Personligt identifierbar information (PII)

Vad är personligt identifierbar information (PII)?

Personligt identifierbar information (PII) är information som, när den används ensam eller tillsammans med andra relevanta uppgifter, kan identifiera en individ.

PII kan innehålla direkta identifierare (t.ex. passinformation) som kan identifiera en person unikt, eller kvasiidentifierare (t.ex. ras) som kan kombineras med andra kvasiidentifierare (t.ex. födelsedatum) för att framgångsrikt känna igen en individ.

Förstå personligt identifierbar information

Avancerade tekniska plattformar har förändrat hur företag fungerar, regeringar lagstiftar och individer relaterar. Med digitala verktyg som mobiltelefoner, internet, e-handel och sociala medier har det skett en explosion i utbudet av alla typer av data.

Big data,. som det kallas, samlas in, analyseras och bearbetas av företag och delas med andra företag. Den mängd information som tillhandahålls av big data har gjort det möjligt för företag att få insikt i hur man bättre kan interagera med kunder.

Men framväxten av big data har också ökat antalet dataintrång och cyberattacker från enheter som inser värdet av denna information. Som ett resultat har det väckts oro över hur företag hanterar känslig information från sina konsumenter. Tillsynsorgan söker nya lagar för att skydda konsumenternas data, medan användare letar efter mer anonyma sätt att förbli digital.

Känslig vs. icke-känslig personligt identifierbar information

Känslig PII

Personligt identifierbar information (PII) kan vara känslig eller okänslig. Känslig personlig information inkluderar juridisk statistik som:

• Fullständiga namn

• Social Security Number (SSN)

• Körkort

• Postadress

• Kreditkortsinformation

• Passinformation

• Finansiell information

• Sjukjournaler

Listan ovan är inte på något sätt uttömmande. Företag som delar data om sina kunder använder normalt anonymiseringstekniker för att kryptera och fördunkla PII, så det tas emot i en icke-personligt identifierbar form. Ett försäkringsbolag som delar sina kunders information med ett marknadsföringsbolag kommer att maskera den känsliga PII som ingår i uppgifterna och lämna endast information relaterad till marknadsföringsbolagets mål.

Icke-känslig PII

Icke-känslig eller indirekt PII är lättillgänglig från offentliga källor som telefonböcker, internet och företagskataloger. Exempel på icke-känsliga eller indirekta PII inkluderar:

• Postnummer

• Lopp

• Kön

• Födelsedatum

• Födelseort

• Religion

Listan ovan innehåller kvasiidentifierare och exempel på icke-känslig information som kan lämnas ut till allmänheten. Denna typ av information kan inte användas ensam för att fastställa en individs identitet.

Men icke-känslig information, även om den inte är känslig, är länkbar. Detta innebär att icke-känsliga uppgifter, när de används med annan personlig länkbar information, kan avslöja en individs identitet. Tekniker för avanonymisering och återidentifiering tenderar att vara framgångsrika när flera uppsättningar av kvasiidentifierare sätts ihop och kan användas för att skilja en person från en annan.

Att reglera och skydda personligt identifierbar information (PII) kommer sannolikt att bli en dominerande fråga för individer, företag och regeringar under de kommande åren.

Skydda personligt identifierbar information (PII)

Flera dataskyddslagar har antagits av olika länder för att skapa riktlinjer för företag som samlar in, lagrar och delar personlig information från kunder. Några av de grundläggande principerna som beskrivs i dessa lagar säger att viss känslig information inte ska samlas in såvida inte för extrema situationer.

Dessutom föreskriver regulatoriska riktlinjer att data ska raderas om de inte längre behövs för det angivna syftet, och personlig information ska inte delas med källor som inte kan garantera skyddet.

Cyberkriminella bryter mot datasystem för att få tillgång till PII, som sedan säljs till villiga köpare på underjordiska digitala marknadsplatser. Till exempel, 2015 drabbades IRS av ett dataintrång som ledde till stöld av mer än hundra tusen skattebetalares PII.

Genom att använda kvasiinformation som stulits från flera källor kunde förövarna komma åt en IRS-webbplatsapplikation genom att svara på personliga verifieringsfrågor som endast borde ha varit insynsskyddade för skattebetalarna.

Att skydda PII är kanske inte alltid en tjänsteleverantörs ensam ansvar. I vissa fall kan det delas med individen.

Personligt identifierbar information runt om i världen

Definitionen av vad som utgör PII skiljer sig beroende på var du bor i världen. I USA definierade regeringen "personligt identifierbar" 2020 som allt som kan "användas för att särskilja eller spåra en individs identitet" såsom namn, SSN och biometrisk information; antingen ensam eller med andra identifierare såsom födelsedatum eller födelseort.

