Ética, segurança das participantes e dados no WLCE Index

Quem revisa a pesquisa antes do início, como funciona o consentimento e como suas respostas são protegidas

Veja como participar Como sua segurança é protegida

Três condições antes de fazer uma única pergunta

Participar do Women's Life-Cycle Economy Index (WLCE Index) é voluntário: você pode pular uma pergunta ou parar, e as perguntas sensíveis só se abrem com seu consentimento separado.

O questionário é aberto em um país depois de três condições: revisão ética e autorizações, uma avaliação de impacto sobre a proteção de dados e, para as perguntas sobre violência, um mapa verificado de serviços de ajuda.

Slide 1/3

Revisão ética e autorizações

Antes de qualquer coleta de dados, os requisitos de revisão ética e de autorizações serão definidos e cumpridos para o protocolo e para cada país. O protocolo principal será revisado por um comitê de ética independente da Womafreesm, como o comitê de uma universidade parceira. O trabalho de campo também será revisado em cada país onde ocorrer, com as autorizações que o país exigir. O Index Results Register mostrará a situação da preparação e as decisões recebidas.

A aprovação ética vem de fora da Womafreesm

O protocolo principal do estudo irá para um comitê de ética independente, externo à Womafreesm: o comitê de uma universidade parceira, atuando para a Womafreesm mediante acordo escrito, ou um comitê independente reconhecido. O comitê será escolhido em 2027, antes do início da coleta de dados.

O trabalho de campo em cada país também passará pela revisão própria desse país, com a autorização ou a instituição parceira local que o país exigir. O comitê independente será designado antes do início do trabalho de campo, e sua designação será registrada no Index Results Register como um marco separado.

O próprio Conselho de Ética e Proteção de Dados da Womafreesm redigirá os documentos e executará as decisões. A aprovação cabe ao comitê externo.

Index Results Register

O questionário principal

Responder ou não ao questionário principal; as outras sete decisões são adicionais. Ela pode pular qualquer pergunta dele e parar a qualquer momento.

As perguntas sensíveis

Abrir ou não a parte separada sobre violência, saúde e dinheiro. Essa parte tem consentimento próprio, revisão de risco própria e regras de acesso próprias.

Ondas posteriores da pesquisa

Responder ou não novamente em uma onda posterior, como parte do painel de participantes que retornam. Os prazos de retenção para as ondas repetidas serão definidos separadamente.

Guarda dos dados de contato

Se o estudo pode ou não guardar uma forma de contatá-la para um acompanhamento, e qual forma é segura para ela. Os dados de contato são armazenados separadamente das respostas dela.

Gravação da entrevista

Se a entrevista, caso haja, pode ou não ser gravada. Isso é perguntado a ela antes da entrevista, no momento em que a questão se torna pertinente.

Citação das palavras dela

Se as palavras dela podem ou não ser citadas em publicações. Antes de se usar uma citação, verifica-se o risco de alguém reconhecê-la por meio dela.

Estudos futuros

Se as respostas dela podem ou não ser usadas em estudos futuros, dentro dos temas, objetivos e regras de acesso do texto de consentimento; qualquer outro uso exige novo consentimento.

Acesso de pesquisadores parceiros

Se pesquisadores parceiros podem ou não trabalhar com as respostas dela, com códigos no lugar dos nomes, no ambiente seguro de pesquisa. Eles não recebem cópia.

Antes de qualquer resposta, o texto de consentimento informa o que permanece confidencial no país dela e quando a lei exige o contrário: em alguns países, a lei obriga os pesquisadores a comunicar certos fatos, e o texto indica esses casos.

Também explica o que acontece se mais tarde ela decidir sair da pesquisa: ninguém da pesquisa voltará a contatá-la, seus dados de contato serão excluídos e será mantido um registro administrativo limitado da própria desistência, com base e prazo de retenção informados.

As respostas que ainda podem ser vinculadas a ela por meio da chave são removidas do conjunto de dados da pesquisa a pedido dela; a regra para as respostas já incluídas em cálculos verificados será fixada antes do piloto. Os resultados combinados já publicados não podem ser alterados: neles, as respostas individuais não são distinguíveis.

