Pomiar dobrostanu bez inwigilowania osób, które są mierzone.

Moduł dobrostanu w Lurno zbiera od pracowników krótkie ankiety samopoczucia i pokazuje kierownictwu wyłącznie to, co nie pozwala nikogo zidentyfikować. Każda odpowiedź jest zapisywana pod pseudonimem wyliczonym z kluczem, a nie pod nazwiskiem, a jedyna polityka odczytu na tabeli ankiet dopasowuje identyfikator użytkownika samego autora — więc nikt w organizacji nie otworzy pojedynczej odpowiedzi, ani przełożony, ani osoba prowadząca dobrostan, ani administrator organizacji. Wyniki grupowe są udostępniane dopiero wtedy, gdy odpowie wystarczająco wiele osób: próg zaczyna się na pięciu, organizacja może go podnieść, a obniżyć nie może go ani organizacja, ani Lurno. Poniżej progu nie widać nic — ani mniejszej liczby, ani średniej. Dobrostan pozostaje wyłączony, dopóki administrator nie włączy go dla konkretnej organizacji.

k-anonimowość

Wynik jest k-anonimowy, gdy każda opisana nim osoba jest nie do odróżnienia od co najmniej k−1 innych. Tutaj k to liczba osób, które muszą odpowiedzieć, zanim wynik grupowy w ogóle się pojawi — przy k = 5 czteroosobowy zespół nigdy nie wytworzy wykresu. Dotyczy to każdego słupka, nie tylko sumy: cztery odpowiedzi zgadzam się i jedna zdecydowanie się nie zgadzam przechodzą sprawdzenie na sumie, a potem publikują słupek o wysokości jeden. Komórki zbyt małe, by je opublikować, zwijają się do jednego koszyka pozostałe, zamiast zniknąć, bo ich pominięcie zostawiłoby sumy zaniżone dokładnie o ukrytą liczbę.