Личная информация (PII)

Что такое личная информация (PII)?

Информация, позволяющая установить личность (PII), — это информация, которая при использовании отдельно или вместе с другими соответствующими данными может идентифицировать человека.

PII может содержать прямые идентификаторы (например, паспортные данные), которые могут однозначно идентифицировать человека, или квази-идентификаторы (например, раса), которые можно комбинировать с другими квази-идентификаторами (например, датой рождения) для успешного распознавания человека.

Информация, позволяющая установить личность

Развивающиеся технологические платформы изменили то, как работают компании, правительства принимают законы и взаимодействуют между собой люди. Благодаря цифровым инструментам, таким как сотовые телефоны, Интернет, электронная коммерция и социальные сети, произошел взрыв в предоставлении всех видов данных.

Большие данные собираются, анализируются и обрабатываются предприятиями и передаются другим компаниям. Богатство информации, предоставляемой большими данными, позволило компаниям понять, как лучше взаимодействовать с клиентами.

Однако появление больших данных также увеличило количество утечек данных и кибератак со стороны организаций, которые осознают ценность этой информации. В результате возникли опасения по поводу того, как компании обращаются с конфиденциальной информацией своих потребителей. Регулирующие органы ищут новые законы для защиты данных потребителей, а пользователи ищут более анонимные способы оставаться цифровыми.

Конфиденциальная и неконфиденциальная информация, позволяющая установить личность

Чувствительная личная информация

Личная информация (PII) может быть конфиденциальной или неконфиденциальной. Конфиденциальная личная информация включает юридическую статистику, такую как:

• ФИО

• Номер социального страхования (SSN)

• Водительские права

• Почтовый адрес

• Информация о кредитной карте

• Паспортные данные

• Финансовая информация

• Медицинские записи

Приведенный выше список ни в коем случае не является исчерпывающим. Компании, которые обмениваются данными о своих клиентах, обычно используют методы анонимизации для шифрования и запутывания PII, поэтому они получаются в форме, не позволяющей установить личность. Страховая компания, которая делится информацией о своих клиентах с маркетинговой компанией, будет маскировать конфиденциальную личную информацию, включенную в данные, и оставлять только информацию, связанную с целью маркетинговой компании.

Нечувствительные персональные данные

Неконфиденциальные или косвенные PII легко доступны из общедоступных источников, таких как телефонные книги, Интернет и корпоративные каталоги. Примеры неконфиденциальной или косвенной PII включают:

• Почтовый индекс

• Гонка

• Пол

• Дата рождения

• Место рождения

• Религия

Приведенный выше список содержит квази-идентификаторы и примеры неконфиденциальной информации, которая может быть опубликована. Этот тип информации не может использоваться сам по себе для установления личности человека.

Тем не менее, неконфиденциальная информация, хотя и не деликатная, может быть связана. Это означает, что неконфиденциальные данные при использовании с другой личной информацией, которую можно связать, могут раскрыть личность человека. Методы деанонимизации и повторной идентификации, как правило, бывают успешными, когда несколько наборов квазиидентификаторов объединяются и могут использоваться для отличия одного человека от другого.

Регулирование и защита информации, позволяющей установить личность (PII), вероятно, станет основной проблемой для отдельных лиц, корпораций и правительств в ближайшие годы.

Защита информации, позволяющей установить личность (PII)

В разных странах было принято несколько законов о защите данных для создания руководящих принципов для компаний, которые собирают, хранят и обмениваются личной информацией клиентов. Некоторые из основных принципов, изложенных в этих законах, гласят, что некоторая конфиденциальная информация не должна собираться, за исключением чрезвычайных ситуаций.

Кроме того, нормативные положения предусматривают, что данные должны быть удалены, если они больше не нужны для заявленной цели, а личная информация не должна передаваться источникам, которые не могут гарантировать ее защиту.

Киберпреступники взламывают системы данных, чтобы получить доступ к PII, которые затем продаются желающим покупателям на подпольных цифровых рынках. Например, в 2015 году в IRS произошла утечка данных, что привело к краже личных данных более ста тысяч налогоплательщиков.

Используя квазиинформацию, украденную из нескольких источников, преступники смогли получить доступ к приложению на веб-сайте IRS, ответив на личные проверочные вопросы, которые должны были быть известны только налогоплательщикам.

Защита PII не всегда может быть исключительной обязанностью поставщика услуг. В некоторых случаях он может быть передан отдельному лицу.

Личная информация по всему миру

Определение того, что включает в себя PII, различается в зависимости от того, где вы живете. В Соединенных Штатах правительство определило «идентифицирующие личность» в 2020 году как все, что можно «использовать для идентификации или отслеживания личности человека», например, имя, SSN и биометрические данные; либо отдельно, либо с другими идентификаторами, такими как дата рождения или место рождения.

