Allegato Tecnico MIM · sezione 4
Lo scrutinio segreto è segreto perché lo dice lo schema dei dati
La sezione 4.3 dell'Allegato chiede che nello scrutinio segreto identità e voto siano separati e che il votante non sia re-identificabile «neanche indirettamente», metadati compresi. È un requisito che non si soddisfa con un'informativa: si soddisfa non avendo, nella base di dati, il pezzo che permetterebbe di ricomporre le due cose. Qui c'è che cosa abbiamo tolto, e perché.
Quorum costitutivo e regola deliberativa, secondo le regole dell'organo
Ogni organo ha le proprie regole, e si impostano una volta: la percentuale del quorum costitutivo (metà più uno, come valore predefinito di piattaforma), la regola deliberativa — maggioranza semplice dei votanti, maggioranza assoluta degli aventi diritto, oppure due terzi — e se gli astenuti entrano o no nella base di calcolo.
Le modifiche valgono dalle votazioni successive. Quelle già aperte conservano le regole con cui sono partite: cambiare la soglia a votazione aperta significherebbe cambiare l'esito, ed è precisamente ciò che non deve poter accadere.
L'apertura fotografa gli aventi diritto e le regole
Aprire una votazione significa agganciarla a un punto dell'ordine del giorno e scattare una fotografia: chi sono gli aventi diritto in quel momento, quali regole di quorum si applicano. L'esito resterà valutabile anche fra tre anni, quando la composizione dell'organo sarà cambiata e nessuno si ricorderà quale soglia era in vigore.
Si vota una votazione alla volta: due contemporanee renderebbero ambiguo il quorum costitutivo al momento della chiusura. Lo scrutinio segreto è un interruttore all'apertura, e richiede un permesso diverso da quello del voto palese.
Chi apre e chi chiude
Aprire una votazione, aprire uno scrutinio segreto, chiudere, annullare e ripetere sono permessi riservati a chi presiede dal codice, con il riferimento alle sezioni 4.1, 4.3 e 8 dell'Allegato citato accanto al vincolo. Nella matrice compaiono con il lucchetto e l'interruttore non risponde; nemmeno un'eccezione per singola persona li sblocca. Non è il valore predefinito: è il vincolo.
Voto palese: tracciabile, perché così deve essere
Nel voto palese la scheda porta l'identificativo di chi ha votato e il registro attività annota anche la scelta. Non è una svista: la sezione 4.2 dell'Allegato chiede esattamente che nel voto palese l'associazione fra votante e scelta sia esplicita e ricostruibile. Un voto palese anonimizzato non sarebbe più un voto palese.
Ciascun avente diritto sceglie favorevole, contrario o astenuto. Il contatore mostra quanti hanno votato sugli aventi diritto, senza mostrare come.
Scrutinio segreto: che cosa, di preciso, non esiste nel database
La domanda che ci fanno tutti è se l'amministratore possa risalire a chi ha votato che cosa. La risposta è no, e la ragione sta in tre assenze precise nella tabella delle schede:
- Nessun identificativo del votante. La scheda segreta non ha la colonna che collega alla persona. Non è vuota: non c'è.
- Nessuna colonna temporale. Niente «creato il», niente «aggiornato il». È l'assenza che conta di più, perché con l'orario della scheda e l'orario del registro dei votanti l'accoppiamento si ricostruirebbe in una riga di query.
- Identificativo casuale. La chiave primaria è un UUID versione 4, generato a caso. Un identificativo progressivo, o basato sul tempo come un UUID v7, porterebbe con sé l'ordine di arrivo — cioè, di nuovo, l'orario.
L'orario esiste in un solo posto, il registro dei votanti, che serve a impedire il doppio voto e non ha nulla con cui accoppiarsi. Il registro attività annota l'atto di aver votato, mai la scelta.
Il doppio voto resta impossibile anche nel segreto: la registrazione avviene in transazione con blocco sul registro dei votanti. Si può votare una volta sola, pur essendo la scheda anonima.
Come si verifica questa affermazione
Non chiediamo di crederci. L'anonimato dello scrutinio è coperto da test automatici che falliscono se qualcuno reintroducesse una colonna temporale sulle schede, se gli identificativi portassero un segnale di tempo, se una scheda segreta risultasse correlabile al registro dei votanti o se la scelta finisse nel registro attività. La garanzia sta nella suite, non in una dichiarazione.
Chiuso vuol dire immutabile
Alla chiusura la piattaforma conta le schede, verifica il quorum costitutivo — i presenti in quel momento contro gli aventi diritto fotografati all'apertura — applica la regola deliberativa e scrive l'esito. Da lì in avanti conteggi ed esito non cambiano più.
Gli esiti si esportano in CSV e in JSON per la conservazione, completi dei presupposti del quorum: aventi diritto, presenti alla chiusura, regola applicata. Ogni esportazione è essa stessa un'operazione registrata.
Se qualcosa va storto: la sezione 8
Una votazione con un malfunzionamento non si corregge. Si annulla indicando una motivazione obbligatoria, e le schede non vengono cancellate: restano agli atti insieme alla ragione dell'annullamento. Se serve, si ripete: nasce una nuova votazione, collegata a quella annullata, con gli aventi diritto e le regole fotografati di nuovo.
È il comportamento che la sezione 8 dell'Allegato chiede per i malfunzionamenti: poter sospendere o ripetere, senza che quello che è successo sparisca.
Continua a leggere
Presenze e numero legale
Il quorum costitutivo che la votazione verifica alla chiusura viene da qui.
Approfondisci →
Tracciabilità e registro attività
Apertura, voto, chiusura, annullamento: che cosa resta scritto, e che cosa di proposito non si scrive.
Approfondisci →
Elezioni degli organi
Lo stesso principio applicato al voto elettorale: scheda separata dall'elettore, risultati solo dopo la chiusura.
Approfondisci →
Vuoi vedere DeliberaCerta sulla vostra scuola?
Una dimostrazione dura mezz'ora e si fa sui vostri organi: il vostro consiglio, i vostri numeri, una votazione vera dall'apertura all'esito.