Die approbierte Originalversion dieser Dissertation ist in der Hauptbibliothek der Technischen Universität Wien aufgestellt und zugänglich. http://www.ub.tuwien.ac.at The approved original version of this thesis is available at the main library of the Vienna University of Technology. http://www.ub.tuwien.ac.at/eng Chasing shadows: the interplay of privacy and (digital) identification – toward an identifiability-based framework for privacy impact assessment DISSERTATION submitted in partial fulfillment of the requirements for the degree of Doctor of Social and Economic Sciences by Stefan Strauß Registration Number 09855841 to the Faculty of Informatics at the Vienna University of Technology Advisor: Prof. Dr.Wolfgang Hofkirchner The dissertation has been reviewed by: _______________________ _______________________ (Prof. Dr. Ingrid Schneider) (PD Dr. Michael Nentwich) Wien, 25.07.2017 _______________________ (Stefan Strauß) Technische Universität Wien A-1040 Wien ■ Karlsplatz 13 ■ Tel. +43-1-58801-0 ■ www.tuwien.ac.at Chasing shadows: the interplay of privacy and (digital) identification – toward an identifiability-based framework for privacy impact assessment DISSERTATION zur Erlangung des akademischen Grades Doktor der Sozial- und Wirtschaftswissenschaften eingereicht von Stefan Strauß Matrikelnummer 09855841 An der Fakultät für Informatik der Technischen Universität Wien Betreuung: Prof. Dr.Wolfgang Hofkirchner Diese Dissertation haben begutachtet: _______________________ _______________________ (Prof. Dr. Ingrid Schneider) (PD Dr. Michael Nentwich) Wien, 25.07.2017 _______________________ (Stefan Strauß) Technische Universität Wien A-1040 Wien ■ Karlsplatz 13 ■ Tel. +43-1-58801-0 ■ www.tuwien.ac.at Erklärung zur Verfassung der Arbeit Stefan Strauß Weißgerberlände 50, 1030 Wien Hiermit erkläre ich, dass ich diese Arbeit selbständig verfasst habe, dass ich die verwendeten Quellen und Hilfsmittel vollständig angegeben habe und dass ich die Stellen der Arbeit - einschließlich Tabellen, Karten und Abbildungen -, die anderen Werken oder dem Internet im Wortlaut oder dem Sinn nach entnommen sind, auf jeden Fall unter Angabe der Quelle als Entlehnung kenntlich gemacht habe. _____________________ _____________________ (Ort, Datum) (Name Verfasser) i Ackknowledgements I would like to thank Wolfgang Hofkirchner for supervising this thesis and his advice and support during my work. I would also like to express my gratidude to all my colleagues and friends at ITA for the vidid discussions and great working atmosphere. Finally, special thanks goes to my family and friends and particularly to Angelika for her patience, motivation and all the great support. Last not least I woud like to thank our little daughter Mathilda, who enriches life and contributed a lot to the finalisation of this thesis. ii Abstract Digital technology deeply affects the natural interplay between privacy, personal identity and identification. Privacy implications of digital identification practices are apparent but privacy studies tend to neglect either technical or societal factors in this regard. Only few studies take multiple angles into account. To narrow this gap, this research applied an interdisciplinary approach, located in the field of technology assessment; informed by general systems theory as an analytical lens. The results reveal a privacy control dilemma of digital identification shaped by several interrelated socio-political, economic and technical factors. Existing tensions between privacy, security, surveillance and transparency aggravate. Increases in implicit and explicit forms of (digital) identification, partially overlapping with surveillance practices, reinforce this dilemma: further growth in digitally networked environments complicates the detection of privacy risks and the creation of appropriate safeguards. Thus a core problem of contemporary privacy protection is uncontrolled identifiability, aggravating information asymmetries and agency problems inherent to the control dilemma. Entailed is increasing demand for privacy by design (PbD) and privacy impact assessment (PIA), also stimulated by the new European data protection regulation. Easing the dilemma requires more transparency of privacy- affecting information processing and thus PIA. Based on a review of existing PIA approaches, a refined approach was developed. The proposed identifiability-based PIA framework contributes to improve the theoretical understanding of privacy impacts with practical relevance. Included is a typology of identifiable information with explicit consideration of technical identifiability. The typology enables a more systematic analysis of privacy-relevant information processes as integral part of PIA. This can also contribute to the development