В Европейском Союзе (ЕС) это определение расширено за счет включения квазиидентификаторов, как указано в Общем регламенте защиты данных ( GDPR), вступившем в силу в мае 2018 года. GDPR — это правовая основа, устанавливающая правила сбора и обработки персональных Информация для тех, кто проживает в ЕС.

Информация, позволяющая установить личность, и персональные данные

Персональные данные охватывают более широкий спектр контекстов, чем PII. Например, ваш IP-адрес, идентификационные номера устройств, файлы cookie браузера, сетевые псевдонимы или генетические данные. Некоторые атрибуты, такие как религия, этническая принадлежность, сексуальная ориентация или история болезни, могут классифицироваться как персональные данные, но не как информация, позволяющая установить личность.

Пример личной информации

В начале 2018 года компания Facebook Inc. (META), теперь именуемая Meta, столкнулась с крупной утечкой данных. Профили 30 миллионов пользователей Facebook были собраны без их согласия сторонней компанией Cambridge Analytica. Cambridge Analytica получила данные от Facebook через исследователя, работавшего в Кембриджском университете. Исследователь создал приложение для Facebook, которое представляло собой викторину о личности. Приложение — это программное приложение, используемое на мобильных устройствах и веб-сайтах.

Приложение было разработано, чтобы получать информацию от тех, кто вызвался предоставить доступ к своим данным для викторины. К сожалению, приложение собирало данные не только участников викторин, но из-за лазейки в системе Facebook оно также могло собирать данные от друзей и членов семьи участников викторин.

В результате данные более 50 миллионов пользователей Facebook были переданы Cambridge Analytica без их согласия. Хотя Facebook запретил продажу своих данных, Cambridge Analytica решила продать данные для использования в политических консультациях. Марк Цукерберг,. основатель и генеральный директор Facebook, опубликовал заявление в отчете о доходах компании за первый квартал 2019 года:

Мы сосредоточены на разработке нашего видения будущего социальных сетей, ориентированного на конфиденциальность, и совместной работе над решением важных проблем, связанных с Интернетом.

Утечка данных затронула не только пользователей Facebook, но и инвесторов. Прибыль Facebook снизилась на 50% в первом квартале 2019 года по сравнению с аналогичным периодом годом ранее. Компания накопила 3 миллиарда долларов на судебные расходы, и без этих расходов прибыль на акцию была бы на 1,04 доллара выше, заявив:

По нашим оценкам, диапазон убытков в этом вопросе составляет от 3,0 до 5,0 млрд долларов США. Вопрос остается нерешенным, и нет никаких гарантий относительно сроков или условий какого-либо окончательного результата.

На следующий день, 25 апреля 2019 года, Meta объявила, что запрещает проведение викторин на своей платформе.

Компании, несомненно, будут инвестировать в способы сбора данных, таких как личная информация (PII), чтобы предлагать продукты потребителям и максимизировать прибыль. Тем не менее, в ближайшие годы к ним будут применяться более строгие правила.

Особенности

• Неконфиденциальная личная информация легко доступна из общедоступных источников и может включать ваш почтовый индекс, расу, пол и дату рождения.

• Сайты социальных сетей могут считаться неконфиденциальной информацией, позволяющей установить личность.

• Паспорта содержат личную информацию.

• Конфиденциальная личная информация может включать ваше полное имя, номер социального страхования, водительские права, финансовую информацию и медицинские записи.

• Информация, позволяющая установить личность (PII), использует данные для подтверждения личности человека.

ЧАСТО ЗАДАВАЕМЫЕ ВОПРОСЫ

Что не является PII?

Персональные данные не классифицируются как PII и неперсональные данные, такие как компания, в которой вы работаете, общие данные или анонимные данные.

Что считается PII?

Личная информация определяется правительством США как: «Информация, которая может быть использована для идентификации или отслеживания личности человека, такая как его имя, номер социального страхования, биометрические записи и т. д. отдельно или в сочетании с другой личной или идентифицирующей информацией. которая связана или может быть связана с конкретным лицом, например, дата и место рождения, девичья фамилия матери и т. д.».

Какие законы защищают PII?

Различные федеральные законы и законы штата о защите прав потребителей защищают PII и санкционируют ее несанкционированное использование; например, Закон о Федеральной торговой комиссии и Закон о конфиденциальности 1974 года.

Что нужно делать при отправке PII по электронной почте?

Поскольку электронная почта не всегда безопасна, старайтесь не отправлять по электронной почте PII. При необходимости используйте шифрование или безопасные методы проверки.

Что такое нарушение PII?

Нарушения PII являются незаконными и часто связаны с мошенничеством, таким как кража личных данных. Нарушения также могут быть связаны с несанкционированным доступом, использованием или разглашением PII. Несообщение о нарушении PII также может быть нарушением.