Anonymt är egentligen pseudonymt

Trogen Delfimetodens kännetecken är Delphi Pronoia anonymt: deltagarna känner igen varandra endast på alias. Aliaset är också det som skiljer Pronoia från tidigare Delfiplattformar. Tack vare det kan relationer uppstå mellan panelisterna under rundornas gång. I den meningen kan Pronoia också kallas en pseudonym metod. Aliasen är lånade från det antika Delfi: de är hämtade ur namnen på personer som verkat kring oraklet under olika tider.

Panelisterna ser varandra endast under alias. Facilitatorn ser namnen för kommunikationens skull, utom när blindläge har valts för panelen.

Panelistens svar är tryggt

En panelist kommer till sin egen hemsida via en personlig länk utan lösenord. Därför skyddas länken som ett lösenord.

Omöjlig att gissa. Länkens token är ett slumpmässigt 128-bitars tal. Dessutom saktar servern ned upprepade förfrågningar från samma adress, så det går i praktiken inte att gissa länkar.
Tidsbegränsad. En länk gäller i högst 365 dygn. Facilitatorn kan ogiltigförklara den och skicka en ny om länken har hamnat i fel händer.
Lagras endast som hash. Databasen och säkerhetskopiorna innehåller inte länken i läsbar form, bara en hash som räknats ut ur den. Även om databasen eller en säkerhetskopia skulle hamna i någons händer kunde länkarna inte läsas ur den. Applikationen återskapar en länk endast med servernyckeln, som varken förvaras i databasen eller i säkerhetskopiorna.
Går bara i inbjudan. Studier som skapats från och med 20.10.2026 har stängt länkläge som standard. Servern visar då inte panelisternas länkar för facilitatorn alls, utan länken går bara i inbjudan som skickas till panelisten. Om facilitatorn i undantagsfall behöver en länk, till exempel när en panelist inte hittar sin inbjudan, kan länken visas en gång. Att visa den en gång kräver en motivering och registreras i loggen. Blindläget tvingar alltid fram stängt länkläge.

Bara panelisten själv kan ändra sitt svar. Studieteamet kan inte skriva ett svar för en mänsklig panelists räkning: servern avvisar det.

Inbjudningarna skickas med e-post, och de innehåller panelistens adress och personliga länk. Posttjänsten skickar meddelandena från EU men lagrar dem i USA. Det går inte att undvika så länge inbjudningarna skickas med e-post.

Tre identitetslägen

Till studieteamet hör alla som har en roll i studien: ägaren, facilitatorerna och läsarna. Ägaren är den som skapat studien eller som studien har överförts till. Ägaren väljer identitetsläge, kan nollställa svar och anonymisera studien när den avslutats, och ser studiens hela logg. Facilitatorn leder studien: bjuder in panelisterna, öppnar och stänger rundor och skickar påminnelser. I loggen ser facilitatorn händelserna utan de anteckningar som gäller behörigheter. En läsare kan följa studien men ser panelisterna bara under alias och ser inte loggen.

Studiens ägare väljer identitetsläge för hela studien. Läget avgör vad studieteamet ser och hur panelisternas uppgifter hanteras.

1. Pseudonymt (standard)

Varje panelist får ett alias ur det antika Delfis namnförråd. Övriga panelister och läsare ser svar och motiveringar under aliaset. Ägaren och facilitatorn ser dessutom panelisternas riktiga namn och e-postadresser. De behövs för påminnelser, för att följa täckningen och för kvalitetskontroll.

Standardläget passar de flesta expertpaneler och motsvarar praxis på andra plattformar. Panelisterna kan argumentera och motivera fritt, när ingen annan i panelen vet vem som talar. Det är Delfimetodens klassiska utgångspunkt. Läget är pseudonymt. Det är inte helt anonymt i den meningen att facilitatorn och studieteamet kan veta vem som svarat vad. Det skiljer sig inte från en vanlig forskningsdesign, där forskaren samlar in uppgifterna och vet vem de kommer från.

