Anonyymi onkin oikeastaan pseudonyymi

Delphi Pronoia on Delfoin tunnuspiirteiden mukaisesti anonyymi: osallistujat eivät tunnista toisiaan muusta kuin nimimerkistä. Nimimerkki on myös se, mikä erottaa Pronoian aiemmista Delfoi-alustoista. Sen ansiosta panelistien välille voi syntyä suhteita kierrosten aikana. Siinä mielessä Pronoiaa voi kutsua myös pseudonyymiseksi menetelmäksi. Nimimerkit ovat lainaa antiikin Delfoista: ne on poimittu oraakkelin eri aikojen toimijoiden nimistä.

Panelistit näkevät toisistaan vain nimimerkin. Fasilitoija näkee nimet viestintää varten paitsi silloin, kun paneeliin on valittu sokkotila.

Panelistin vastaus on turvassa

Panelisti tulee omalle kotisivulleen henkilökohtaisella linkillä ilman salasanaa. Siksi linkki on suojattu kuin salasana.

• Arvaamaton. Linkin tunnus on 128-bittinen satunnaisluku. Lisäksi palvelin hidastaa toistuvat pyynnöt samasta osoitteesta, joten linkkien arvaaminen ei ole käytännössä mahdollista.
• Määräaikainen. Linkki on voimassa enintään 365 vuorokautta. Fasilitoija voi mitätöidä sen ja lähettää uuden, jos linkki on päätynyt vääriin käsiin.
• Kannassa vain tiivisteenä. Tietokannassa ja varmuuskopioissa ei ole linkkiä luettavassa muodossa, vain siitä laskettu tiiviste. Vaikka kanta tai varmuuskopio päätyisi jonkun käsiin, linkkejä ei voisi lukea siitä. Sovellus muodostaa linkin uudelleen vain palvelimen avaimella, jota ei säilytetä kannassa eikä varmuuskopioissa.
• Kulkee vain kutsukirjeessä. 20.10.2026 alkaen luoduissa tutkimuksissa on oletuksena suljettu linkkitila. Silloin palvelin ei näytä panelistien linkkejä fasilitoijalle lainkaan, vaan linkki kulkee vain panelistille lähtevässä kutsukirjeessä. Jos fasilitoija tarvitsee linkin poikkeuksellisesti, esimerkiksi kun panelisti ei löydä kirjettään, linkin voi näyttää kerran. Kertanäyttö vaatii perustelun ja kirjautuu lokiin. Sokkotila pakottaa aina suljetun linkkitilan.

Vain panelisti itse voi muuttaa vastaustaan. Tutkimustiimi ei voi kirjoittaa vastausta ihmispanelistin puolesta: palvelin torjuu sen.

Kutsukirjeet kulkevat sähköpostina, ja niissä ovat panelistin osoite ja henkilökohtainen linkki. Postipalvelu lähettää viestit EU:sta, mutta säilyttää ne Yhdysvalloissa. Tätä ei voi välttää niin kauan kuin kutsut lähetetään sähköpostilla.

Kolme identiteettitilaa

Tutkimustiimiin kuuluvat kaikki, joilla on tutkimuksessa rooli: omistaja, fasilitoijat ja katselijat. Omistaja on tutkimuksen perustaja tai se, jolle tutkimus on siirretty. Hän valitsee identiteettitilan, voi nollata vastauksia ja anonymisoida tutkimuksen sen päätyttyä, ja hän näkee koko tutkimuslokin. Fasilitoija vetää tutkimusta: hän kutsuu panelistit, avaa ja sulkee kierrokset ja lähettää muistutukset. Lokista hän näkee tapahtumat ilman oikeuksia koskevia merkintöjä. Katselija voi seurata tutkimusta, mutta näkee panelistit vain nimimerkeillä eikä näe lokia.

Tutkimuksen omistaja valitsee identiteettitilan koko tutkimukselle. Tila ratkaisee, mitä tutkimustiimi näkee ja miten panelistien tietoja käsitellään.

1. Pseudonyymi (oletus)

Jokainen panelisti saa nimimerkin antiikin Delfoin nimistöstä. Muut panelistit ja katselijat näkevät vastaukset ja perustelut nimimerkin alla. Omistaja ja fasilitoija näkevät lisäksi panelistien oikeat nimet ja sähköpostiosoitteet. Niitä tarvitaan muistutuksiin, kattavuuden seurantaan ja laadunvalvontaan.

Oletustila sopii useimpiin asiantuntijapaneeleihin ja vastaa muiden alustojen käytäntöjä. Panelistit voivat kiistellä ja perustella vapaasti, kun kukaan muu paneelissa ei tiedä, kuka puhuu. Tämä on Delfoi-menetelmän klassinen lähtökohta. Tila on pseudonyyminen. Se ei ole täysin anonyymi siinä mielessä, että fasilitoija ja tutkimustiimi voivat tietää, kuka on vastannut mitäkin. Tämä ei poikkea tavallisesta tutkimusasetelmasta, jossa tutkija kerää tiedot ja tietää, keneltä ne ovat.

