Personlig identifiserbar informasjon (PII)
Hva er personlig identifiserbar informasjon (PII)?
Personlig identifiserbar informasjon (PII) er informasjon som, når den brukes alene eller sammen med andre relevante data, kan identifisere en person.
PII kan inneholde direkte identifikatorer (f.eks. passinformasjon) som kan identifisere en person unikt, eller kvasi-identifikatorer (f.eks. rase) som kan kombineres med andre kvasi-identifikatorer (f.eks. fødselsdato) for å lykkes med å gjenkjenne en person.
Forstå personlig identifiserbar informasjon
Fremskritt teknologiplattformer har endret måten bedrifter opererer på, myndigheter lover og enkeltpersoner forholder seg til. Med digitale verktøy som mobiltelefoner, internett, e-handel og sosiale medier har det vært en eksplosjon i tilgangen på alle typer data.
Big data,. som det kalles, blir samlet inn, analysert og behandlet av virksomheter og delt med andre selskaper. Den mengde informasjon som big data gir, har gjort det mulig for selskaper å få innsikt i hvordan de kan samhandle bedre med kunder.
Fremveksten av big data har imidlertid også økt antallet datainnbrudd og cyberangrep fra enheter som innser verdien av denne informasjonen. Som et resultat har det blitt reist bekymringer over hvordan selskaper håndterer sensitiv informasjon til sine forbrukere. Reguleringsorganer søker nye lover for å beskytte dataene til forbrukere, mens brukere leter etter mer anonyme måter å holde seg digital på.
Sensitive vs. Ikke-sensitiv personlig identifiserbar informasjon
Sensitiv PII
Personlig identifiserbar informasjon (PII) kan være sensitiv eller ikke-sensitiv. Sensitive personopplysninger inkluderer juridisk statistikk som:
- Fullt navn
– personnummer (SSN)
Førerkort
Kredittkortinformasjon
Passinformasjon
økonomisk informasjon
Medisinske journaler
Listen ovenfor er på ingen måte uttømmende. Selskaper som deler data om sine klienter, bruker vanligvis anonymiseringsteknikker for å kryptere og tilsløre PII, slik at den mottas i en ikke-personlig identifiserbar form. Et forsikringsselskap som deler sine kunders informasjon med et markedsføringsselskap, vil maskere den sensitive PII som er inkludert i dataene og kun etterlate informasjon relatert til markedsføringsselskapets mål.
Ikke-sensitiv PII
Ikke-sensitiv eller indirekte PII er lett tilgjengelig fra offentlige kilder som telefonbøker, Internett og bedriftskataloger. Eksempler på ikke-sensitive eller indirekte PII inkluderer:
Post kode
Løp
Kjønn
Fødselsdato
Fødselssted
Religion
Listen ovenfor inneholder kvasi-identifikatorer og eksempler på ikke-sensitiv informasjon som kan frigis til offentligheten. Denne typen informasjon kan ikke brukes alene for å fastslå en persons identitet.
Imidlertid kan ikke-sensitiv informasjon, selv om den ikke er ømfintlig, kobles sammen. Dette betyr at ikke-sensitive data, når de brukes sammen med annen personlig koblingsbar informasjon, kan avsløre identiteten til en person. Teknikker for avanonymisering og re-identifikasjon har en tendens til å være vellykket når flere sett med kvasi-identifikatorer er satt sammen og kan brukes til å skille en person fra en annen.
Regulering og sikring av personlig identifiserbar informasjon (PII) vil sannsynligvis være et dominerende problem for enkeltpersoner, selskaper og myndigheter i årene som kommer.
Beskyttelse av personlig identifiserbar informasjon (PII)
Flere databeskyttelseslover har blitt vedtatt av forskjellige land for å lage retningslinjer for selskaper som samler inn, lagrer og deler personlig informasjon om klienter. Noen av de grunnleggende prinsippene skissert av disse statlige lovene om at noe sensitiv informasjon ikke bør samles inn med mindre det er i ekstreme situasjoner.
I tillegg fastsetter regulatoriske retningslinjer at data skal slettes hvis de ikke lenger er nødvendige for dets uttalte formål, og personlig informasjon skal ikke deles med kilder som ikke kan garantere beskyttelsen.
Cyberkriminelle bryter datasystemer for å få tilgang til PII, som deretter selges til villige kjøpere på underjordiske digitale markedsplasser. For eksempel, i 2015, led skattemyndighetene et datainnbrudd som førte til tyveri av mer enn hundre tusen skattebetaleres PII.
Ved å bruke kvasi-informasjon stjålet fra flere kilder, kunne gjerningsmennene få tilgang til en IRS-nettsideapplikasjon ved å svare på personlige verifiseringsspørsmål som bare burde vært kjent for skattebetalerne.
Beskyttelse av PII er kanskje ikke alltid en tjenesteleverandørs eget ansvar. I noen tilfeller kan den deles med den enkelte.
Personlig identifiserbar informasjon rundt om i verden
Definisjonen av hva som består av PII varierer avhengig av hvor du bor i verden. I USA definerte regjeringen "personlig identifiserbar" i 2020 som alt som kan "brukes til å skille eller spore en persons identitet" som navn, SSN og biometrisk informasjon; enten alene eller med andre identifikatorer som fødselsdato eller fødselssted.