As perguntas sensíveis seguem regras próprias

As perguntas sensíveis abrangem violência, sintomas ignorados por médicos, controle sobre o dinheiro dela, assédio e situações em que ela não se sentiu segura. Formam uma parte separada da pesquisa, o módulo sensível, com consentimento próprio, revisão de risco própria, classe de dados própria (veja a tabela abaixo) e regras de acesso próprias.

Redação neutra

Os convites e as notificações parecem uma mensagem comum, e o aplicativo tem um nome comum, sem nenhuma indicação do tema. Para ela, isso significa: as notificações não revelam do que trata o questionário. Em um dispositivo compartilhado ou de outra pessoa, a proteção é limitada pelo próprio dispositivo: quem controla o telefone pode ver o que foi aberto nele.

Primeiro, uma verificação de segurança

Antes de abrir as perguntas sensíveis, a pesquisa pergunta três coisas: ela está sozinha, este é um bom momento, ela quer continuar. Para ela, isso significa: ela responde somente quando ela mesma escolheu a hora e o lugar. Se o momento não for adequado, a pesquisa espera, e ela pode voltar depois.

Palavras simples, os nomes que ela mesma dá às coisas

As perguntas indagam o que aconteceu, em palavras simples. Primeiro se pergunta o que aconteceu; o que a clínica, o empregador ou a polícia fizeram a respeito é perguntado separadamente. Para ela, isso significa: ela descreve os fatos com as próprias palavras, sem precisar chamá-los de “violência” nem de qualquer outro termo jurídico, e ninguém julga suas palavras.

Pular e sair

Qualquer pergunta pode ser pulada. É possível sair da seção a qualquer momento com um toque, e o questionário não voltará a ela. Para ela, isso significa: ela decide do que falar. Pular uma pergunta sensível não exclui, por si só, o restante de suas respostas da análise.

Saída rápida

Se alguém entrar no cômodo, um toque substitui instantaneamente a tela por uma página comum e neutra. Para ela, isso significa: quem entrou vê um site comum. A saída rápida troca a tela e não protege contra o monitoramento do dispositivo ou da atividade na internet; o navegador guarda a lista de páginas visitadas, e vale a pena limpá-la somente onde isso for, em si, seguro. O que acontece com as respostas já inseridas ao usar a saída rápida será informado nas condições de participação.

Dados técnicos mínimos

As páginas sensíveis guardam somente o necessário para registrar uma resposta; as ferramentas que registram cliques ou a tela ficam desativadas ali. Para ela, isso significa: o que ela digitou e apagou não é guardado. Quais dados técnicos são coletados para controle de qualidade, como o tempo de preenchimento, será listado nas condições de participação.

Se uma pergunta trouxer à tona algo difícil

Está sendo desenvolvido um procedimento separado para três formatos: autopreenchimento, entrevista remota e entrevista presencial. As respostas on-line não são lidas em tempo real e ninguém intervém automaticamente: ao lado das perguntas sensíveis haverá um contato verificado de um serviço de ajuda no país dela, e na entrevista o entrevistador sabe onde parar e para onde encaminhá-la. O contato de um serviço é uma forma de pedir ajuda, não uma garantia de recebê-la.

Como são protegidas as pessoas que leem as respostas dela

Entrevistadores, tradutores, as pessoas que transcrevem as gravações e as que codificam e etiquetam as respostas leem o mesmo material da participante, e isso também pode pesar sobre elas.

Por isso, essas pessoas serão selecionadas, treinadas com entrevistas de prática, apoiadas por um supervisor experiente e terão tempo para conversar sobre as entrevistas difíceis depois. Se o trabalho ficar pesado demais, qualquer uma delas pode se afastar dele a qualquer momento, e isso é tratado como parte normal do procedimento.

Cada uma delas assinará um acordo sobre como lida com os dados. Antes que o material passe de uma pessoa para a seguinte, os nomes são substituídos por códigos: é isso que pseudonimizado significa nesta página. A história de uma mulher, contada com as próprias palavras, só é tratada em sistemas que o programa controla ou com os quais tem um acordo de dados assinado. Isso inclui ferramentas de IA: as tarefas e os dados permitidos para elas serão listados no acordo de dados, e o trabalho com elas ocorre somente dentro do ambiente seguro. Chatbots públicos e outros serviços externos que possam guardar cópia do que neles é digitado não são permitidos.

