Ankiety i RODO: anonimowość, zgody i bezpieczne przechowywanie odpowiedzi

Ankieta może zawierać dane osobowe, nawet jeśli nie pytasz wprost o imię i nazwisko. Wystarczy adres e-mail, identyfikator pracownika, adres IP albo zestaw odpowiedzi pozwalający rozpoznać konkretną osobę. Ten przewodnik pomoże Ci zaplanować ankietę zgodnie z RODO: od wyboru modelu anonimowości i podstawy prawnej po retencję, bezpieczeństwo oraz obsługę żądań respondentów.

Ten materiał ma charakter edukacyjny i nie jest poradą prawną. Przy badaniach wysokiego ryzyka, danych szczególnych kategorii, ankietach pracowniczych lub transferach danych poza EOG skonsultuj projekt z inspektorem ochrony danych albo prawnikiem.

W skrócie

• RODO stosuje się do ankiety, jeśli odpowiedzi można powiązać z osobą, bezpośrednio lub pośrednio. Sam brak pola „imię i nazwisko” nie zapewnia anonimowości.
• Ankieta anonimowa, pseudonimizowana i imienna to trzy różne modele. Tylko dane rzeczywiście i nieodwracalnie anonimowe przestają być danymi osobowymi.
• Nie dodawaj checkboxa zgody automatycznie. Najpierw wybierz właściwą podstawę prawną: zgodę, uzasadniony interes albo niezbędność do wykonania umowy.
• Zbieraj tylko dane potrzebne do określonego celu. Jeżeli wystarczy przedział wieku, nie pytaj o pełną datę urodzenia.
• W ankietach pracowniczych stosuj minimalne progi raportowania, np. co najmniej 5 odpowiedzi w grupie, a przy pytaniach wrażliwych rozważ próg 7-10.
• Ustal przed startem termin usunięcia odpowiedzi, zasady dostępu, proces obsługi żądań oraz procedurę reagowania na incydenty.

Kiedy odpowiedzi w ankiecie są danymi osobowymi

Dane osobowe to informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby. Identyfikacja nie musi wynikać z jednego pola. Może być możliwa po połączeniu kilku odpowiedzi albo zestawieniu ich z informacjami, które już posiadasz.

Oczywiste identyfikatory

Odpowiedzi są danymi osobowymi, gdy zbierasz między innymi:

• imię i nazwisko,
• adres e-mail lub numer telefonu,
• adres zamieszkania,
• numer klienta, pracownika albo uczestnika,
• login lub identyfikator konta,
• adres IP, identyfikator urządzenia lub inny identyfikator internetowy,
• nagranie głosu, zdjęcie albo materiał wideo.

Identyfikacja pośrednia

Brak tych pól nie zawsze oznacza anonimowość. Przykładowy zestaw:

• dział: finanse,
• stanowisko: dyrektor,
• staż pracy: ponad 15 lat,
• lokalizacja: Poznań.

Jeśli w poznańskim biurze pracuje tylko jeden dyrektor finansowy z takim stażem, jego odpowiedzi mogą być rozpoznawalne.

Podobne ryzyko występuje przy pytaniach otwartych:

„Opisz sytuację, w której zgłosiłeś problem swojemu przełożonemu”.

Respondent może podać nazwiska, datę zdarzenia, nazwę projektu lub inne szczegóły. Dlatego przy polach tekstowych warto dodać instrukcję:

Nie wpisuj imion, nazwisk ani innych informacji pozwalających rozpoznać Ciebie lub inne osoby. Opisz sytuację na poziomie ogólnym.

Test praktyczny

Przed uruchomieniem ankiety odpowiedz na cztery pytania:

1. Czy administrator ankiety może połączyć odpowiedzi z bazą klientów, pracowników albo uczestników?
2. Czy link do ankiety zawiera unikalny identyfikator?
3. Czy system zapisuje adres IP, e-mail, login lub inne metadane?
4. Czy kombinacja odpowiedzi może wskazać jedną osobę w małej grupie?

Jeśli na co najmniej jedno pytanie odpowiadasz „tak”, traktuj odpowiedzi jako dane osobowe, dopóki nie potwierdzisz skutecznej anonimizacji.

