Goede stembeveiliging bij een OR-verkiezing betekent dat niemand, ook de organisator niet, kan zien wie op wie heeft gestemd, dat elke stemlink maar één keer bruikbaar is, en dat de uitslag achteraf aantoonbaar niet is gemanipuleerd. Zonder die drie garanties staat het draagvlak van de hele verkiezing op losse schroeven, hoe soepel de rest van het proces ook verloopt.

In het kort
  • Stemgeheim hoort in het tabelontwerp te zitten, niet als instelling die uit kan staan
  • Eenmalige, gehashte stemlinks voorkomen dubbel stemmen en misbruik van een gelekte link
  • Een hash over het verkiezingsrapport maakt knoeien achteraf aantoonbaar

Waarom stemgeheim niet vanzelf goed geregeld is

Bij een handmatig of naïef digitaal proces staat de link tussen stemmer en stem vaak dichterbij dan je denkt: een Excel-rij met naam én keuze op dezelfde regel, een stemlink die per ongeluk herbruikbaar is, of een organisator die toegang heeft tot zowel de kiezerslijst als de uitslag per persoon. Niet uit kwade wil, maar omdat stemgeheim iets is dat je vooraf in het ontwerp moet inbouwen, achteraf "beloven" dat er niet gekeken wordt, is geen beveiliging.

Wat technische stembeveiliging concreet inhoudt

Bij OR StemTool staan wie mag stemmen en wat er gestemd is op twee volledig gescheiden plekken in de database. De voters-tabel bevat een naam, e-mailadres en een gehashte versie van de unieke stemlink, plus alleen het antwoord op de vraag of iemand al heeft gestemd. De votes-tabel bevat welke kandidaat op welk moment is gekozen, zonder naam, e-mailadres of stemmer-ID, en zonder technische koppeling naar de voters-tabel. Daarnaast is elke stemlink maar één keer te gebruiken, loopt al het verkeer verplicht via HTTPS met HSTS, en krijgt elk verkiezingsrapport een sha256-hash mee waarmee je achteraf kunt aantonen dat er niet met de uitslag is geknoeid. De volledige technische onderbouwing, inclusief hoe dit stap voor stap wordt getest, staat op de zekerheidspagina.

Wat er op het spel staat als stembeveiliging ontbreekt

De Wet op de ondernemingsraden vereist een geheime, schriftelijke stemming voor de verkiezing van OR-leden, dat is geen vrijblijvend advies. Ontbreekt de technische basis daarvoor, dan loop je niet alleen een juridisch risico, maar vooral een praktisch: medewerkers die twijfelen of hun stem echt geheim is, stemmen minder makkelijk vrijuit, en een verkiezingscommissie die geen sluitend antwoord heeft op "hoe weet ik dat dit klopt" krijgt achteraf discussie over de uitslag in plaats van draagvlak voor de nieuwe OR.

Hoe je dit als organisator checkt voordat je activeert

Voordat een verkiezing live gaat, laat het conceptdashboard precies zien wat stemgerechtigden te zien krijgen: de kandidatenpreview, de e-mailpreview van de stemuitnodiging en de kiezerslijst. Pas na controle en akkoord op de voorwaarden activeer je, en pas dan gaat de stembus daadwerkelijk open. Dat geeft de verkiezingscommissie de kans om fouten in de lijst of kandidatenprofielen te vinden vóórdat er ook maar één stem is uitgebracht.

Veelgestelde vragen

Kan de organisator van de verkiezing zien wie op wie heeft gestemd?

Nee. Wie mag stemmen en wat er gestemd is staan in volledig gescheiden tabellen zonder technische koppeling. Er bestaat geen kolom, rapport of beheerdersfunctie die een stem terugleidt naar een stemmer.

Wat gebeurt er met de stemgegevens na afloop van de verkiezing?

Een gesloten verkiezing krijgt automatisch een bewaartermijn van 12 maanden. Daarna worden de verkiezing, kandidaten, stemgerechtigden en stemmen automatisch en onomkeerbaar verwijderd, met alleen een anonieme logregel dat dit heeft plaatsgevonden.

Is digitaal stemmen toegestaan volgens de Wet op de ondernemingsraden?

De WOR vereist een geheime, schriftelijke stemming. Digitaal vertaalt zich dat naar een eenmalige, persoonlijke stemlink (schriftelijk/individueel) en technisch afgedwongen scheiding tussen stemmer en stem (geheim), een bouwsteen voor naleving, geen vervanging van juridisch advies over jouw specifieke reglement.