Igen furcsának hangzik, de alapvetően abból indul ki, hogy mekkora kár érhette azt, akinek a személyes adata kikerült. Erre ilyen risk analízis jellegű mátrix van. Ha támadás során került ki az adatod, akkor nagyjából biztosra vehető, hogy olyasvalakihez jutott, aki visszaélni akar vele, tehát az összesített kockázat magasabb -> a kár is nagyobb.