Ankieta anonimowa, pseudonimizowana i imienna

Określenie modelu ankiety wpływa na treść komunikatu dla respondentów, zakres ich praw, sposób dystrybucji i zabezpieczenia wyników.

Ankieta anonimowa

Anonimowość wymaga czegoś więcej niż wyłączenia pytania o nazwisko. Nie powinieneś przechowywać identyfikatorów ani dysponować sposobem odtworzenia tożsamości respondenta.

Przykładowe ustawienia:

• jeden wspólny link zamiast linków imiennych,
• brak zapisu adresu e-mail w odpowiedziach,
• ograniczenie lub wyłączenie zbierania adresów IP, jeśli nie są potrzebne,
• brak pytań o zbyt szczegółowe cechy demograficzne,
• raportowanie dopiero po uzyskaniu minimalnej liczby odpowiedzi,
• sprawdzenie odpowiedzi otwartych przed udostępnieniem raportu.

Nie obiecuj anonimowości, jeśli wysyłasz każdej osobie unikalny link pozwalający sprawdzić, kto odpowiedział. Możesz oddzielić informację o udziale od treści odpowiedzi, ale jest to wtedy co najmniej model pseudonimizowany, dopóki połączenie pozostaje możliwe.

Pseudonimizacja

Pseudonimizacja polega na zastąpieniu danych identyfikujących kodem, np. RESP-1048. Klucz łączący kod z osobą powinien być przechowywany osobno i dostępny dla wąskiej grupy.

Przykład organizacyjny:

• zespół badawczy widzi kod i odpowiedzi,
• administrator systemu zaproszeń widzi kod i adres e-mail,
• analityk nie ma dostępu do tabeli łączącej oba zbiory,
• klucz jest usuwany po zakończeniu etapu wymagającego łączenia danych.

Pseudonimizacja zmniejsza ryzyko, ale nie zmienia danych osobowych w anonimowe. Jeżeli istnieje klucz pozwalający odtworzyć tożsamość, nadal stosujesz RODO.

Ankieta imienna

Model imienny jest właściwy, gdy musisz odpowiedzieć konkretnej osobie, obsłużyć zgłoszenie albo przypisać wynik do konta. Zbieraj jednak tylko identyfikatory konieczne do celu. W ankiecie posprzedażowej zwykle wystarczy numer zamówienia lub e-mail - nie potrzebujesz jednocześnie pełnego adresu, daty urodzenia i numeru telefonu.

Jak dobrać podstawę prawną

Podstawę prawną wybierasz przed zebraniem odpowiedzi. Nie możesz traktować zgody jako uniwersalnego zabezpieczenia ani swobodnie zmieniać podstawy po wycofaniu zgody.

Zgoda

Zgoda musi być dobrowolna, jednoznaczna, konkretna i udzielona po otrzymaniu informacji o przetwarzaniu. Nie może być domyślnie zaznaczona ani połączona z niepowiązanymi celami.

Zgoda może być problematyczna, gdy:

• pracownik może obawiać się konsekwencji odmowy,
• udział w ankiecie jest warunkiem otrzymania usługi, choć nie jest do niej potrzebny,
• jeden checkbox obejmuje badanie, marketing i przekazanie danych partnerom,
• wycofanie zgody jest trudniejsze niż jej udzielenie.

Wycofanie zgody działa na przyszłość. Nie powoduje automatycznie, że wcześniejsze przetwarzanie było niezgodne z prawem.

Uzasadniony interes

Ta podstawa bywa odpowiednia przy ograniczonych badaniach satysfakcji obecnych klientów. Przed startem wykonaj test równowagi, często nazywany LIA:

1. Cel: jaki prawnie uzasadniony interes realizujesz?
2. Niezbędność: czy badanie można przeprowadzić przy mniejszej ilości danych?
3. Równowaga: czego respondent może się rozsądnie spodziewać i jakie ryzyko ponosi?
4. Zabezpieczenia: jak ograniczysz zakres danych, dostęp i czas przechowywania?

Przykładowy próg decyzyjny: jeśli ankieta zawiera dane szczególnych kategorii, rozbudowane profilowanie albo zaskakujące pytania niezwiązane z relacją z klientem, nie opieraj decyzji wyłącznie na prostym stwierdzeniu „chcemy poprawić usługę”. Potrzebujesz osobnej analizy, a czasem innej podstawy i warunku z art. 9 RODO.

