הצבעה אנונימית

בהצבעה אנונימית, המכונה גם הצבעה חשאית, הרישום של מי שהצביעו מופרד מן ההצבעות עצמן. מתאמי הסקר יכולים לראות מי היו זכאים להצביע, ולאחר שלפחות שלושה אנשים הצביעו, לבדוק מי השתתפו. משתמשי היישום אינם יכולים לקשר בין הצבעה שהוגשה לבין מי שהגישו אותה.

דף זה מסביר כיצד הצבעה אנונימית מגינה על זהות הבוחרים, איזה מידע נשמר ומהן מגבלות ההגנה.

כיצד הצבעה אנונימית מגינה על הבוחרים

בסקר אנונימי נשמרים שני סוגי רשומות נפרדים:

אין מזהה משותף המקשר בין הרשומות האלה. בהצבעות שהוגשו לא נשמרים גם זמן ההגשה המדויק, פרטי ההזמנה, נימוקים כתובים, קבצים מצורפים או נתונים אחרים שעשויים לסייע בזיהוי מי שהצביעו.

ההפרדה נאכפת בזמן שמירת ההצבעה. היא אינה מסתמכת רק על הסתרת שמות בממשק.

בזמן שההצבעה פתוחה

התוצאות מוסתרות מכולם עד לסגירת הסקר. גם מתאמי הסקר, מנהלי הקבוצה ומנהלי המערכת אינם יכולים לראות אותן דרך היישום.

בעת הצבעה:

• ההצבעה שהוגשה נשמרת ללא שם או קישור לרשומת ההשתתפות;
• ברשומת ההשתתפות מסומן שהאדם הצביע;
• לא נוצרים אירוע הצבעה, התראה, הודעת דוא״ל, תגובה או רישום פעילות;
• לאחר ההגשה לא מוצג עותק של הבחירות שנעשו; וכן
• הממשק מאשר רק שההצבעה נרשמה.

ברשומת ההשתתפות לא נשמר הזמן המדויק שבו האדם הצביע. ההצבעות שהוגשו אינן מסודרות לפי זמן ההגשה.

לא ניתן לשנות הצבעות

כל אדם הזכאי להצביע יכול להצביע פעם אחת. לאחר הגשת הצבעה אנונימית, לא ניתן לעיין בה, לשנות אותה, לבטל אותה או להחליף אותה, גם לא בידי מתאמי הסקר או מנהלי המערכת.

כדי לאפשר לאדם לאחזר את הצבעתו או להחליף אותה, נדרש קישור קבוע בינו לבין ההצבעה. בהצבעה אנונימית קישור כזה אינו נוצר.

יש לבדוק היטב את הבחירות לפני הגשת ההצבעה.

מדוע אין נימוקים בהצבעות אנונימיות

לא ניתן לצרף נימוק כתוב או קובץ להצבעה אנונימית חדשה. נימוקים עשויים לכלול שמות, פרטים אישיים, סגנון כתיבה, אזכורים או מידע אחר שמזהה את מי שהצביעו. הם גם עשויים להקל על הבחנה בין הצבעות בודדות בתוך התוצאה הכוללת.

כאשר ניתן לקיים דיון בשרשור של הסקר, המשתתפים עדיין יכולים לדון בו שם. התגובות האלה הן תרומות רגילות לדיון, הנושאות את שמות הכותבים, ואינן מצורפות להצבעה אנונימית.

תוצאות וייצוא

לאחר סגירת הסקר, התוצאות מחושבות מן ההצבעות שהופרדו מזהויות הבוחרים. הן מוצגות כסיכומים וכתוצאות כוללות אחרות שסוג הסקר תומך בהן.

היישום אינו מפרסם מזהי הצבעות, סדר הגשה או זמני הגשה. ייצוא של סקר מכיל תוצאות כוללות ולא שורה לכל הצבעה אנונימית. יוצאת דופן היא בחירת STV שנסגרה, שאפשר לייצא בפורמט BLT. ייצוא BLT מכיל את דירוגי המועמדים הדרושים לספירה חוזרת של הבחירות. פתקי הצבעה בעלי דירוג זהה מקובצים יחד, ללא זהויות בוחרים או נתונים נלווים לפתקי ההצבעה.

לא ניתן לפתוח מחדש סקר אנונימי לאחר סגירתו.

בדיקת השתתפות

מתאמי הסקר יכולים לראות את רשומות ההשתתפות הכוללות שמות. הרשומות מציגות תמיד מי היו זכאים להצביע. לאחר שלפחות שלושה אנשים הצביעו, הן מציגות גם האם כל אדם הצביע, אך לעולם לא כיצד הצביע. אם הסקר נסגר עם פחות משלוש הצבעות, מצב ההשתתפות נשאר מוסתר.

משתתפים אחרים אינם יכולים לראות את פרטי ההשתתפות הכוללים שמות. גישה לתוצאות הסקר אינה מקנה גישה לרשומות ההשתתפות.

