Problém anonymních průzkumů
Anonymní průzkumy pomáhají zaměstnancům vyjádřit se. Týkají se obtěžování, etiky a bezpečnosti. Anonymita funguje — přináší hlášení, která by přes pojmenované kanály nepřišla. Studie Allvoices z roku 2024 zjistila, že zaměstnanci jsou třikrát pravděpodobnější, že nahlásí pochybení přes anonymní kanál než pojmenovaný.
Anonymita ale blokuje následné šetření. Pokud se v průzkumu objeví závažné tvrzení — podrobná zpráva o obtěžování, bezpečnostní problém, etické porušení — HR musí jednat. Přesto stejná anonymita, která zprávu přinesla, nyní šetření blokuje.
Aby mohlo HR zahájit vyšetřování, potřebuje znát oznamovatele. Musí požádat o další podrobnosti. Musí posoudit věrohodnost tvrzení. Musí získat kontext, který se do políčka průzkumu nevešel. V některých případech musí oznamovateli nabídnout právní ochranu. Nic z toho nefunguje bez vědomí totožnosti.
Některé platformy nabízejí oboustranný anonymní chat. HR může posílat doplňující otázky přes šifrovaný odkaz. Ale oznamovatel se musí rozhodnout odpovědět. Mnozí neodpoví. Odpověď zužuje okruh možných oznamovatelů — a oni to vědí.
Co znamená podmíněná reverzibilita
Řešením je podmíněná reverzibilita. Odpovědi z průzkumu jsou standardně šifrovány. Totožnosti všech oznamovatelů zůstávají skryty. Dešifrovací klíč drží jmenovaná strana — externí ombudsman, vedoucí HR nebo člen auditního výboru. Pravidla pro použití klíče jsou písemně zaznamenána a zveřejněna.
Podmínky dešifrování jsou zaměstnancům sděleny ještě před zahájením průzkumu. Typické podmínky: trestná činnost, ohrožení fyzické bezpečnosti, tvrzení o vedení společnosti nebo jakýkoli případ splňující stanovenou míru závažnosti v etické politice. Zaměstnanci vědí, že jejich odpovědi jsou standardně v bezpečí. Vědí také, že de-anonymizace probíhá pouze za jmenovaných podmínek, jmenovanou stranou.
Příklad z praxe: továrna s 2 000 zaměstnanci provádí výroční kulturní průzkum. Odpověď č. 4 217 obsahuje závažné tvrzení proti viceprezidentovi pro provoz. Splňuje zveřejněnou míru závažnosti. Ombudsman ji posoudí — stále pod označením „Respondent č. 4 217” — a rozhodne, že de-anonymizace je oprávněná. Ombudsman dešifruje pouze tuto jednu odpověď pomocí drženého klíče. S oznamovatelem je navázán kontakt formálním a bezpečným způsobem. Zahájí se nezávislé šetření. Všech 4 216 ostatních odpovědí zůstane navždy zašifrováno.
Pro to jsou postaveny nástroje anonymizace anonym.legal. Chrání každou totožnost standardně. Umožňují kontrolované zrušení anonymity pouze při splnění podmínek.
Právní aspekty
Pracovní právo vyžaduje, aby firmy dokumentovaly průběh šetření. Společnost musí prokázat, že podmínky de-anonymizace byly písemně zaznamenány a sděleny zaměstnancům. Musí prokázat, že podmínky byly dodrženy a že se vztahovaly pouze na deklarovaný rozsah. Auditní záznam reverzibilního šifrování poskytuje tento důkaz. Protokoluje, které odpovědi byly dešifrovány, kdy, kým a na základě jakého oprávnění.
Stanovisko ABA č. 512 (2023) a pravidlo FRCP Rule 26(b)(5) popisují, jak vypadají dobré záznamy v právním prostředí. Pravidlo v pracovním právu je totéž: podmínky stanovte před jakoukoliv událostí, dodržujte je a prokažte to. Viz dokumenty o souladu s právními předpisy.
Pokyny EDPB 05/2022 se zabývají pseudonymizací HR dat podle GDPR. Podmíněná reverzibilita splňuje standardy pseudonymizace, pokud je přístup řízen a klíč je uchováván odděleně. Více v dokumentaci systému tokenů.