Umowa

Nie wystarczy, że ankietę wysyłasz klientowi, z którym zawarłeś umowę. Dane muszą być niezbędne do jej wykonania. Opcjonalna ankieta satysfakcji po realizacji zamówienia zwykle nie jest konieczna do wykonania umowy.

Możliwe są także inne podstawy, np. obowiązek prawny, ale nie należy wskazywać go bez konkretnego przepisu nakładającego obowiązek zebrania danych.

Klauzula informacyjna i checkbox zgody

Klauzula informacyjna powinna być dostępna przed wysłaniem odpowiedzi. Możesz zastosować układ warstwowy: krótki komunikat przy ankiecie i pełną treść poniżej lub na osobnej stronie w serwisie.

Co powinna zawierać klauzula

Uwzględnij co najmniej:

• tożsamość i dane kontaktowe administratora,
• kontakt do inspektora ochrony danych, jeżeli został wyznaczony,
• cele i podstawy prawne przetwarzania,
• uzasadniony interes, jeśli jest podstawą,
• kategorie odbiorców danych,
• informacje o transferach poza EOG,
• okres przechowywania lub sposób jego ustalenia,
• prawa osoby,
• prawo wniesienia skargi do organu nadzorczego,
• informację, czy podanie danych jest wymagane i jakie są konsekwencje odmowy,
• informacje o zautomatyzowanym podejmowaniu decyzji, jeśli występuje,
• źródło danych, jeżeli nie otrzymujesz ich bezpośrednio od respondenta.

Wzór klauzuli przy uzasadnionym interesie

Administratorem Twoich danych osobowych jest [pełna nazwa i dane kontaktowe]. Przetwarzamy odpowiedzi w celu zbadania satysfakcji klientów i ulepszania [nazwa usługi], na podstawie naszego prawnie uzasadnionego interesu. Interes ten polega na poznaniu opinii klientów i poprawie jakości usług. Odbiorcami danych mogą być dostawcy systemu ankietowego, hostingu i wsparcia IT, działający na nasze polecenie. Dane będziemy przechowywać przez [np. 6 miesięcy od zakończenia badania], a wyniki zagregowane, które nie pozwalają zidentyfikować osób, możemy przechowywać dłużej. Masz prawo dostępu do danych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, a także prawo sprzeciwu. Możesz również wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych. Podanie danych jest dobrowolne. Kontakt w sprawach dotyczących danych: [adres e-mail]. [Informacja o transferze poza EOG, jeżeli występuje].

Wzór checkboxa zgody

Jeżeli podstawą jest zgoda, użyj osobnego, niezaznaczonego pola:

[ ] Wyrażam zgodę na przetwarzanie moich odpowiedzi przez [nazwa administratora] w celu [konkretny cel]. Wiem, że mogę wycofać zgodę w dowolnym momencie, kontaktując się pod adresem [e-mail], bez wpływu na zgodność z prawem wcześniejszego przetwarzania.

Nie stosuj treści:

[ ] Akceptuję regulamin, politykę prywatności, przetwarzanie danych i otrzymywanie informacji marketingowych.

To kilka różnych oświadczeń połączonych w jedno. Zgoda marketingowa powinna być oddzielona od zgody na udział w badaniu.

Jeśli przetwarzasz dane na innej podstawie niż zgoda, nie proś o „zgodę na RODO”. Możesz zastosować neutralne potwierdzenie:

[ ] Potwierdzam zapoznanie się z informacją o przetwarzaniu danych.

Takie potwierdzenie dokumentuje przekazanie informacji, ale samo nie jest podstawą prawną.

Minimalizacja danych i pytania wrażliwe

Zasada minimalizacji oznacza, że każde pytanie powinno mieć konkretne zastosowanie analityczne. „Może kiedyś się przyda” nie jest wystarczającym uzasadnieniem.

Test użyteczności pytania

Dla każdego pola zapisz:

1. Jaką decyzję podejmiesz na podstawie odpowiedzi?
2. Czy możesz osiągnąć cel bez tej informacji?
3. Czy wystarczy mniej precyzyjna kategoria?
4. Jak długo potrzebujesz odpowiedzi na poziomie pojedynczej osoby?

