Personenbezogene Daten (PII)
Was sind personenbezogene Daten (PII)?
Personenbezogene Daten (PII) sind Informationen, die allein oder zusammen mit anderen relevanten Daten eine Person identifizieren können.
PII können direkte Identifikatoren (z. B. Passinformationen) enthalten, die eine Person eindeutig identifizieren können, oder Quasi-Identifikatoren (z. B. Rasse), die mit anderen Quasi-Identifikatoren (z. B. Geburtsdatum) kombiniert werden können, um eine Person erfolgreich zu erkennen.
Persönlich identifizierbare Informationen verstehen
Fortschrittliche Technologieplattformen haben die Art und Weise verändert, wie Unternehmen operieren, Regierungen Gesetze erlassen und Einzelpersonen miteinander in Beziehung treten. Mit digitalen Tools wie Mobiltelefonen, dem Internet, E-Commerce und sozialen Medien ist das Angebot an Daten aller Art geradezu explodiert.
Big Data,. wie es genannt wird, wird von Unternehmen gesammelt, analysiert und verarbeitet und mit anderen Unternehmen geteilt. Die Fülle an Informationen, die Big Data bereitstellt, hat es Unternehmen ermöglicht, Erkenntnisse darüber zu gewinnen, wie sie besser mit Kunden interagieren können.
Das Aufkommen von Big Data hat jedoch auch die Zahl der Datenschutzverletzungen und Cyberangriffe durch Unternehmen erhöht, die den Wert dieser Informationen erkennen. Infolgedessen wurden Bedenken darüber geäußert, wie Unternehmen mit den sensiblen Informationen ihrer Verbraucher umgehen. Aufsichtsbehörden suchen nach neuen Gesetzen zum Schutz der Daten von Verbrauchern, während Benutzer nach anonymeren Wegen suchen, um digital zu bleiben.
Sensible vs. nicht sensible personenbezogene Daten
Sensible PII
Personenbezogene Daten (PII) können sensibel oder nicht sensibel sein. Zu den sensiblen personenbezogenen Daten gehören gesetzliche Statistiken wie:
Vollständiger Name
Führerschein
Kreditkarteninformation
Passinformationen
Finanzinformation
Medizinische Aufzeichnungen
Die obige Liste ist keineswegs vollständig. Unternehmen, die Daten über ihre Kunden weitergeben, verwenden normalerweise Anonymisierungstechniken,. um die PII zu verschlüsseln und zu verschleiern, sodass sie in einer nicht persönlich identifizierbaren Form empfangen werden. Ein Versicherungsunternehmen, das die Informationen seiner Kunden an ein Marketingunternehmen weitergibt, maskiert die in den Daten enthaltenen sensiblen personenbezogenen Daten und hinterlässt nur Informationen, die sich auf das Ziel des Marketingunternehmens beziehen.
Nicht vertrauliche PII
Nicht vertrauliche oder indirekte personenbezogene Daten sind aus öffentlichen Quellen wie Telefonbüchern, dem Internet und Unternehmensverzeichnissen leicht zugänglich. Beispiele für nicht sensible oder indirekte PII sind:
Postleitzahl
Wettrennen
Geschlecht
Geburtsdatum
Geburtsort
-Religion
Die obige Liste enthält Quasi-Identifikatoren und Beispiele für nicht sensible Informationen, die der Öffentlichkeit zugänglich gemacht werden können. Diese Art von Informationen kann nicht allein verwendet werden, um die Identität einer Person zu bestimmen.
Nicht-sensible Informationen sind jedoch verknüpfbar, obwohl sie nicht heikel sind. Dies bedeutet, dass nicht sensible Daten, wenn sie mit anderen personenbezogenen verknüpfbaren Informationen verwendet werden, die Identität einer Person preisgeben können. Deanonymisierungs- und Reidentifikationstechniken sind in der Regel erfolgreich, wenn mehrere Sätze von Quasi-Identifikatoren zusammengesetzt werden und verwendet werden können, um eine Person von einer anderen zu unterscheiden.
Die Regulierung und Sicherung personenbezogener Daten (PII) wird in den kommenden Jahren wahrscheinlich ein dominierendes Thema für Einzelpersonen, Unternehmen und Regierungen sein.