Det här kan du lova panelisterna: *”Övriga panelister ser ditt alias och dina svar. Studiens facilitator ser ditt namn för kommunikationens skull, men ingen annan än du själv kan ändra eller radera dina svar.”*

2. Pseudonymt med blindläge

Blindläget (*Blind facilitator*) är ett extra skydd som slås på ovanpå det pseudonyma läget. När det är på ser hela studieteamet bara alias: ägaren, facilitatorn och läsaren. Inbjudningar och påminnelser fungerar, men ingen i teamet ser vem som är vem. Facilitatorn ser inte heller panelisternas länkar.

Läget passar känsliga ämnen och paneler där panelisternas ställning gör dem sårbara inför varandra, uppdragsgivaren eller forskarna. Exempel är en intern panel på en arbetsplats där en chef ingår i studieteamet, och ämnen där ett svar kan påverka svararens ställning.

Blindläget måste slås på innan inbjudningarna skickas. När den första mänskliga panelisten har bjudits in låses blindläget och kan inte längre hävas.

Det här kan du lova panelisterna: *”Ingen i forskarteamet kan se vem som svarade vad. Den här inställningen kan inte hävas under studien.”*

3. Anonym engångsomröstning

Ett helt anonymt svar är möjligt endast i den anonyma engångsomröstningen, till exempel en QR-omröstning på ett seminarium eller ett annat evenemang. Den som svarar får varken en personlig länk eller ett alias, och ingen identifierare är kopplad till svaret. Ingen kan alltså se något identifierande, eftersom det inte finns något identifierande.

En engångsomröstning har inga rundor och ingen revidering, och argumentationen fortsätter inte efter samma webbsession. Den passar för att snabbt samla in åsikter vid ett möte eller evenemang, och den kan kombineras med en egentlig Delfiprocess.

Det här kan du lova panelisterna: *”Ditt svar är helt anonymt: ingen identifierare är kopplad till det.”*

I alla lägen

Exporter till analys, rapporter och arkiv innehåller aldrig namn eller e-postadresser.
Siffror på gruppnivå döljs om en grupp har färre än tre personer.
AI-panelister är alltid märkta, och inga namn eller adresser skickas till AI-tjänsten.
När studien har avslutats kan ägaren anonymisera hela studien: namn och adresser raderas permanent och länkarna ogiltigförklaras.
Fritext kan avslöja den som skrivit den. Därför lönar det sig att säga till panelisterna till exempel så här: *”Det du skriver kan avslöja dig genom sitt innehåll, så undvik identifierande detaljer om du vill förbli oigenkänd.”*

Administratören har förbundit sig skriftligt

Alla tjänsteadministratörer har godkänt ett åtagande i tio punkter, publicerat på Pronoias sida Loggningspolicy. En administratör når en studies innehåll endast via supportläget. Varje direkt användning av databasen förs in i driftdagboken samma dag som den sker. Enligt åtagandet ändras inga svar och panelisternas identitet utreds inte. Utan att ha godkänt åtagandet kan en administratör inte öppna supportläget.

Sidan Loggningspolicy berättar också vad som registreras i loggen och vad som inte gör det, vem som ser loggen och vad loggen inte bevisar.

Ny artikel i metodbiblioteket

I metodbiblioteket finns en ny artikel, *Pseudonym, blindad eller anonym: vad du kan lova panelisterna*. Där finns färdiga formuleringar för inbjudan för varje läge samt rakt uttalade gränser som är värda att berätta även för uppdragsgivaren. Den viktigaste gränsen gäller alla lägen: fritext kan avslöja den som skrivit den. Anonymiteten gäller identifieraren, inte innehållet.

Orden i korthet

Pseudonym betyder alias eller signatur (grek. *pseudōnymos*, ’med falskt namn’). Enligt dataskyddsförordningen är pseudonymiserade uppgifter fortfarande personuppgifter: de kan inte kopplas till en person utan ytterligare uppgifter, men de uppgifterna finns och förvaras separat och skyddat. I Pronoia är aliaset synligt, och uppgiften om vem som står bakom det förvaras separat och skyddat.

Anonym betyder namnlös. Anonyma uppgifter kan inte kopplas till någon på något sätt, och dataskyddsförordningen tillämpas inte längre på dem. I Pronoia är svaren i en engångsomröstning och en studie som ägaren har anonymiserat efter att den avslutats verkligt anonyma.

Mer information: Säkerhet · Loggningspolicy