Anonyymi äänestys

Anonyymi äänestys, jota kutsutaan myös sokkoäänestykseksi, pitää tiedon äänestäneistä erillään itse äänistä. Kyselyn sulkeuduttua kaikki, jotka näkevät tulokset, näkevät myös osallistujat. Kukaan Loomion käyttäjä ei voi yhdistää annettua ääntä sen antaneeseen henkilöön.

Tällä sivulla kerrotaan anonyymin äänestyksen tarjoamasta suojasta, säilytettävistä tiedoista ja suojan rajoista.

Miten anonyymi äänestys suojaa äänestäjiä

Anonyymi kysely säilyttää kaksi erillistä tietojoukkoa:

Näillä tiedoilla ei ole yhteistä tunnistetta, joka yhdistäisi ne. Annettuihin ääniin ei myöskään tallenneta todellista lähetysaikaa, kutsutietoja, kirjallisia perusteluja, liitteitä eikä muita metatietoja, jotka voisivat auttaa tunnistamaan äänestäjän.

Tiedot pidetään erillään jo ääntä tallennettaessa. Suoja ei perustu pelkästään nimien piilottamiseen käyttöliittymässä.

Kun äänestys on avoinna

Tulokset pysyvät piilossa kaikilta, kunnes kysely sulkeutuu. Tämä koskee myös kyselyn koordinaattoreita, ryhmän ylläpitäjiä ja Loomio-asennuksen järjestelmänvalvojia, jotka käyttävät sovellusta.

Kun joku äänestää:

• hänen antamansa ääni tallennetaan ilman hänen nimeään tai osallistumistietojaan;
• hänen osallistumistietoihinsa merkitään, että hän on äänestänyt;
• äänestä ei luoda tapahtumaa, ilmoitusta, sähköpostia, kommenttia eikä toimintamerkintää;
• hänen valinnoistaan ei palauteta kopiota lähettämisen jälkeen; ja
• käyttöliittymä vahvistaa vain, että hänen äänensä on tallennettu.

Osallistumistietoihin ei tallenneta tarkkaa äänestysaikaa. Annettuja ääniä ei järjestetä lähetysajan mukaan.

Ääniä ei voi muuttaa

Jokainen äänioikeutettu henkilö voi äänestää kerran. Annettua anonyymiä ääntä ei voi tarkastella, muuttaa, perua eikä korvata. Tämä koskee myös koordinaattoreita ja ylläpitäjiä.

Jos henkilö voisi hakea oman äänensä tai korvata sen, henkilön ja äänen välillä pitäisi olla pysyvä yhteys. Anonyymissä äänestyksessä tätä yhteyttä ei tarkoituksella luoda.

Tarkista valintasi huolellisesti ennen lähettämistä.

Miksi anonyymeillä äänillä ei ole perusteluja

Uusiin anonyymeihin ääniin ei voi liittää kirjallista perustelua eikä liitettä. Perustelut voivat sisältää nimiä, henkilökohtaisia tietoja, kirjoitustyylin piirteitä, mainintoja tai muita tietoja, joista äänestäjän voi tunnistaa. Ne myös helpottaisivat yksittäisten äänten erottamista yhteistuloksesta.

Osallistujat voivat silti keskustella kyselystä sen ketjussa, jos keskustelu on käytettävissä. Nämä kommentit ovat tavallisia, nimellä julkaistuja keskustelupuheenvuoroja, eikä niitä liitetä anonyymiin ääneen.

Tulokset ja viennit

Kyselyn sulkeuduttua tulokset lasketaan osallistumistiedoista erillään olevista äänistä ja näytetään yhteismäärinä sekä muina kyselytyypin tukemina yhteistuloksina.

Sovellus ei julkaise äänten tunnisteita, lähetysjärjestystä eikä lähetysaikoja. Kyselyn vientitiedostot sisältävät yhteistulokset yksittäisten anonyymien äänten rivien sijaan. Poikkeuksena ovat suljetut STV-vaalit, jotka voi viedä BLT-muodossa. BLT-vienti sisältää vaalien uudelleenlaskentaan tarvittavat ehdokkaiden paremmuusjärjestykset. Äänet ryhmitellään, kun useassa äänessä on sama järjestys, eikä vienti sisällä äänestäjien henkilöllisyyksiä tai äänten metatietoja.

Anonyymiä kyselyä ei voi avata uudelleen sen sulkeuduttua.

Ketkä osallistuivat

Anonyymin kyselyn sulkeuduttua kaikki, jotka näkevät sen tulokset, näkevät myös osallistujat. Kukaan ei näe tätä tietoa äänestyksen ollessa avoinna.

Valitse Näytä äänet, niin näet luettelon. Siinä näkyy aina, kenellä oli äänioikeus. Kunkin henkilön kohdalla näkyy, onko hän äänestänyt, vain jos riittävän moni on äänestänyt. Tämä tarkoittaa kyselyn päätösvaltaisuuteen vaadittavaa määrää, jos se on määritetty, ja muussa tapauksessa puolta äänioikeutetuista. Ääniä on kuitenkin oltava vähintään kolme. Luettelo ei koskaan näytä, miten tai milloin kukaan äänesti.

