentaire n’indique le nom de son groupe que si le groupe atteint le seuil, tout comme les personnes de ce groupe qui ont commenté dans ce que vous lisez, et jamais quand son auteur appartient à plusieurs groupes de ce champ. Sinon, il affiche Groupe anonymisé.
• Les résultats d’intégration et de départ par lots. Une campagne anonyme envoyée à la date propre de chaque personne retient ses résultats jusqu’à ce qu’autant de personnes que le seuil aient répondu, puis les publie ensemble sous une même date, pour que l’enquête de départ d’une seule personne ne soit jamais lue à part. À partir de Team.

Quand le relever

Trois est le plus bas où le seuil peut aller sans risque, pas le bon nombre pour chaque sujet. Quand les groupes sont petits et le sujet sensible — une enquête du comité social et économique, des questions sur un seul responsable, une procédure de réclamation — relevez-le. Tout nombre de 3 à 50 est possible, et toutes les vues utilisent aussitôt le nouveau.

Ce qu’il ne peut pas faire

Un seuil protège les résultats, pas les mots d’un commentaire. Si quelqu’un écrit son nom, ou un détail que lui seul peut connaître, le commentaire se lit tel qu’il a été écrit. C’est pourquoi Polzy propose le suivi anonyme : vous pouvez poser une question à la personne derrière un commentaire anonyme, Polzy la lui transmet, et vous ne saurez jamais qui elle est.