S3ntiment

Wij leggen geen respondentendatabase aan: e-mailadressen worden nergens opgeslagen en er bestaat geen tabel die een antwoord aan een persoon koppelt. Wat bij een inbraak niet te stelen valt, is precies die koppeling, omdat hij nooit is gemaakt.

Een gestolen enquêteantwoord is op zichzelf vrijwel waardeloos; wat een datalek schadelijk maakt is de koppeling die eraan vastzit, dit antwoord hoort bij deze persoon. De meeste enquêteplatforms leggen die koppeling ergens vast, in een deelnemerslijst of een mailveld of een respondent-ID, en beveiligen hem daarna zo goed als ze kunnen. Dat gaat goed totdat het misgaat, en het is precies die afhankelijkheid die wij niet wilden accepteren.

De keten bepaalt het risico, niet jouw beveiliging

Een organisatie geeft klantgegevens aan een onderzoeksbureau, dat bureau werkt met software van een leverancier, en die leverancier bewaart alles op zijn eigen servers. Wie bij een inbraak getroffen wordt, is daardoor zelden degene die de fout maakte. Enquêtesoftware staat bovendien zelden bovenaan het lijstje beveiligingsprioriteiten, en juist dat maakt het een aantrekkelijk doelwit voor wie op zoek is naar persoonsgegevens.

Achteraf werd de vraag gesteld die vooraf gesteld had moeten worden: waarom bewaarde een onderzoeksbureau überhaupt gegevens die naar personen te herleiden waren? Was die koppeling er niet geweest, dan was er niets gebeurd. Dat is het uitgangspunt waarop S3ntiment is gebouwd.

Wij bewaren geen respondentenlijst

Om uitnodigingen te versturen is een adressenlijst nodig, en die gebruiken we ook, eenmalig, om de uitnodiging te verzenden. Daarna houdt het op: het adres wordt niet bewaard bij de enquête, maar omgezet in een anonieme sleutel.

Je sleutel komt uit je adres, maar leidt er niet naar terug

Je bewijst dat je je e-mailadres beheert, en daaruit wordt een cryptografische sleutel afgeleid met een techniek die oblivious pseudorandom function heet. Die afleiding werkt maar één kant op: hetzelfde adres levert altijd dezelfde sleutel op, zodat je je antwoorden terugvindt zolang je bij je mail kunt, terwijl uit de sleutel het adres niet valt af te leiden. Wat er bij ons wordt bewaard is die sleutel, en verder niets.

Een anoniem account in plaats van een respondent-ID

Diezelfde sleutel levert bij elk bezoek hetzelfde resultaat op, en functioneert daardoor als een account waar geen naam aan hangt. Een respondent kan zijn eigen antwoorden terugvinden, aanpassen of verwijderen, en kan met dezelfde sleutel ook aan een volgende enquête deelnemen, zodat ontwikkelingen over langere tijd te volgen zijn. Wat je daarmee krijgt is wat een respondent-ID normaal gesproken oplevert, herkenning en continuïteit en een reeks in plaats van losse momentopnames, zonder dat er ergens vastligt wie die respondent is.

De lijst mag weg zodra de uitnodiging verstuurd is

Omdat de sleutel niet naar het adres terugleidt, is de oorspronkelijke lijst na verzending nergens meer voor nodig. Je kunt hem weggooien, of hem houden waar hij thuishoort, bij de organisator zelf en buiten het enquêteplatform om. De enquête blijft in beide gevallen werken, en de patronen in de data blijven onverminderd bruikbaar; alleen de weg terug naar een persoon bestaat niet. Een inbraak bij ons levert daardoor antwoorden zonder mensen op, en een inbraak bij de organisator hooguit een adressenlijst die niets zegt over wat er geantwoord is. De twee helften zijn nooit op één plek samengebracht.

Er is niemand die alsnog kan meekijken

Elke respondent heeft dus zijn eigen sleutel, en verder bestaat er niets: geen tweede sleutel die alle antwoorden tegelijk opent, geen beheerdersaccount met ruimere rechten, geen achterdeur voor uitzonderlijke gevallen. Dat is geen huisregel die wij onszelf hebben opgelegd, maar een gevolg van waar de data staat.Wij draaien niet op eigen servers, maar op Nillion, een decentraal netwerk waarin onafhankelijke partijen ieder een deel van het werk doen en niemand het geheel beheert. Het rekenwerk gebeurt binnen een trusted execution environment, een afgeschermd deel van de processor waar ook de beheerder van de machine niet in kan kijken. Wie de hardware draait, draait hem blind.

Er is zo geen partij die onder druk gezet kan worden, en een juridisch bevel om respondentdata af te staan is voor niemand op te volgen, niet voor S3ntiment en niet voor de organisator. De code die dit afdwingt is open source en onafhankelijk verifieerbaar vastgelegd, zodat je ons niet op ons woord hoeft te geloven.

Wat de wet vraagt, is er al niet

Die architectuur heeft een neveneffect dat je niet hoeft te organiseren. De AVG verplicht tot dataminimalisatie, beveiliging en melding bij lekken, en bij S3ntiment volgt het eerste rechtstreeks uit de opzet: er zijn geen persoonsgegevens om te verwerken, te beveiligen of te lekken. Niet omdat de wet wordt omzeild, maar omdat er niets overblijft waar de wet op aangrijpt.