Voto anonimo

Il voto anonimo, detto anche voto segreto, separa la registrazione di chi ha votato dai voti espressi. Chi coordina il sondaggio può vedere chi aveva diritto di voto e, dopo che almeno tre persone hanno votato, verificare la partecipazione. Chi usa l'applicazione non può collegare un voto alla persona che lo ha espresso.

Questa pagina spiega come viene protetto il voto anonimo, quali informazioni vengono conservate e quali sono i limiti di questa tutela.

Come il voto anonimo protegge chi vota

Un sondaggio anonimo conserva due insiemi distinti di dati:

Non esiste un identificativo condiviso che colleghi questi dati. I voti espressi non includono nemmeno l'ora effettiva dell'invio, le informazioni sugli inviti, le motivazioni scritte, gli allegati o altri metadati che potrebbero aiutare a identificare chi ha votato.

Questa separazione viene applicata quando il voto viene memorizzato. Non dipende soltanto dal fatto che i nomi siano nascosti nell'interfaccia.

Durante la votazione

I risultati restano nascosti a tutti fino alla chiusura del sondaggio. Questo vale anche per chi coordina il sondaggio e per chi amministra il gruppo o l'istanza tramite l'applicazione.

Quando una persona vota:

• il suo voto viene memorizzato senza il suo nome né un collegamento ai suoi dati sulla partecipazione;
• i suoi dati sulla partecipazione vengono aggiornati per indicare che ha votato;
• non vengono creati eventi di voto, notifiche, email, commenti o voci di attività;
• dopo l'invio non viene restituita una copia delle sue scelte; e
• l'interfaccia conferma soltanto che il voto è stato registrato.

I dati sulla partecipazione non conservano l'ora precisa in cui la persona ha votato. I voti espressi non sono ordinati in base all'ora di invio.

I voti non possono essere modificati

Ogni persona avente diritto può votare una sola volta. Un voto anonimo inviato non può essere consultato, modificato, ritirato o sostituito, nemmeno da chi coordina o amministra il sondaggio.

Per consentire a una persona di recuperare o sostituire il proprio voto, servirebbe un collegamento permanente tra la persona e il voto. Il voto anonimo non crea questo collegamento.

Controlla con attenzione le tue scelte prima di inviare il voto.

Perché i voti anonimi non includono motivazioni

I nuovi voti anonimi non possono includere una motivazione scritta o un allegato. Le motivazioni possono contenere nomi, dati personali, modi di scrivere riconoscibili, menzioni o altre informazioni che identificano chi vota. Renderebbero inoltre più facile distinguere i singoli voti dal risultato complessivo.

Le persone possono comunque parlare del sondaggio nella relativa discussione, se i commenti sono disponibili. Quei commenti sono normali contributi attribuiti a chi li scrive e non sono collegati a un voto anonimo.

Risultati ed esportazioni

Dopo la chiusura del sondaggio, i risultati vengono calcolati dai voti separati dalle identità e mostrati come totali e altri risultati complessivi previsti dal tipo di sondaggio.

L'applicazione non pubblica gli identificativi dei voti, l'ordine di invio o le ore di invio. Le esportazioni dei sondaggi contengono risultati complessivi anziché una riga per ogni voto anonimo. Fa eccezione un'elezione STV chiusa, che può essere esportata in formato BLT. Un'esportazione BLT contiene le classifiche dei candidati necessarie per ricontare l'elezione. Le schede con la stessa classifica sono raggruppate e non vengono incluse le identità di chi ha votato né i metadati delle schede.

Un sondaggio anonimo non può essere riaperto dopo la chiusura.

Verifica della partecipazione

Chi coordina il sondaggio può vedere i dati sulla partecipazione associati ai nomi. Questi mostrano sempre chi aveva diritto di voto. Dopo che almeno tre persone hanno votato, mostrano anche se ciascuna persona ha votato, ma mai come ha votato. Se un sondaggio si chiude con meno di tre voti, lo stato di partecipazione resta nascosto.