I Den europeiske union (EU) utvides definisjonen til å inkludere kvasi-identifikatorer som skissert i General Data Protection Regulati on (GDPR) som trådte i kraft i mai 2018. GDPR er et juridisk rammeverk som setter regler for innsamling og behandling av personopplysninger informasjon til de som bor i EU.
Personlig identifiserbar informasjon vs. personlig informasjon
Personopplysninger omfatter et bredere spekter av kontekster enn PII. For eksempel din IP-adresse, enhets-ID-numre, nettleserinformasjonskapsler, nettaliaser eller genetiske data. Visse attributter som religion, etnisitet, seksuell legning eller medisinsk historie kan klassifiseres som personopplysninger, men ikke personlig identifiserbar informasjon.
Eksempel på personlig identifiserbar informasjon
Tidlig i 2018, Facebook Inc. (META), nå Meta, var involvert i et stort datainnbrudd. Profilene til 30 millioner Facebook-brukere ble samlet inn uten deres samtykke av et eksternt selskap kalt Cambridge Analytica. Cambridge Analytica fikk sine data fra Facebook gjennom en forsker som jobbet ved University of Cambridge. Forskeren bygde en Facebook-app som var en personlighetsquiz. En app er en programvareapplikasjon som brukes på mobile enheter og nettsteder.
Appen ble designet for å ta informasjonen fra de som meldte seg frivillig til å gi tilgang til dataene deres for quizen. Dessverre samlet appen ikke bare quiztakernes data, men på grunn av et smutthull i Facebooks system kunne den også samle inn data fra venner og familiemedlemmer til quiztakerne.
Som et resultat fikk over 50 millioner Facebook-brukere dataene sine eksponert for Cambridge Analytica uten deres samtykke. Selv om Facebook forbød salg av dataene deres, snudde Cambridge Analytica og solgte dataene for å brukes til politisk rådgivning. Mark Zuckerberg,. Facebooks grunnlegger og administrerende direktør, ga ut en uttalelse i selskapets resultatmelding for 1. kvartal 2019:
Vi er fokusert på å bygge ut vår personvernfokuserte visjon for fremtiden for sosiale nettverk og samarbeide for å løse viktige problemer rundt Internett.
Datainnbruddet påvirket ikke bare Facebook-brukere, men også investorer. Facebooks fortjeneste falt med 50 % i Q1-2019 sammenlignet med samme periode året før. Selskapet påløp 3 milliarder dollar i advokatutgifter og ville ha hatt en fortjeneste per aksje på 1,04 dollar høyere uten utgiftene, og sier:
Vi anslår at omfanget av tap i denne saken er $3,0 milliarder til $5,0 milliarder. Saken er fortsatt uløst, og det kan ikke gis noen garanti for tidspunktet eller betingelsene for et endelig utfall.
Dagen etter, 25. april 2019, kunngjorde Meta at de forbyr personlighetsquizer fra plattformen.
Bedrifter vil utvilsomt investere i måter å høste data på, for eksempel personlig identifiserbar informasjon (PII), for å tilby produkter til forbrukere og maksimere fortjenesten. Likevel vil de bli møtt med strengere regelverk i årene som kommer.
##Høydepunkter
- Ikke-sensitiv personlig identifiserbar informasjon er lett tilgjengelig fra offentlige kilder og kan inkludere postnummer, rase, kjønn og fødselsdato.
– Nettsteder for sosiale medier kan betraktes som ikke-sensitiv personlig identifiserbar informasjon.
– Pass inneholder personlig identifiserbar informasjon.
– Sensitiv personlig identifiserbar informasjon kan inkludere ditt fulle navn, personnummer, førerkort, finansiell informasjon og medisinske journaler.
- Personlig identifiserbar informasjon (PII) bruker data for å bekrefte en persons identitet.
##FAQ
Hva er ikke PII?
Personopplysninger er ikke klassifisert som PII og ikke-personlige data som selskapet du jobber for, delte data eller anonymiserte data.
Hva kvalifiserer som PII?
Personlig identifiserbar informasjon er definert av den amerikanske regjeringen som: «Informasjon som kan brukes til å skille ut eller spore en persons identitet, slik som navn, personnummer, biometriske poster, etc. alene, eller når den kombineres med annen personlig eller identifiserende informasjon som er knyttet til eller kan knyttes til en bestemt person, for eksempel fødselsdato og -sted, mors pikenavn osv.
Hvilke lover beskytter PII?
Ulike føderale og statlige forbrukerlover beskytter PII og sanksjonerer uautorisert bruk; for eksempel Federal Trade Commission Act og Privacy Act av 1974.
Hva må du gjøre når du sender PII på e-post?
Fordi e-post ikke alltid er sikker, prøv å unngå å sende PII på e-post. Hvis du må, bruk kryptering eller sikre verifiseringsteknikker.
Hva er et PII-brudd?
Brudd på PII er ulovlig, og involverer ofte svindel som identitetstyveri. Brudd kan også stamme fra uautorisert tilgang, bruk eller avsløring av PII. Unnlatelse av å rapportere et PII-brudd kan også være et brudd.
