4.12.1. Privacydoeleinden

Uit het model blijkt dat er bedreigingen zijn voor privacydoeleinden of 'privacy objectives'. Hieronder wordt in dit model verstaan: de Europese en andere (inter) nationale wet- en regelgeving met betrekking tot de bescherming van persoonsgegevens en de in hoofdstuk 2 besproken universele privacybeginselen betreffende persoonlijke informatie en de elf privacyrealisatiebeginselen. De hierboven vermelde privacybeginselen zijn niet de eerste kandidaten om het bedreigingsidentiflcatieproces mee te beginnen, maar de bedreigingen kunnen er van worden afgeleid, zoals in het EU PISA-researchproject is aangetoond.1 In de groep privacy objectives hoort ook thuis de ISO-standaard 15408 betreffende `anonymity', `pseudonymity', `unlinkability', `unobservability'. Een aanval op anonimiteit, pseudonimiteit, niet-traceerbaarheid en het niet-observeerbaar kunnen de identiteit(en) van de gebruiker blootleggen en zijn privacy beschadigen. Anonimiteit2 zorgt er voor dat de gebruiker van bepaalde diensten gebruik kan maken zonder dat zijn identiteit bekend wordt. Pseudonimiteit beschermt de identiteit binnen een bepaald gegevensdomein als anonimiteit niet kan worden aangeboden en de gebruiker in geval van fraude e.d. wel aansprakelijk gesteld dient te worden. Niet-traceerbaarheid verzekert de gebruiker van het feit dat hij van diensten kan gebruikmaken zonder dat anderen zijn gebruik van die diensten aan elkaar kunnen koppelen. Niet observeerbaarheid zorgt er voor dat een gebruiker van een dienst gebruik kan maken, zonder dat iemand in staat is om vast te stellen dat die dienst is gebruikt.3 De Article 29 Working Party heeft omschreven wanneer er sprake is van anonieme en pseudonieme data.4

Het model geeft voorts aan dat bedreigingen kunnen optreden die de 'security objectives' kunnen corrumperen, namelijk vertrouwelijkheid (bij onderschepping en afluisteren), integriteit (bij manipulatie van gegevens), verslag kunnen doen over wat er in een systeem is gebeurd (zich niet kunnen verantwoorden)5 en beschikbaarheid (niet kunnen beschikken over informatie). De notatie in het model: 1..* en 0..* geven aan het voorkomen van de hoeveelheid van mogelijke specifieke met het onderwerp (bijvoorbeeld `Threat Target') verbonden associaties of een bepaalde wiskundige waarde. Dus 0..1 betekent nul of één, 0..* betekent veel, 1..*, één of meer, en 1 betekent exact één. De twee punten (..) geven een klasse van objecten aan.