4.6. De risicoanalyse van Hong

Hong e.a.1 hebben met verwijzing naar het onderzoekswerk van Bellotti & Sellen een privacy risicoanalyse ontworpen voor de ambient intelligence (AMI) omgeving. De privacyrisicoanalyse kent twee delen: de risicoanalyse en het risicomanagement. De privacyrisicoanalyse richt zich op de sociale en organisatorische context van het systeem en de technologie die wordt gebruikt bij de implementatie van de applicatie. De risicoanalyse bestaat uit een aantal vragen die inzicht dienen te verschaffen over de manier waarop de applicatie verwacht wordt te functioneren bij normaal gebruik. Daarbij wordt tevens nagegaan wie de gebruikers en de gegevensdelers zijn, wie de gegevens bekijken en welke soort relaties (sociaal, juridisch, commercieel etc.) tussen hen bestaan. Deze inventarisatie geeft een indicatie hoe het best een adequaat niveau van vertrouwen en de voordelen van het delen van persoonlijke informatie gerealiseerd kan worden, terwijl de potentiële risico's tegelijkertijd kunnen worden verminderd. Speciale aandacht krijgt de manier waarop tegen privacyinbreuken kan worden geprotesteerd. Opvallend is dat de beveiliging van de gegenereerde persoonsgegevens niet in deze risicoanalyse voorkomt. Het tweede deel dat zich met het privacyrisicomanagement bezighoudt, geeft een weging aan de gevonden privacyrisico's. Bovendien geeft het voor de ontwerpers van het systeem oplossingsrichtingen aan om de risico's te ondervangen.

Hong e.a. refereert aan het Angelsaksische rechtsbeginsel "reasonable care"2als een nieuw element voor het managen van de privacyrisico's. Om de risico's te kunnen kwantificeren maakt hij de kosten/baten analyse een onderdeel van het privacyrisicomanagement. Hij laat zich leiden door een uitspraak van de befaamde rechter Learned Hand in de zaak United States versus Carroll Towing Co. (1947),3 die drie factoren met betrekking tot het vaststellen van nalatigheid en aansprakelijkheid vaststelde. Deze factoren zijn door Hong e.a. aangepast om vast te stellen of de privacyrisico 's wel proportioneel worden afgedekt. De eerste factor is L, die staat voor de waarschijnlijkheid dat een ongewenste openbaarmaking van persoonlijke informatie plaatsvindt. De tweede factor is de potentiële schade, weergegeven door de letter D, die ontstaat bij de openbaarmaking en de derde factor is C, de kosten die gemaakt moeten worden om een adequate privacybescherming te realiseren. Als C < LD (d.w.z. het risico en de schade van een ongewenste openbaarmaking zijn groter dan de kosten van beschermingsmaatregelen), dan moeten maatregelen genomen worden ter wille van de privacybescherming. Zijn de kosten prohibitief hoog om privacy te beschermen, dan kan er volgens Hong e.a. op grond van het beginsel van "reasonable care" (gedeeltelijk) vanaf worden afgezien om een privacy beschermende investering te doen. Exoneratie van schadeaansprakelijkheid in de gesloten overeenkomsten zou de factor D kunnen verlagen, maar in veel gevallen zal exoneratie niet mogelijk zijn.4 Hong e.a. hebben hun privacyrisicomodel getest op twee applicaties, nl. de Location-enhanced Instant messenger (een AT&T Wireless's Find Friends toepassing) en 911 BEARS Emergency Response Service5 om de plaats van een ongeval te vinden. Het researchteam kwam tot de conclusie dat het voorgestelde model instrumenteel goed genoeg was om een aantal concrete privacyrisico 's in de ambient intelligenceomgeving van beide applicaties op te sporen, maar van perfectie was geen sprake. Hoe de risico's op te lossen, kwam niet aan de orde.