Dane szczególnych kategorii

Do danych szczególnych kategorii należą między innymi informacje o:

• zdrowiu,
• pochodzeniu rasowym lub etnicznym,
• poglądach politycznych,
• przekonaniach religijnych lub światopoglądowych,
• przynależności związkowej,
• życiu seksualnym lub orientacji seksualnej,
• danych genetycznych i biometrycznych używanych do identyfikacji.

Samo pytanie o wiek nie jest pytaniem o dane szczególnej kategorii, ale dokładna data urodzenia zwiększa możliwość identyfikacji. Wiek może też wymagać dodatkowej ostrożności, gdy badanie obejmuje dzieci.

Przy danych szczególnych kategorii potrzebujesz zarówno podstawy z art. 6 RODO, jak i odpowiedniego wyjątku z art. 9. W badaniach dobrowolnych może nim być wyraźna zgoda, ale nie zawsze będzie ona właściwa, zwłaszcza w relacji pracodawca-pracownik.

Przykładowa treść wyraźnej zgody:

[ ] Wyraźnie zgadzam się na przetwarzanie podanych przeze mnie informacji dotyczących zdrowia przez [administrator] w celu [precyzyjny cel]. Wiem, że odpowiedź jest dobrowolna i mogę wycofać zgodę pod adresem [e-mail].

Przed zadaniem pytania o zdrowie sprawdź, czy możesz użyć mniej ingerującej wersji:

• zamiast: „Na jakie choroby przewlekłe chorujesz?”,
• zapytaj: „Czy potrzebujesz dostosowania sposobu udziału w badaniu? Tak / Nie / Wolę nie odpowiadać”.

Dodawaj opcję „wolę nie odpowiadać” przy pytaniach wrażliwych i domyślnie ustawiaj je jako nieobowiązkowe.

Ankiety pracownicze i realna anonimowość

W ankiecie pracowniczej istnieje nierównowaga między stronami. Pracownik może uważać, że odmowa udziału albo krytyczna odpowiedź wpłynie na jego sytuację. Dlatego zgoda pracownika nie zawsze będzie rzeczywiście dobrowolna.

Progi raportowania

Praktyczne, orientacyjne progi - nie wynikają one wprost z RODO i trzeba je dopasować do struktury organizacji:

Próg 5 nie gwarantuje anonimowości. Jeżeli cztery osoby odpowiedziały „tak”, a jedna „nie”, wynik może ujawnić stanowisko konkretnej osoby. Stosuj również:

• łączenie małych zespołów w większe jednostki,
• ukrywanie skrajnych i bardzo rzadkich kategorii,
• brak filtrowania pozwalającego zejść poniżej progu,
• ograniczenie krzyżowania cech,
• parafrazowanie komentarzy zawierających rozpoznawalne szczegóły.

Bezpieczniejsze pytania

Zamiast:

Wskaż nazwisko przełożonego i opisz jego niewłaściwe zachowanie.

Użyj:

Czy w ostatnich 6 miesiącach doświadczyłeś zachowania, które uznałeś za niewłaściwe? - Tak - Nie - Wolę nie odpowiadać

Następnie udostępnij oddzielny, właściwie zabezpieczony kanał do zgłoszeń wymagających kontaktu. Nie łącz anonimowego badania nastrojów z imiennym postępowaniem wyjaśniającym bez jasnego rozdzielenia celów.

W komunikacie nie pisz „ankieta jest w 100% anonimowa”, jeśli system rejestruje uczestnictwo, metadane albo pozwala administratorowi odtworzyć tożsamość. Napisz precyzyjnie:

Treść odpowiedzi nie jest udostępniana przełożonym na poziomie pojedynczych osób. Wyniki pokazujemy w grupach liczących co najmniej 5 respondentów. Informację o wypełnieniu ankiety przechowujemy oddzielnie od odpowiedzi.

Retencja, usuwanie i prawa respondentów

Termin przechowywania powinien wynikać z celu, a nie z pojemności systemu. Ustal go przed startem i zapisz w klauzuli, rejestrze czynności oraz procedurze usuwania.