Ryhmän jäsenet ja kyselyn äänestäjät näkevät myös, milloin kukin henkilö liittyi ryhmään ja kuka hänet kutsui. Ryhmän ylläpitäjät näkevät lisäksi sähköpostiosoitteet, jotta he voivat erottaa samannimiset henkilöt toisistaan.

Koska kaikki tulokset näkevät henkilöt näkevät myös, ketkä äänestivät, yksipuolinen tulos voi paljastaa, miten ihmiset äänestivät. Jos esimerkiksi jokainen ääni on Samaa mieltä, kaikki äänestäneet olivat samaa mieltä.

Koordinaattorit voivat lisätä äänioikeutettuja henkilöitä äänestyksen ollessa avoinna myös sen jälkeen, kun muut ovat jo äänestäneet. Anonyymistä kyselystä ei voi poistaa siihen jo lisättyjä äänestäjiä.

Muistutukset

Jos anonyymi kysely kestää vähintään 24 tuntia, äänioikeutetut henkilöt, jotka eivät ole äänestäneet, saavat yhden automaattisen muistutuksen viimeisten 24 tunnin aikana.

Muistutuksen vastaanottajat valitaan pelkkien osallistumistietojen perusteella. Annettuja ääniä ei tarkastella eikä niihin luoda yhteyttä. Jos määräaika muuttuu, tunnin välein tehtävä muistutustarkistus käyttää nykyistä määräaikaa. Kyselylle ei ylläpidetä erillistä ajastettua muistutusta.

Kyselyt, joiden koko äänestysaika on alle 24 tuntia, eivät lähetä tätä automaattista muistutusta.

Mitä koordinaattorit ja ylläpitäjät voivat nähdä

Kyselyn koordinaattori, ryhmän ylläpitäjä tai Loomio-asennuksen järjestelmänvalvoja voi sovelluksessa nähdä:

• kyselyn ja sen äänioikeutetut henkilöt;
• onko kukin äänioikeutettu henkilö äänestänyt, jos hänen roolinsa sallii tiedon katselun ja riittävän moni on äänestänyt; ja
• yhteistulokset kyselyn sulkeuduttua.

He eivät voi sovelluksen toimintojen avulla nähdä:

• mitkä valinnat kuuluvat tietylle henkilölle;
• yksittäisiä ääniä tai äänestyskäyttäytymisen malleja;
• milloin tietty ääni annettiin; tai
• annettuun ääneen liittyvää perustelua, liitettä, tapahtumaa tai ilmoitusta.

Anonyymin äänestyksen rajat

Nämä suojaukset estävät sovelluksen käyttäjiä yhdistämästä annettua ääntä sen antaneeseen henkilöön. Ne eivät tarjoa kryptografista suojaa järjestelmän ylläpidosta vastaavaa henkilöä vastaan, jos hän voi tarkastella tietokantaa, varmuuskopioita, palvelinlokeja, prosessin muistia, verkkoliikennettä tai sovelluksen muokattua versiota.

Myös itse tulos voi paljastaa tietoja. Pieni äänestäjäjoukko, yksimielinen tulos, erottuva valintojen yhdistelmä tai kyselyn ulkopuolella jaetut tiedot voivat helpottaa henkilön valintojen päättelemistä. Äänestäjät voivat myös itse kertoa henkilöllisyytensä keskustelussa, erillään antamastaan äänestä.

Ota huomioon äänestäjäjoukon koko ja päätöksen arkaluonteisuus, kun arvioit, sopiiko sovellustason anonyymi äänestys tilanteeseen.

Kysymyksiä

Voiko kukaan nähdä, miten äänestin?

Ei. Kun riittävän moni on äänestänyt, tulokset näkevät henkilöt näkevät, oletko äänestänyt. Kukaan ei voi yhdistää sinua annettuun ääneen sovelluksen kautta. Siihen asti tieto siitä, oletko äänestänyt, pysyy piilossa.

Voinko nähdä ääneni sen lähettämisen jälkeen?

Et. Sovellus vahvistaa, että äänesi on tallennettu, ja poistaa sitten valintasi äänestysnäkymästä. Se ei voi hakea ääntäsi luomatta yhteyttä, jonka syntymisen anonyymi äänestys on suunniteltu estämään.

Voinko muuttaa tai perua ääneni?

Et. Sovelluksessa ei ole yhteyttä, jonka avulla se voisi tunnistaa, mitä lähetettyä ääntä pitäisi muuttaa tai poistaa.

Saanko sähköpostivahvistuksen äänestäni?

Et. Äänestäminen näyttää vain vahvistuksen näytöllä ja päivittää osallistumistietosi. Se ei lähetä vahvistussähköpostia eikä luo ilmoitusta tai toimintatapahtumaa.

Paljastaako julkinen kysely enemmän tietoja?

Kun julkinen kysely suljetaan, kuka tahansa voi nähdä sen tulokset ja osallistujat. Yksittäisiä ääniä tai jäsenyyden ja kutsujen tietoja ei voi nähdä.

Sopiiko anonyymi äänestys kaikkiin vaaleihin?

Ei. Se pitää henkilöllisyydet ja äänet erillään sovelluksen tasolla. Päätökset, jotka edellyttävät suojaa järjestelmän ylläpitäjiltä, ja riippumattomasti todennettavat kryptografiset vaalit tarvitsevat järjestelmän, joka on suunniteltu näitä vaatimuksia varten.