מתאמי הסקר יכולים להוסיף אנשים הזכאים להצביע כל עוד ההצבעה פתוחה, גם לאחר שאנשים אחרים כבר הצביעו. לא ניתן להסיר מסקר אנונימי אנשים שכבר הצביעו.

תזכורות

בסקר אנונימי שנמשך לפחות 24 שעות, אנשים הזכאים להצביע וטרם הצביעו מקבלים תזכורת אוטומטית אחת במהלך 24 השעות האחרונות.

הנמענים לתזכורת נבחרים על סמך רשומות ההשתתפות בלבד. בחירה זו אינה בודקת את ההצבעות שהוגשו ואינה יוצרת קישור אליהן. אם מועד הסיום משתנה, הבדיקה השעתית לשליחת תזכורות משתמשת במועד הסיום העדכני, ללא תזכורת נפרדת שנקבעה מראש לסקר.

בסקרים שתקופת ההצבעה הכוללת שלהם קצרה מ־24 שעות, התזכורת האוטומטית הזאת אינה נשלחת.

מה מתאמי סקר ומנהלי מערכת יכולים לראות

דרך היישום, מתאמי סקר, מנהלי קבוצה או מנהלי מערכת עשויים לראות:

• את הסקר ואת האנשים הזכאים להצביע בו;
• האם כל אדם הזכאי להצביע הצביע, אם תפקידם מקנה גישה למידע הזה ולפחות שלושה אנשים הצביעו; וכן
• תוצאות כוללות לאחר סגירת הסקר.

לא ניתן להשתמש בתכונות היישום כדי לראות:

• אילו אפשרויות נבחרו בידי אדם מסוים;
• הצבעות בודדות או דפוסי הצבעה;
• מתי הוגשה הצבעה מסוימת; או
• נימוק, קובץ מצורף, אירוע או התראה הקשורים להצבעה שהוגשה.

מגבלות ההצבעה האנונימית

אמצעי ההגנה האלה מונעים ממשתמשי היישום לקשר בין הצבעה שהוגשה לבין מי שהצביעו. הם אינם מספקים הגנה קריפטוגרפית מפני מפעילי מערכת שיכולים לבדוק את מסד הנתונים, גיבויים, יומני שרת, זיכרון התהליך, תעבורת רשת או גרסה ששונתה של היישום.

גם התוצאה עצמה עשויה לחשוף מידע. מספר קטן של זכאים להצביע, תוצאה פה אחד, שילוב ייחודי של בחירות או מידע ששותף מחוץ לסקר עשויים להקל על הסקת הבחירות של אדם מסוים. מי שהצביעו עשויים גם לבחור לחשוף את זהותם בדיון מחוץ להצבעה שהגישו.

כדי להחליט אם הצבעה אנונימית ברמת היישום מתאימה, יש להביא בחשבון את מספר בעלי זכות ההצבעה ואת רגישות ההחלטה.

שאלות

האם מי שמתאם את המשאל יכול לראות כיצד הצבעתי?

לא. לאחר שלפחות שלושה אנשים הצביעו, מי שמתאם את המשאל יכול לבדוק אם הצבעת, אך אין אפשרות לקשר אותך להצבעה שהוגשה דרך היישום. כל עוד הצביעו פחות משלושה אנשים, סטטוס ההשתתפות שלך נשאר מוסתר.

האם אפשר לראות את ההצבעה שלי לאחר הגשתה?

לא. היישום מאשר שההצבעה נקלטה, ואז מסיר את הבחירות מממשק ההצבעה. כדי לאחזר את ההצבעה, יהיה צורך ליצור את הקישור שההצבעה האנונימית נועדה למנוע.

האם אפשר לשנות את ההצבעה שלי או לבטל אותה?

לא. אין קישור שיאפשר ליישום לזהות איזו הצבעה שהוגשה יש לשנות או להסיר.

האם אקבל הודעת דוא״ל שמאשרת את ההצבעה שלי?

לא. ההצבעה מציגה רק אישור על המסך ומעדכנת את רשומת ההשתתפות שלך. היא אינה שולחת הודעת אישור בדוא״ל ואינה יוצרת התראה או אירוע פעילות.

האם משאל ציבורי חושף מידע נוסף?

גישה ציבורית עשויה לאפשר לאנשים לראות את המשאל ואת התוצאות המצטברות לאחר סגירתו. היא אינה חושפת את רשומות ההשתתפות הכוללות שמות או הצבעות אנונימיות של אנשים יחידים.

האם הצבעה אנונימית מתאימה לכל בחירות?

לא. היא מפרידה בין זהויות להצבעות ברמת היישום. להחלטות שמחייבות הגנה מפני מפעילי המערכת או בחירות קריפטוגרפיות שניתן לאמת באופן עצמאי, יש צורך במערכת שתוכננה לדרישות האלה.