Przykładowy harmonogram

Poniższe okresy są orientacyjne i wymagają dopasowania:

Samo przeniesienie danych do archiwum nie jest usunięciem. Uwzględnij kopie zapasowe, eksporty CSV, raporty wysłane e-mailem i pliki przechowywane przez analityków.

Dostęp i usunięcie w praktyce

Respondent może żądać między innymi dostępu do danych, ich sprostowania, usunięcia, ograniczenia, przeniesienia - gdy spełnione są warunki - oraz wnieść sprzeciw wobec przetwarzania opartego na uzasadnionym interesie.

Przyjmij procedurę:

1. Odbierz żądanie jednym kanałem, np. rodo@firma.pl.
2. Potwierdź tożsamość proporcjonalnie do ryzyka.
3. Ustal, w których systemach znajdują się dane.
4. Sprawdź, czy istnieje podstawa do odmowy lub dalszego przechowywania.
5. Odpowiedz co do zasady w ciągu miesiąca.
6. Udokumentuj datę, decyzję i wykonane działania.

W anonimowej ankiecie możesz nie być w stanie odnaleźć odpowiedzi konkretnej osoby. Nie zbieraj dodatkowych identyfikatorów tylko po to, aby ułatwić późniejsze żądania. Wyjaśnij to respondentowi:

Ankieta nie zawiera identyfikatorów pozwalających nam przypisać odpowiedź do konkretnej osoby. Po wysłaniu odpowiedzi możemy nie mieć możliwości jej odnalezienia ani usunięcia na indywidualne żądanie.

Jeżeli stosujesz kod odpowiedzi, możesz umożliwić respondentowi samodzielne wskazanie rekordu bez ujawniania nazwiska.

Dostawcy, transfery i bezpieczeństwo ankiety

Jeśli dostawca platformy ankietowej przetwarza dane na Twoje polecenie, zwykle działa jako podmiot przetwarzający. Ty pozostajesz administratorem, jeśli decydujesz o celu i sposobach badania.

Umowa powierzenia i podprocesorzy

Sprawdź, czy umowa powierzenia określa:

• przedmiot i czas przetwarzania,
• charakter, cel i kategorie danych,
• kategorie osób,
• obowiązek poufności,
• zabezpieczenia techniczne i organizacyjne,
• zasady angażowania dalszych podmiotów,
• pomoc przy realizacji praw osób i obsłudze incydentów,
• zwrot lub usunięcie danych po zakończeniu usługi,
• możliwość wykazania zgodności i audytu.

Poproś o listę podprocesorów, np. dostawców hostingu, wysyłki e-mail, monitoringu błędów i obsługi klienta. Ustal, jak otrzymasz informację o zmianach i czy możesz zgłosić uzasadniony sprzeciw.

Transfery poza EOG

Sprawdź nie tylko lokalizację głównego serwera, lecz także miejsca, z których dane mogą być dostępne. Wsparcie techniczne w państwie trzecim również może oznaczać transfer.

Lista kontrolna:

1. W jakich krajach przechowywane są dane i kopie zapasowe?
2. Skąd pracownicy dostawcy mogą uzyskać dostęp?
3. Czy państwo ma decyzję stwierdzającą odpowiedni stopień ochrony?
4. Jeśli nie, jaki mechanizm jest stosowany, np. standardowe klauzule umowne?
5. Czy wykonano ocenę skutków transferu i wdrożono dodatkowe zabezpieczenia?
6. Czy transfer został opisany w klauzuli informacyjnej?

Zabezpieczenia praktyczne

Dobierz ochronę do ryzyka badania:

• ogranicz dostęp zgodnie z rolami: właściciel, analityk, osoba tylko do odczytu,
• włącz uwierzytelnianie wieloskładnikowe dla administratorów,
• nie wysyłaj eksportów z odpowiedziami przez zwykły e-mail,
• zabezpiecz pliki hasłem i przekaż hasło innym kanałem,
• stosuj daty wygaśnięcia linków,
• używaj unikalnych linków tylko wtedy, gdy potrzebujesz kontroli zaproszeń,
• przy wspólnym linku rozważ hasło do ankiety,
• nie umieszczaj identyfikatorów osoby jawnie w adresie URL,
• testuj uprawnienia do raportów przed ich udostępnieniem,
• co najmniej raz na kwartał przeglądaj konta mające dostęp do aktywnych badań.