Cada classe de dados tem regras de acesso próprias

Classe	O que contém	Quem pode acessar
Operacional	Nome, dados de contato, registros de consentimento, permissão para contatá-la novamente, verificações contra registros falsos	Somente a equipe de operações. Sempre armazenados separadamente das respostas dela
Chave de vinculação	O único objeto que conecta uma pessoa às respostas dela	Um único responsável nomeado; duas pessoas precisam agir em conjunto para usá-la. A classe mais protegida de todas
Sensível	Respostas sensíveis, gravações de áudio de entrevistas e relatos em texto livre, protegidos com chaves próprias e separadas; antes que o material passe ao especialista seguinte, são removidos dele nomes, lugares e outras indicações diretas de uma pessoa	Analistas nomeados; cada um vê somente as colunas aprovadas para sua tarefa e trabalha dentro do ambiente seguro de pesquisa, onde o download local e os serviços externos sem acordo de dados são bloqueados
Dados de pesquisa pseudonimizados	Respostas das quais foram removidos nomes, dados de contato e outros identificadores diretos	Pesquisadores aprovados, dentro do ambiente seguro de pesquisa, depois que o Comitê de Acesso a Dados aprovar o pedido e um acordo de acesso a dados for assinado
Agregados públicos	Resultados combinados de países e regiões, verificados quanto ao risco de identificar indivíduos	Todos

Os dados são divididos em cinco classes por uso. O acesso é determinado pela função do especialista, pela tarefa aprovada e pela quantidade de dados necessária; restrições adicionais se aplicam às informações sensíveis. As regras são as mesmas para todos.

Cada classe terá seu próprio prazo de retenção, registrado por escrito e incorporado ao sistema. Os prazos para dados de contato, chave de vinculação, respostas, gravações de áudio e registros de serviço são definidos separadamente, para a participação única e para as ondas repetidas; eles estão entre as regras a definir antes da coleta de dados, listadas abaixo.

Tudo o que protege a mulher fica com a Womafreesm: o repositório de dados de identidade, o registro de consentimentos, as chaves que vinculam uma pessoa às respostas dela, as respostas sensíveis, as verificações antes da publicação e o ambiente seguro de pesquisa.

Por que só são publicados resultados combinados

Um resultado combinado é um único número para muitas mulheres ao mesmo tempo: por exemplo, a parcela de mulheres de um país que voltaram ao mesmo cargo depois da licença parental.

As respostas de uma mulher, mesmo sem o nome dela, continuam sendo um registro sobre uma pessoa. É por isso que o estudo chama esses dados de pseudonimizados, e não de anônimos, e é por isso que o que sai do estudo são resultados combinados, com citações somente mediante o consentimento separado dela e após a verificação do risco de reconhecimento.

Por que um registro sem nome ainda pode revelar quem é uma mulher.

Pense em uma resposta: país, 52 anos, parteira, cidade pequena, voltou ao trabalho depois de cuidar da mãe. Não há nome, mas em uma cidade pequena existe uma única mulher assim, e quem a conhece a reconhecerá por esses detalhes. Em um estudo sobre violência, menopausa e dinheiro, isso basta para causar dano. A regra abaixo protege exatamente contra isso.

Isso já aconteceu com outros.

Em 2016, pesquisadores publicaram na internet 68.371 perfis de um site de namoro, argumentando que, como as próprias pessoas haviam preenchido os perfis, os dados “já eram públicos”. A primeira versão do conjunto de dados continha nomes de usuário e cidades; mais tarde, eles foram removidos por questões de privacidade. Em 2018, o órgão regulador de privacidade da Austrália concluiu que, em um conjunto de dados governamentais de saúde divulgado como desidentificado, os números de identificação de prestadores de saúde podiam ser recuperados: a criptografia podia ser revertida. Nas duas vezes, o conjunto de dados havia sido considerado seguro para publicação.

É por isso que só são publicados resultados combinados, e cada número é verificado antes da publicação: ele poderia apontar para uma pessoa? Se um grupo for pequeno demais, por exemplo, poucas mulheres com uma situação rara em uma região, o número é fundido com um vizinho ou retido. Os registros individuais das mulheres permanecem dentro do ambiente seguro de pesquisa.