of more effective PbD implementations. A prototypical PIA process sketches a potential practical adoption of the identifiability-based approach, supportive as a guideline for PIA implementations in institutions. Progressing digital automation and semi- autonomous systems make a further expansion of identifiability likely and thus additional demand for effective PIA and PbD. iii Kurzfassung Digitale Technologien haben massive Auswirkungen auf das Verhältnis zwischen Privatsphäre, Identität von Personen und deren Identifizierung. Privatsphäre-Implikationen von digitalen Identifikationsmechanismen sind offensichtlich, in der Forschung werden dabei allerdings entweder gesellschaftliche oder technische Aspekte häufig vernachlässigt. Diese Arbeit versucht mit einem interdisziplinären Ansatz im Bereich der Technikfolgen- Abschätzung, gestützt durch die allgemeine Systemtheorie, diese Lücke zu verringern. Die Ergebnisse offenbaren ein Kontroll-Dilemma der Privatsphäre bezüglich digitaler Identifizierungspraktiken, beeinflusst von einer Reihe miteinander verwobener, sozio- politischer, ökonomischer und technischer Faktoren. Bestehende Spannungen zwischen Privatsphäre, Sicherheit, Überwachung und Transparenz nehmen weiter zu. Die damit verbundene Zunahme impliziter und expliziter Identifizierung, begünstigt durch digitale Technologien, teilweise überlappend mit Überwachungspraktiken, verschärft das Dilemma. Das Erkennen von Privatsphäre-Risiken und die Entwicklung geeigneter Schutzmaßnahmen werden dadurch erheblich erschwert. Ein Kernproblem des Schutzes der Privatsphäre ist daher die unkontrollierte Identifizierbarkeit von Individuen, wodurch Macht- bzw. Informationsasymmetrien weiter zunehmen. Dementsprechend wächst der Bedarf nach Privacy by Design (PbD) und Privacy Impact Assessment (PIA), wie auch in der neuen Europäischen Datenschutzgrundverordnung vorgesehen. Um das Dilemma zu entschärfen ist mehr Transparenz von (datenschutzrelevanten) Informationsprozessen erforderlich und daher PIA. Anhand bestehender Ansätze wird ein neuer konzeptueller Rahmen für PIA mit Fokus auf Identifizierbarkeit vorgeschlagen. Das Modell leistet einen Beitrag zum theoretischen Verständnis der Folgen digitaler Technologien für die Privatsphäre mit Relevanz für die Praxis. Der Entwurf einer Typologie verschiedener Arten von Identitätsinformation berücksichtigt explizit auch technische Identifizierbarkeit. Das kann zu einer systematischeren Analyse von personenbezogenen Informationsprozessen als Kernbestandteil von PIA beitragen sowie zur Entwicklung effektiverer PbD-Ansätze. Anhand eines prototypischen Prozesses wird die mögliche praktische Anwendung des PIA-Modells in Institutionen kurz veranschaulicht. Mit Zunahme digitaler Automatisierung und teil-autonomer Systeme ist mit steigender Identifizierbarkeit und daher weiterem Bedarf nach PIA und PbD zu rechnen. iv Contents 1 Introduction .................................................................................................................... 1 1.1 Digital identification in the network society ........................................................... 2 1.2 Privacy vs. (digital) identification? ......................................................................... 5 2 Problem description and research design ....................................................................... 8 2.1 Aims and methodological approach ....................................................................... 8 2.2 Systems theory in a nutshell ................................................................................. 10 2.2.1 Metasystem transition .................................................................................... 14 2.3 Employment of systems theory in this research ................................................... 17 2.4 Structure of this research ...................................................................................... 22 3 The interplay between identity, identification and privacy .......................................... 24 3.1 Basic notions and functions of identity and identification ................................... 24 3.1.1 What is identity? – Overview on concepts and characteristics ..................... 24 3.1.2 Identification .................................................................................................. 28 3.1.3 Anonymity, pseudonymity and identifiability ............................................... 34 3.2 The role and meaning of privacy .......................................................................... 37 3.2.1 Overview on legal issues and basic privacy protection principles ................ 39 3.2.2 Private versus public spheres? – the boundary control function of privacy .. 42 3.2.3 The interplay between privacy,