Panelisteille voi luvata: *”Muut panelistit näkevät nimimerkkisi ja vastauksesi. Tutkimuksen fasilitoija näkee nimesi viestintää varten, mutta vastauksiasi ei voi muuttaa eikä poistaa kukaan muu kuin sinä itse.”*

2. Pseudonyymi ja sokkotila

Sokkotila on pseudonyymin tilan päälle kytkettävä lisäsuoja. Kun se on päällä, koko tutkimustiimi näkee vain nimimerkit: omistaja, fasilitoija ja katselija. Kutsut ja muistutukset toimivat, mutta kukaan tiimistä ei näe, kuka on kukin. Fasilitoija ei näe myöskään panelistien linkkejä.

Tila sopii arkaluonteisiin aiheisiin ja paneeleihin, joissa panelistien asema tekee heistä haavoittuvia toistensa, toimeksiantajan tai tutkijoiden silmissä. Esimerkkejä ovat työyhteisön sisäinen paneeli, jossa esihenkilö on tutkimustiimissä, ja aiheet, joissa vastaus voi vaikuttaa vastaajan asemaan.

Sokkotila on kytkettävä, ennen kuin kutsut lähtevät. Kun ensimmäinen ihmispanelisti on kutsuttu, sokkotila lukittuu eikä sitä voi enää purkaa.

Panelisteille voi luvata: *”Kukaan tutkimustiimistä ei näe, kuka vastasi mitäkin. Tätä asetusta ei voi purkaa tutkimuksen aikana.”*

3. Anonyymi kertaäänestys

Täysin nimetön vastaus on mahdollinen vain anonyymissä kertaäänestyksessä, esimerkiksi seminaarin tai muun tapahtuman QR-äänestyksessä. Vastaaja ei saa henkilökohtaista linkkiä eikä nimimerkkiä, eikä vastaukseen liity mitään tunnistetta. Kukaan ei siis näe mitään tunnistettavaa, koska tunnistettavaa ei ole.

Kertaäänestyksessä ei ole kierroksia eikä revisiota, eikä argumentointi jatku saman verkkoistunnon jälkeen. Kertaäänestys sopii nopeaan mielipiteiden keräämiseen tilaisuudessa tai tapahtumassa, ja sen voi yhdistää varsinaiseen Delfoi-prosessiin.

Panelisteille voi luvata: *”Vastauksesi on täysin nimetön: siihen ei liity mitään tunnistetta.”*

Kaikissa tiloissa

• Analyysiin, raportteihin ja arkistoon menevissä vienneissä ei ole koskaan nimiä eikä sähköpostiosoitteita.
• Ryhmätason luvut piilotetaan, jos ryhmässä on alle kolme henkeä.
• Tekoälypanelistit on aina merkitty, eikä tekoälypalveluun lähetetä nimiä tai osoitteita.
• Tutkimuksen päätyttyä omistaja voi anonymisoida koko tutkimuksen: nimet ja osoitteet poistetaan pysyvästi ja linkit mitätöidään.
• Vapaa teksti voi paljastaa kirjoittajansa. Siksi panelisteille kannattaa kertoa esimerkiksi näin: *”Kirjoittamasi teksti voi paljastaa sinut sisällöllään, joten vältä tunnistettavia yksityiskohtia, jos haluat pysyä tunnistamattomana.”*

Ylläpitäjä on sitoutunut kirjallisesti

Kaikki palvelun ylläpitäjät ovat hyväksyneet kymmenkohtaisen sitoumuksen, joka on julkaistu Pronoian Lokikäytäntö-sivulla. Ylläpitäjä pääsee tutkimuksen sisältöön vain tukitilan kautta. Jokainen suora tietokantakäyttö kirjataan ylläpitopäiväkirjaan samana päivänä, kun se tapahtuu. Sitoumuksen mukaan vastauksia ei muuteta eikä panelistien henkilöllisyyttä selvitetä. Ilman sitoumuksen hyväksyntää tukitila ei aukea.

Lokikäytäntö-sivu kertoo myös, mitä lokiin kirjataan ja mitä ei, kuka lokin näkee ja mitä loki ei todista.

Uusi artikkeli metodikirjastossa

Metodikirjastossa on uusi artikkeli *Pseudonyymi, sokkoutettu vai anonyymi: mitä voit luvata panelisteille*. Siinä ovat valmiit sanamuodot kutsukirjeeseen kullekin tilalle sekä suoraan sanotut rajat, jotka kannattaa kertoa myös toimeksiantajalle. Tärkein raja koskee kaikkia tiloja: vapaa teksti voi paljastaa kirjoittajansa. Anonymiteetti koskee tunnistetta, ei sisältöä.

Sanat lyhyesti

Pseudonyymi tarkoittaa nimimerkkiä tai salanimeä (kreik. *pseudōnymos*, ’väärällä nimellä’). Tietosuoja-asetuksessa pseudonymisoidut tiedot ovat yhä henkilötietoja: niitä ei voi yhdistää henkilöön ilman lisätietoja, mutta nuo lisätiedot ovat olemassa ja niitä säilytetään erillään ja suojattuina. Pronoiassa nimimerkki on näkyvissä, ja tieto siitä, kuka nimimerkin takana on, on erillään ja suojattu.

Anonyymi tarkoittaa nimetöntä. Anonyymiä tietoa ei voi yhdistää kehenkään millään keinolla, eikä tietosuoja-asetusta enää sovelleta siihen. Pronoiassa aidosti anonyymejä ovat kertaäänestyksen vastaukset ja tutkimus, jonka omistaja on anonymisoinut sen päätyttyä.

Lisätietoa: Tietoturva · Lokikäytäntö