Dla ankiety o wysokim ryzyku przyjmij zasadę dwóch osób przy eksporcie lub publikacji wyników. Jedna przygotowuje raport, druga sprawdza minimalne liczebności i ryzyko identyfikacji.

Rejestr czynności, DPIA i incydenty

Powtarzalne ankiety klientów lub pracowników warto ująć w rejestrze czynności przetwarzania. Zwolnienie dla organizacji zatrudniających mniej niż 250 osób jest ograniczone i nie zawsze działa, zwłaszcza gdy przetwarzanie nie jest sporadyczne, może powodować ryzyko albo obejmuje dane szczególnych kategorii.

Minimalny wpis w rejestrze

Zapisz:

• nazwę procesu, np. „Badania satysfakcji klientów”,
• administratora i osoby odpowiedzialne,
• cele i podstawy prawne,
• kategorie osób i danych,
• odbiorców oraz podmioty przetwarzające,
• transfery poza EOG,
• okresy usuwania,
• ogólny opis zabezpieczeń.

Kiedy rozważyć DPIA

Ocena skutków dla ochrony danych, czyli DPIA, jest potrzebna, gdy planowane przetwarzanie może powodować wysokie ryzyko dla praw i wolności osób. Rozważ ją szczególnie, gdy łączysz kilka czynników:

• duża skala danych o zdrowiu lub poglądach,
• systematyczne monitorowanie pracowników,
• profilowanie lub punktacja wpływająca na istotne decyzje,
• łączenie odpowiedzi z innymi bazami,
• badanie dzieci lub osób w zależnej sytuacji,
• użycie nowych technologii,
• brak możliwości łatwego uniknięcia udziału,
• ryzyko dyskryminacji, szkody zawodowej albo ujawnienia tajemnicy.

Prosty test: jeśli potencjalny wyciek mógłby prowadzić do utraty pracy, dyskryminacji, szkody zdrowotnej lub poważnego naruszenia reputacji, nie uruchamiaj ankiety bez udokumentowanej oceny ryzyka. Jeżeli po zabezpieczeniach pozostaje wysokie ryzyko, może być konieczna konsultacja z organem nadzorczym.

Obsługa incydentu

Incydentem może być:

• wysłanie raportu do niewłaściwego odbiorcy,
• publiczny link do niezanonimizowanych wyników,
• przejęcie konta administratora,
• ujawnienie odpowiedzi jednej osoby w raporcie zespołu,
• utrata laptopa z eksportem CSV,
• przypadkowe usunięcie danych, jeśli narusza ich dostępność.

Procedura powinna obejmować:

1. Zabezpieczenie systemu i ograniczenie skutków.
2. Ustalenie zakresu danych, liczby osób i możliwych konsekwencji.
3. Powiadomienie administratora przez procesora bez zbędnej zwłoki.
4. Ocenę ryzyka dla osób.
5. Zgłoszenie naruszenia organowi nadzorczemu - jeśli jest wymagane - w miarę możliwości w ciągu 72 godzin od stwierdzenia.
6. Powiadomienie osób, gdy naruszenie może powodować wysokie ryzyko.
7. Udokumentowanie incydentu, decyzji i działań naprawczych, także gdy zgłoszenie nie było konieczne.

Checklista

Przed opublikowaniem ankiety sprawdź każdy punkt.

Cel i zakres

• [ ] Cel ankiety jest zapisany jednym konkretnym zdaniem.
• [ ] Każde pytanie prowadzi do określonej decyzji lub analizy.
• [ ] Usunięto pola zbierane „na wszelki wypadek”.
• [ ] Zamiast dokładnych danych użyto przedziałów lub kategorii.
• [ ] Pytania otwarte zawierają prośbę o niepodawanie danych identyfikujących.

Podstawa prawna i komunikacja

• [ ] Określono, czy ankieta jest anonimowa, pseudonimizowana czy imienna.
• [ ] Wybrano i udokumentowano podstawę prawną.
• [ ] Przy uzasadnionym interesie wykonano test równowagi.
• [ ] Klauzula informacyjna jest widoczna przed wysłaniem odpowiedzi.
• [ ] Checkbox zgody nie jest domyślnie zaznaczony.
• [ ] Zgody na różne cele są rozdzielone.
• [ ] Nie użyto mylącego określenia „w 100% anonimowa”.