O que será publicado abertamente

Tudo o que é necessário para verificar o Índice será aberto.
Uma coisa permanece fechada: as respostas individuais das mulheres.

Metodologia e protocolo de pesquisa

Como o Índice é construído e como o estudo é conduzido, passo a passo. Publicados antes do início da coleta de dados, para que possam ser criticados antes de haver resultados a defender.

Questionários

Cada pergunta, em cada versão de idioma. Qualquer pessoa pode ver exatamente o que foi perguntado às mulheres e como, e comparar a redação entre os idiomas.

Livro de códigos

Um dicionário dos dados: o que significa cada coluna da tabela e o que representa cada código de resposta. Sem ele, uma tabela de números é ilegível, mesmo para um especialista.

Código de cálculo

O programa que transforma os dados no Índice. O código aberto permite que qualquer pessoa estude o algoritmo; um recálculo completo só é possível com acesso aos dados no ambiente seguro de pesquisa, e o conjunto de dados de prática é usado para testar o próprio código.

Resultados combinados

Números de países e regiões, cada um verificado previamente para que não possa apontar para uma pessoa. Esta é a única forma em que os resultados saem do estudo.

Conjunto de dados de prática (dados sintéticos)

As mesmas colunas e respostas semelhantes às do conjunto de dados real, mas cada linha é inventada e nele não há mulheres reais. É usado para aprender a trabalhar com os dados e para testar o código, e passa pela mesma verificação de risco de divulgação que os resultados combinados.

Os pesquisadores que precisam de dados individuais das participantes podem solicitar acesso a eles no ambiente seguro de pesquisa.

O acesso é liberado depois que o Comitê de Acesso a Dados aprova o pedido e um acordo de acesso a dados é assinado.

Para pesquisadores

O que será definido antes do início da coleta de dados

Prazos de retenção

Os prazos para cada tipo de dado, dos contatos aos registros de serviço, serão definidos antes do piloto. Excluir o vínculo depois das verificações de qualidade e manter um conjunto de dados codificado para ondas repetidas e para reproduzir cálculos são coisas compatíveis: a regra dirá o que é guardado e por quanto tempo.

A lista de países do piloto

Os países do piloto serão determinados; a lista será publicada com a nota metodológica do piloto. Em cada país da lista, a revisão ética e as autorizações vêm antes da primeira pergunta; as perguntas sobre violência aguardam um mapa verificado e datado de serviços de ajuda.

O que acontece quando as respostas são difíceis

Para três formatos (autopreenchimento, entrevista remota e entrevista presencial), ficará registrado por escrito antes do piloto: se as respostas são lidas, como pedir apoio, quem responde e com que rapidez, para onde encaminhar a mulher e onde termina o papel do entrevistador.

Regras para a coleta presencial

O protocolo de coleta presencial será redigido e testado antes do início do trabalho de campo: como os locais são escolhidos, como os entrevistadores são selecionados, treinados e habilitados, como tanto a mulher quanto o entrevistador são protegidos e quando a cópia local dos dados é excluída.

Acesso de pesquisadores parceiros e publicação de citações

Antes do piloto, serão fixadas as condições em que pesquisadores parceiros trabalham com respostas codificadas no ambiente seguro de pesquisa, assim como a regra para publicar citações: o consentimento separado da própria mulher e a verificação do risco de alguém reconhecê-la.

Localização dos dados e fornecedor

Antes do piloto, serão determinados o fornecedor do serviço de pesquisa, a geografia de armazenamento e acesso e o procedimento para acesso a partir de outros países, e o acesso do fornecedor, os backups, a exclusão, os registros de atividade e a resposta a incidentes serão fixados nos requisitos do sistema.

Várias regras estão sendo redigidas agora.

Cada uma será fixada antes da etapa para a qual é necessária, e cada uma é registrada no Index Results Register.

Index Results Register

Perguntas frequentes

1. Quem revisa a ética do estudo?

O protocolo principal será revisado por um comitê de ética independente, externo à Womafreesm, a ser escolhido em 2027, antes do início da coleta de dados; o trabalho de campo em cada país passará por revisão nacional. O conselho interno da Womafreesm preparará os documentos e executará as decisões; a aprovação cabe ao comitê externo.

2. Posso pular uma pergunta ou sair do módulo sensível?