Schutz personenbezogener Daten (PII)
Mehrere Datenschutzgesetze wurden von verschiedenen Ländern verabschiedet, um Richtlinien für Unternehmen zu erstellen, die personenbezogene Daten von Kunden sammeln, speichern und weitergeben. Einige der in diesen Gesetzen umrissenen Grundprinzipien besagen, dass einige sensible Informationen nur in extremen Situationen gesammelt werden sollten.
Außerdem schreiben behördliche Richtlinien vor, dass Daten gelöscht werden sollten, wenn sie für den angegebenen Zweck nicht mehr benötigt werden, und dass personenbezogene Daten nicht an Quellen weitergegeben werden sollten, die ihren Schutz nicht garantieren können.
Cyberkriminelle brechen in Datensysteme ein, um auf PII zuzugreifen, die dann an willige Käufer auf unterirdischen digitalen Marktplätzen verkauft werden. Beispielsweise erlitt der IRS im Jahr 2015 eine Datenschutzverletzung, die zum Diebstahl von PII von mehr als hunderttausend Steuerzahlern führte.
Unter Verwendung von Quasi-Informationen, die aus mehreren Quellen gestohlen wurden, konnten die Täter auf eine IRS-Website-Anwendung zugreifen, indem sie Fragen zur persönlichen Überprüfung beantworteten, die nur den Steuerzahlern hätten eingeweiht werden sollen.
Der Schutz personenbezogener Daten liegt möglicherweise nicht immer in der alleinigen Verantwortung eines Dienstanbieters. In einigen Fällen kann es mit der Person geteilt werden.
Persönlich identifizierbare Informationen auf der ganzen Welt
Die Definition dessen, was PII umfasst, unterscheidet sich je nachdem, wo Sie auf der Welt leben. In den Vereinigten Staaten definierte die Regierung im Jahr 2020 „persönlich identifizierbar“ als alles, was „zur Unterscheidung oder Verfolgung der Identität einer Person verwendet werden kann“, wie Name, Sozialversicherungsnummer und biometrische Informationen; entweder allein oder mit anderen Identifikatoren wie Geburtsdatum oder Geburtsort.
In der Europäischen Union (EU) wird die Definition um Quasi-Identifikatoren gemäß der im Mai 2018 in Kraft getretenen Datenschutz-Grundverordnung (DSGVO) erweitert. Die DSGVO ist ein Rechtsrahmen, der Regeln für die Erhebung und Verarbeitung personenbezogener Daten festlegt Informationen für Personen mit Wohnsitz in der EU.
Persönlich identifizierbare Informationen vs. personenbezogene Daten
Personenbezogene Daten umfassen ein breiteres Spektrum an Kontexten als PII. Zum Beispiel Ihre IP-Adresse, Geräte-ID-Nummern, Browser-Cookies, Online-Aliase oder genetische Daten. Bestimmte Attribute wie Religion, ethnische Zugehörigkeit, sexuelle Orientierung oder Krankengeschichte können als personenbezogene Daten, aber nicht als personenbezogene Daten eingestuft werden.
Beispiel für personenbezogene Daten
Anfang 2018 war Facebook Inc. (META), jetzt Meta, in eine große Datenschutzverletzung verwickelt. Die Profile von 30 Millionen Facebook-Nutzern wurden ohne ihre Zustimmung von einem externen Unternehmen namens Cambridge Analytica gesammelt. Cambridge Analytica erhielt seine Daten von Facebook durch einen Forscher, der an der University of Cambridge arbeitete. Der Forscher baute eine Facebook-App, die ein Persönlichkeitsquiz war. Eine App ist eine Softwareanwendung, die auf Mobilgeräten und Websites verwendet wird.
Die App wurde entwickelt, um die Informationen von denen zu übernehmen, die sich bereit erklärt haben, für das Quiz Zugang zu ihren Daten zu gewähren. Leider sammelte die App nicht nur die Daten der Quizteilnehmer, sondern konnte aufgrund einer Lücke im System von Facebook auch Daten von Freunden und Familienmitgliedern der Quizteilnehmer sammeln.