Le altre persone che partecipano al sondaggio non possono vedere queste informazioni nominative. L'accesso ai risultati del sondaggio non dà accesso ai dati sulla partecipazione.

Chi coordina il sondaggio può aggiungere persone aventi diritto mentre la votazione è aperta, anche dopo che altre persone hanno votato. Chi ha già votato non può essere rimosso da un sondaggio anonimo.

Promemoria

Per un sondaggio anonimo che dura almeno 24 ore, le persone aventi diritto che non hanno votato ricevono un promemoria automatico nelle ultime 24 ore.

Il promemoria viene inviato in base ai soli dati sulla partecipazione. Non esamina i voti espressi né crea un collegamento con essi. Se la scadenza cambia, il controllo orario dei promemoria usa la scadenza corrente, senza mantenere un promemoria programmato separato per il sondaggio.

I sondaggi con un periodo di votazione complessivo inferiore a 24 ore non inviano questo promemoria automatico.

Cosa possono vedere coordinatori e amministratori

Tramite l'applicazione, chi coordina il sondaggio o amministra il gruppo o l'istanza può avere accesso a:

• il sondaggio e le persone aventi diritto di voto;
• l'indicazione che ciascuna persona avente diritto abbia votato, se il suo ruolo consente l'accesso e almeno tre persone hanno votato; e
• i risultati complessivi dopo la chiusura del sondaggio.

Le funzionalità dell'applicazione non consentono loro di vedere:

• quali scelte appartengono a una persona;
• i singoli voti o i modi in cui le persone hanno votato;
• quando è stato inviato un determinato voto; o
• una motivazione, un allegato, un evento o una notifica associati a un voto inviato.

Limiti del voto anonimo

Queste tutele impediscono a chi usa l'applicazione di collegare un voto alla persona che lo ha espresso. Non offrono una protezione crittografica contro un operatore che possa esaminare il database, i backup, i log del server, la memoria dei processi, il traffico di rete o una versione modificata dell'applicazione.

Anche il risultato può rivelare informazioni. Se le persone aventi diritto sono poche, il risultato è unanime, una combinazione di scelte è particolare o vengono condivise informazioni fuori dal sondaggio, può essere più facile dedurre le scelte di una persona. Chi vota può anche scegliere di identificarsi nella discussione, al di fuori del voto inviato.

Per decidere se il voto anonimo nell'applicazione è adatto, considera il numero di elettori e la delicatezza della decisione.

Domande

Un coordinatore può vedere come ho votato?

No. Dopo che almeno tre persone hanno votato, un coordinatore può verificare se hai votato, ma non può associare il tuo nome a un voto inviato tramite l'applicazione. Finché i voti sono meno di tre, la tua partecipazione resta nascosta.

Posso vedere il mio voto dopo averlo inviato?

No. L'applicazione conferma che il tuo voto è stato registrato, poi rimuove le tue scelte dall'interfaccia di voto. Non può recuperare il tuo voto senza creare il collegamento che il voto anonimo è progettato per evitare.

Posso cambiare o ritirare il mio voto?

No. Non esiste un collegamento che permetta all'applicazione di identificare quale voto inviato modificare o rimuovere.

Riceverò un'email di conferma del mio voto?

No. Il voto produce solo una conferma sullo schermo e aggiorna il tuo registro di partecipazione. Non invia un'email di conferma né crea una notifica o un evento nel registro delle attività.

Un sondaggio pubblico rivela più informazioni?

L'accesso pubblico può permettere di vedere il sondaggio e i risultati aggregati dopo la sua chiusura. Non rende visibili i registri di partecipazione con i nomi né i singoli voti anonimi.

Il voto anonimo è adatto a ogni elezione?

No. Separa le identità dai voti all'interno dell'applicazione. Per le decisioni che richiedono protezione dagli operatori del sistema o elezioni crittografiche verificabili in modo indipendente, serve un sistema progettato per questi requisiti.