Dane wrażliwe i pracownicy

• [ ] Sprawdzono, czy ankieta zawiera dane szczególnych kategorii.
• [ ] Ustalono dodatkowy warunek przetwarzania takich danych.
• [ ] Pytania wrażliwe są opcjonalne i mają odpowiedź „wolę nie odpowiadać”.
• [ ] Raportowanie grupowe ma próg minimum 5 odpowiedzi lub wyższy.
• [ ] Komentarze otwarte będą moderowane przed publikacją.
• [ ] Oceniono potrzebę wykonania DPIA.

Dostawcy i zabezpieczenia

• [ ] Zawarto umowę powierzenia z dostawcą.
• [ ] Sprawdzono listę podprocesorów.
• [ ] Zweryfikowano lokalizacje danych i transfery poza EOG.
• [ ] Dostęp otrzymały tylko osoby, które go potrzebują.
• [ ] Administratorzy korzystają z silnych haseł i MFA.
• [ ] Linki, eksporty i raporty zostały odpowiednio zabezpieczone.

Retencja i obsługa zdarzeń

• [ ] Ustalono termin usunięcia odpowiedzi, list zaproszeń i klucza pseudonimizacyjnego.
• [ ] Retencja obejmuje eksporty i kopie zapasowe.
• [ ] Istnieje kanał obsługi żądań respondentów.
• [ ] Zespół wie, komu zgłosić incydent.
• [ ] Proces wpisano do rejestru czynności przetwarzania.

FAQ

Czy każda ankieta wymaga zgody na przetwarzanie danych?

Nie. Zgoda jest tylko jedną z podstaw prawnych. Ankieta satysfakcji może czasem opierać się na uzasadnionym interesie, a przetwarzanie niezbędne do realizacji usługi - na umowie. Podstawę dobierasz do celu i relacji z respondentem. Nie dodawaj checkboxa zgody wyłącznie „dla bezpieczeństwa”.

Czy ankieta bez pytania o imię i nazwisko jest anonimowa?

Nie zawsze. Adres e-mail, IP, unikalny link, identyfikator pracownika albo kombinacja informacji o dziale, stanowisku i stażu mogą pozwolić ustalić autora odpowiedzi. Sprawdź zarówno pytania, jak i metadane zapisywane przez system.

Czy mogę pytać o wiek?

Tak, jeżeli wiek jest potrzebny do celu badania i masz podstawę prawną. Zwykle bezpieczniej użyć przedziałów, np. 18-24, 25-34, 35-44 i 45+, niż zbierać pełną datę urodzenia. Przy badaniach dzieci uwzględnij dodatkowe wymagania i podwyższone ryzyko.

Czy próg 5 odpowiedzi gwarantuje anonimowość pracowników?

Nie. To orientacyjny próg raportowania, a nie gwarancja. Przy małych zespołach, rzadkich odpowiedziach lub szczegółowych filtrach identyfikacja może być możliwa nawet przy pięciu osobach. Dla pytań wrażliwych rozważ próg 7-10, łączenie grup i blokadę szczegółowych przekrojów.

Jak długo można przechowywać odpowiedzi?

Tak długo, jak są potrzebne do określonego celu. Dla krótkiego badania satysfakcji może to być np. 3-6 miesięcy, ale jest to orientacyjny zakres, nie uniwersalny termin. Po analizie usuń dane albo skutecznie je zanonimizuj. Osobno określ okres dla list zaproszeń, kluczy, eksportów i kopii zapasowych.

Czy respondent może zażądać usunięcia anonimowej odpowiedzi?

Jeśli ankieta jest rzeczywiście anonimowa i nie masz sposobu odnalezienia odpowiedzi danej osoby, wykonanie indywidualnego żądania może być niemożliwe. Poinformuj o tym przed udziałem. W ankiecie imiennej lub pseudonimizowanej powinieneś mieć procedurę wyszukania danych i oceny żądania.

W REEP możesz zbudować ankietę z jasną klauzulą, kontrolą dostępu i zakresem pytań dopasowanym do celu. Przed publikacją przejdź checklistę, przetestuj ankietę na małej grupie i sprawdź pozostałe materiały w sekcji /baza-wiedzy.