Infolgedessen wurden die Daten von über 50 Millionen Facebook-Nutzern ohne ihre Zustimmung an Cambridge Analytica weitergegeben. Obwohl Facebook den Verkauf ihrer Daten verbot, drehte Cambridge Analytica um und verkaufte die Daten, um sie für die Politikberatung zu verwenden. Mark Zuckerberg,. Gründer und CEO von Facebook, veröffentlichte eine Erklärung in der Veröffentlichung des Unternehmens für das erste Quartal 2019:
Wir konzentrieren uns darauf, unsere datenschutzorientierte Vision für die Zukunft sozialer Netzwerke auszubauen und gemeinsam wichtige Probleme rund um das Internet anzugehen.
Die Datenpanne betraf nicht nur Facebook-Nutzer, sondern auch Investoren. Die Gewinne von Facebook gingen im ersten Quartal 2019 im Vergleich zum Vorjahreszeitraum um 50 % zurück. Dem Unternehmen entstanden Rechtskosten in Höhe von 3 Milliarden US-Dollar und der Gewinn pro Aktie wäre ohne die Kosten um 1,04 US-Dollar höher gewesen, heißt es:
Wir schätzen die Schadensspanne in dieser Angelegenheit auf 3,0 bis 5,0 Milliarden US-Dollar. Die Angelegenheit bleibt ungelöst, und es kann keine Zusicherung hinsichtlich des Zeitplans oder der Bedingungen eines endgültigen Ergebnisses gegeben werden.
Am folgenden Tag, dem 25. April 2019, gab Meta bekannt, dass es Persönlichkeitstests von seiner Plattform verbieten werde.
Unternehmen werden zweifellos in Möglichkeiten investieren, Daten wie personenbezogene Daten (PII) zu sammeln, um Verbrauchern Produkte anzubieten und Gewinne zu maximieren. Allerdings werden sie in den kommenden Jahren mit strengeren Vorschriften konfrontiert.
Höhepunkte
Nicht sensible personenbezogene Daten sind aus öffentlichen Quellen leicht zugänglich und können Ihre Postleitzahl, Rasse, Geschlecht und Geburtsdatum enthalten.
Social-Media-Websites können als nicht sensible personenbezogene Daten betrachtet werden.
Pässe enthalten personenbezogene Daten.
Sensible personenbezogene Daten können Ihren vollständigen Namen, Ihre Sozialversicherungsnummer, Ihren Führerschein, Finanzinformationen und Krankenakten umfassen.
Persönlich identifizierbare Informationen (PII) verwenden Daten, um die Identität einer Person zu bestätigen.
FAQ
Was sind keine personenbezogenen Daten?
Personenbezogene Daten werden nicht als PII und nicht personenbezogene Daten wie das Unternehmen, für das Sie arbeiten, geteilte Daten oder anonymisierte Daten klassifiziert.
Was gilt als PII?
Persönlich identifizierbare Informationen werden von der US-Regierung wie folgt definiert: „Informationen, die verwendet werden können, um die Identität einer Person zu unterscheiden oder zu verfolgen, wie z. B. Name, Sozialversicherungsnummer, biometrische Aufzeichnungen usw. allein oder in Kombination mit anderen persönlichen oder identifizierenden Informationen die mit einer bestimmten Person verknüpft oder verknüpfbar sind, wie z. B. Geburtsdatum und -ort, Mädchenname der Mutter usw.“
Welche Gesetze schützen personenbezogene Daten?
Verschiedene Verbraucherschutzgesetze auf Bundes- und Landesebene schützen personenbezogene Daten und sanktionieren deren unbefugte Verwendung; zum Beispiel das Federal Trade Commission Act und das Privacy Act von 1974.
Was müssen Sie tun, wenn Sie PII per E-Mail versenden?
Da E-Mails nicht immer sicher sind, vermeiden Sie es, PII per E-Mail zu versenden. Verwenden Sie gegebenenfalls Verschlüsselungs- oder sichere Verifizierungstechniken.
Was ist eine PII-Verletzung?
PII-Verstöße sind illegal und beinhalten oft Betrug wie Identitätsdiebstahl. Verstöße können auch aus unbefugtem Zugriff, Verwendung oder Offenlegung von personenbezogenen Daten resultieren. Das Versäumnis, eine PII-Verletzung zu melden, kann ebenfalls ein Verstoß sein.
