Waarom drie de juiste privacydrempel is — en waarom een drempel niet genoeg is

Anonieme feedback doet een belofte die je makkelijk per ongeluk breekt. De antwoorden worden niet met namen opgeslagen, maar een resultaat voor een groep van twee bestaat uit de antwoorden van twee mensen, en elk van hen kent er één van.

Wat de drempel doet

Een privacydrempel is het kleinste aantal mensen dat een resultaat mag beschrijven. Daaronder wordt een score, een heatmapcel of een aantal opmerkingen een streepje, en blijft de groep buiten rapporten en exports. De drempel telt mensen, geen antwoorden: wie tien keer antwoordt, is één persoon. In Polzy is de drempel drie, tenzij je een ander getal kiest, en hij werkt hetzelfde voor een team, een klantsegment, een sessie op een evenement of een klas.

Waarom drie

Neem een groep van twee. Elk van hen kent het eigen antwoord, dus het gemiddelde van de groep verraadt precies wat de ander zei. Dat is geen gok. Het is rekenen.

Bij drie laat dezelfde aftreksom twee mensen over. Wie het eigen antwoord van het groepsresultaat aftrekt, weet wat de andere twee samen zeiden, niet wat een van hen zei. Drie is de kleinste groep waarin geen enkel lid het antwoord van een ander uit het resultaat alleen kan afleiden. Daarom gaat de drempel nooit lager.

Waarom niet vijf

Tot november 2026 was de standaard vijf, en deze blog pleitte daarvoor. Vijf verbergt meer: ook elke groep van drie of vier. Dat waren veel groepen — een klein team, een werkgroep, een sessie met een handvol bezoekers, een klantsegment dat nog groeit — en de mensen daarin antwoordden in een resultaat dat niemand zag. Mensen stoppen met antwoorden als niets wat ze zeggen iemand lijkt te bereiken.

Vijf geeft ook niet de bescherming die het lijkt te geven. Een hoger getal doet niets tegen de manieren waarop je een resultaat achteraf kunt versmallen, en juist daar gaat anonimiteit meestal verloren. Daarom is de standaard nu drie, en ging het werk naar de beschermingen hieronder. Nieuwe werkruimten beginnen bij drie. Een werkruimte die al bestond, houdt het getal dat ze had: het getal dat een Beheerder koos, of vijf als niemand er een koos — zo wordt een groep die gisteren verborgen was vandaag niet getoond, tenzij een Beheerder de drempel verlaagt.

Waarom een drempel niet genoeg is

Een drempel controleert één resultaat tegelijk. Anonimiteit hangt ook af van wanneer en aan wie resultaten worden getoond. Wie een collega een minuut geleden de enquête zag afronden en dan een nieuwe opmerking ziet binnenkomen, heeft geen naam nodig.

Wat Polzy eraan toevoegt

• Eén regel, gehandhaafd op de server. Elke grafiek, filter, heatmap, rapport, export, API-aanroep en elk antwoord van Ask Polzy gaat langs dezelfde controle, dus geen scherm of tool kan eromheen.
• Een selectie moet aan beide kanten de drempel halen. Kiest iemand die een rapportagelijn leest een deel daarvan, dan verschijnen cijfers alleen als zowel de gekozen mensen als de weggelaten mensen de drempel halen. Een versmalling die één andere persoon zou aanwijzen, wordt altijd achtergehouden.
• Je eigen antwoorden zie alleen jij. Een lid ziet de eigen antwoorden per thema, omdat de enige die ze beschrijven de lezer zelf is. Dat bepaalt de server, en het haalt nooit de drempel weg van de antwoorden van iemand anders.
• Een opmerking draagt een dag, geen tijdstip, en krijgt het label van haar groep alleen als die groep de drempel haalt.

Wat er sindsdien is bijgekomen

De drie beschermingen die dit stuk eerst als gepland noemde, zitten nu in het product:

• Opmerkingen de ochtend erna. In een campagne die antwoorden anoniem houdt, verschijnen opmerkingen de volgende ochtend om 07:00 op de klok van je werkruimte, samen met de andere van die dag, zodat het moment waarop een opmerking verschijnt niets zegt over wie net antwoordde. Vanaf Team.
• Een groepsnaam alleen waar die genoeg mensen dekt. Een opmerking draagt alleen de naam van haar groep als de groep de drempel haalt, en de mensen ervan die een opmerking gaven in wat je leest ook, en nooit als de schrijver bij meerdere groepen van dat veld hoort. Anders staat er Groep geanonimiseerd.
• Resultaten van onboarding en vertrek in groepjes. Een anonieme campagne die op ieders eigen datum wordt verstuurd, houdt de resultaten vast tot evenveel mensen als de drempel hebben geantwoord, en geeft ze dan samen vrij onder één datum, zodat de exit-enquête van één persoon nooit op zichzelf wordt gelezen. Vanaf Team.

Wanneer je hem verhoogt

Drie is het laagste waar de drempel veilig kan liggen, niet het juiste getal voor elk onderwerp. Zijn groepen klein en is het onderwerp gevoelig — een enquête van de ondernemingsraad, vragen over één leidinggevende, een klachtenprocedure — verhoog hem dan. Elk getal van 3 tot 50 kan, en elke weergave gebruikt het nieuwe getal direct.

Wat hij niet kan

Een drempel beschermt resultaten, niet de woorden in een opmerking. Schrijft iemand de eigen naam op, of een detail dat alleen die persoon kan weten, dan leest de opmerking zoals ze geschreven is. Daarom biedt Polzy anonieme opvolging: je kunt de persoon achter een anonieme opmerking een vraag stellen, Polzy geeft hem door, en je komt nooit te weten wie het is.