Kullanıcı Araştırmalarında Katılımcı Verisini Korumak
Bir kullanıcı testinde topladığınız şey yalnızca ekran kaydı değildir. Katılımcının sesi, çoğu zaman yüzü, ekranında açık kalan e-posta kutusu, oturum sırasında ağzından kaçan şirket içi bir detay da kayda girer. Bunların hepsi kişisel veridir ve araştırma bittiğinde kendiliğinden ortadan kalkmazlar. Katılımcı verisini korumak oturumdan sonra alınan bir önlem değil, araştırma planıyla birlikte kurulan bir şeydir.
Asıl risk sızıntı değil, tanınma
Veri koruma denince akla önce dışarıdan gelen bir saldırı geliyor. Kullanıcı araştırmasında daha sık gerçekleşen senaryo çok daha sıradan: raporu okuyan kişi katılımcının kim olduğunu anlıyor.
İsim silmek bunu engellemez. Altı kişilik bir çalışmada "42 yaşında, Ankara ofisindeki satış müdürü" ifadesi kurum içinde tek bir kişiyi işaret eder. Bunun nedeni matematiksel: her demografik alan örneklemi böler, birbirinden bağımsız üç dört alan üst üste geldiğinde eşleşen kişi sayısı hızla bire iner. Örneklem küçüldükçe bu daha kolay olur, yani niteliksel araştırma anonimleştirme açısından anketten daha zordur, kolay değil.
Pratik sonuç şu: rapordaki her demografik detay için "bu bulguyu değiştiriyor mu" diye sorun. Değiştirmiyorsa yaş aralığına, rol grubuna, bölge yerine "şubede çalışan" gibi geniş bir tanıma çevirin.
Onam formu bir hukuk metni değil, anlaşmadır
Formda dört şeyin açık olması gerekir: hangi veri toplanıyor, ne kadar süre saklanacak, kim görecek, katılımcı vazgeçmek isterse ne olacak. Anlaşılmayan bir metne atılan imza etik olarak onam sayılmaz.
Burada çoğu rehberin atladığı bir gerilim var. Katılımcıya "istediğiniz zaman verinizin silinmesini isteyebilirsiniz" diyorsanız, o kişinin kaydını bulabilmek için katılımcı ile kod arasındaki eşleşmeyi bir yerde tutmak zorundasınız. Tam anonimleştirilmiş veride böyle bir eşleşme yoktur, dolayısıyla bireysel silme talebi de yerine getirilemez. İkisini aynı formda birlikte vaat etmek tutarsızdır. Doğru kurgu, eşleşme listesinin ne kadar süre yaşayacağını yazmaktır: "Kayıtlarınızı raporun tesliminden itibaren 30 gün içinde silme hakkınız var, o tarihten sonra veri geri dönüşsüz anonimleşir."
Ne toplanacağını daraltmak da aynı aşamanın işi. GDPR gibi çerçevelerin veri minimizasyonu ilkesi burada işe yarar: topladığınız her kimlik belirleyici alan için o alanın hangi analiz sorusuna hizmet ettiğini yazabilmelisiniz. Yazamıyorsanız o alan formda durmasın.
Anonimleştirmeyi analize bırakmayın
Yaygın uygulama, verileri ham haliyle toplayıp analiz sırasında temizlemek. Sorun şu ki ham kayıt o zamana kadar dolaşmaya başlamış oluyor: dosya adında katılımcının adı geçiyor, transkript paylaşılan bir klasöre düşüyor, birisi bir alıntıyı mesajlaşma uygulamasına yapıştırıyor.
Daha sağlam olanı, kimlik ile verinin en baştan ayrılması. Katılımcıya kayıt anında bir kod verilir (K1, K2 gibi), dosya adları, notlar ve transkriptler yalnızca bu kodu taşır. Kod ile gerçek kimliği eşleyen liste tek bir yerde, şifreli olarak ve erişimi ekipte iki kişiyle sınırlı biçimde durur. Video ve ses kaydında ekrandaki kişisel bilgilerin bulanıklaştırılması da transkripsiyonla aynı gün yapılır, sonraya kalırsa yapılmaz.
Şifreli harici disk çözüm değil
Rehberlerde sık geçen tavsiye, bulut yerine şifreli harici disk kullanmaktır. Bunu tersten görüyorum. Harici diskin erişim kaydı yoktur: diski kimin ne zaman taktığını, kimin kopyaladığını bilemezsiniz. Kaybolduğunda haberiniz olmaz, ekipten biri ayrıldığında erişimini tek yerden iptal edemezsiniz ve tek nüsha bozulursa veri tümden gider.
Doğru soru "bulut mu, disk mi" değil, şu üçü: erişim kayıt altında mı, erişim merkezi olarak iptal edilebiliyor mu, veri hem beklerken hem aktarılırken şifreli mi. Erişim kontrolü düzgün kurulmuş kurumsal bir hesap bu üç kriterin üçünü de karşılar; çekmecedeki disk hiçbirini karşılamaz. Kişisel hesaba, herkese açık paylaşım bağlantısına ve "link sahibi görebilir" ayarına kapalı olmak ayrı bir konu, o zaten şart.
Silme işi, silme tuşuna basmakla bitmez
Bir projede oturum videolarını "sonra lazım olur" diye ikinci bir klasöre kopyalamıştık; proje kapanışında silinen tek yer asıl klasör oldu.
Bu yüzden silme adımı bir envanterle başlar. Ham kayıtlar, transkriptler, analiz tabloları, paydaşlarla paylaşılan sunumlar, çöp kutusu, mesajlaşma geçmişi, otomatik yedekler. Sonuncusu en çok unutulanı: çoğu sistem yedeği saklama süresi dolana kadar tutar, yani "sildim" diyebilmeniz için yedek politikanızın süresini bilmeniz gerekir. Katılımcıya verdiğiniz silme sözünün takvimi de o süreye göre kurulur.
Silme tamamlandıktan sonra kısa bir doğrulama yapın: dosya adında katılımcı kodunu ve adını arayın, paylaşılan klasörlerin erişim listesini açıp kimlerin kaldığına bakın. Bu iki kontrol beş dakika sürer ve genellikle en az bir artık dosya bulur.