I Europeiska unionen (EU) utökas definitionen till att omfatta kvasi-identifierare som beskrivs i den allmänna dataskyddsförordningen ( GDPR ) som trädde i kraft i maj 2018. GDPR är en rättslig ram som anger regler för insamling och behandling av personliga information för dem som är bosatta i EU.

Personligt identifierbar information kontra personuppgifter

Personuppgifter omfattar ett bredare spektrum av sammanhang än PII. Till exempel din IP-adress, enhets-ID-nummer, webbläsarcookies, onlinealias eller genetiska data. Vissa attribut som religion, etnicitet, sexuell läggning eller medicinsk historia kan klassificeras som personuppgifter men inte personligt identifierbar information.

Exempel på personligt identifierbar information

I början av 2018 var Facebook Inc. (META), nu Meta, indragen i ett stort dataintrång. Profilerna för 30 miljoner Facebook-användare samlades in utan deras medgivande av ett externt företag som heter Cambridge Analytica. Cambridge Analytica fick sin data från Facebook genom en forskare som arbetade vid University of Cambridge. Forskaren byggde en Facebook-app som var ett personlighetsquiz. En app är en mjukvaruapplikation som används på mobila enheter och webbplatser.

Appen var designad för att ta informationen från de som frivilligt gav tillgång till deras data för frågesporten. Tyvärr samlade appen inte bara frågesporttagarnas data utan kunde, på grund av ett kryphål i Facebooks system, även samla in data från vänner och familjemedlemmar till frågesporttagarna.

Som ett resultat fick över 50 miljoner Facebook-användare sin data exponerad för Cambridge Analytica utan deras samtycke. Trots att Facebook förbjöd försäljning av deras data vände Cambridge Analytica om och sålde data för att användas för politisk rådgivning. Mark Zuckerberg,. Facebooks grundare och VD, släppte ett uttalande i företagets resultatrelease för Q1-2019:

Vi är fokuserade på att bygga ut vår integritetsfokuserade vision för framtiden för sociala nätverk och att samarbeta för att ta itu med viktiga frågor runt Internet.

Dataintrånget påverkade inte bara Facebook-användare utan även investerare. Facebooks vinster minskade med 50 % under Q1-2019 jämfört med samma period ett år tidigare. Företaget samlade på sig 3 miljarder dollar i juridiska kostnader och skulle ha haft en vinst per aktie på 1,04 dollar högre utan kostnaderna, med angivande av:

Vi uppskattar att förlustintervallet i denna fråga är 3,0 till 5,0 miljarder USD. Frågan är fortfarande olöst och det finns ingen garanti för tidpunkten eller villkoren för något slutligt resultat.

Följande dag, den 25 april 2019, meddelade Meta att de förbjuder personlighetsfrågesporter från sin plattform.

Företag kommer utan tvekan att investera i sätt att samla in data, såsom personligt identifierbar information (PII), för att erbjuda produkter till konsumenter och maximera vinsten. Ändå kommer de att mötas av strängare regler under de kommande åren.

Höjdpunkter

• Icke-känslig personligt identifierbar information är lättillgänglig från offentliga källor och kan inkludera ditt postnummer, ras, kön och födelsedatum.

• Sociala medier kan betraktas som okänslig personligt identifierbar information.

– Pass innehåller personligt identifierbar information.

• Känslig personligt identifierbar information kan inkludera ditt fullständiga namn, personnummer, körkort, ekonomisk information och medicinska register.

• Personlig identifierbar information (PII) använder data för att bekräfta en individs identitet.

Vanliga frågor

Vad är inte PII?

Personuppgifter klassificeras inte som PII och icke-personliga uppgifter såsom företaget du arbetar för, delad data eller anonymiserad data.

Vad kvalificerar sig som PII?

Personligt identifierbar information definieras av den amerikanska regeringen som: "Information som kan användas för att särskilja eller spåra en individs identitet, såsom deras namn, personnummer, biometriska register etc. enbart eller när den kombineras med annan personlig eller identifierande information som är kopplat till eller kan kopplas till en specifik individ, såsom födelsedatum och födelseort, moderns flicknamn etc.”

Vilka lagar skyddar PII?

Olika federala och statliga konsumentskyddslagar skyddar PII och sanktionerar dess otillåtna användning; till exempel Federal Trade Commission Act och Privacy Act från 1974.

Vad måste du göra när du skickar PII via e-post?

Eftersom e-post inte alltid är säkert, försök att undvika att skicka PII via e-post. Om du måste, använd kryptering eller säker verifieringsteknik.

Vad är en PII-överträdelse?

PII-kränkningar är olagliga och involverar ofta bedrägerier som identitetsstöld. Överträdelser kan också bero på obehörig åtkomst, användning eller avslöjande av PII. Underlåtenhet att rapportera ett PII-intrång kan också vara en överträdelse.