PII (معلومات التعريف الشخصية)

مصطلح PII متجذّر في ممارسة الخصوصية في الولايات المتحدة، حيث يميّز عادةً بين المُعرّفات المباشرة والمُعرّفات غير المباشرة. فالمُعرّفات المباشرة، مثل الاسم الكامل، أو رقم الضمان الاجتماعي، أو رقم جواز السفر، أو عنوان البريد الإلكتروني، أو رقم الهاتف، تشير إلى شخص واحد بذاتها. أما المُعرّفات غير المباشرة (أو شبه المُعرّفات)، مثل تاريخ الميلاد، أو الرمز البريدي، أو المسمى الوظيفي، فقد لا تحدّد هوية شخص بمفردها لكنها قادرة على ذلك عند اقترانها ببعضها.

يتداخل هذا المفهوم مع مفهوم "البيانات الشخصية" الأوسع في GDPR، لكنه ليس مطابقًا له، إذ يغطي ذلك المفهوم أي معلومات تتعلق بشخص طبيعي محدد الهوية أو قابل لتحديد الهوية، بما في ذلك المُعرّفات عبر الإنترنت مثل عناوين IP ومُعرّفات الأجهزة. ونتيجة لذلك، فإن البيانات التي قد يعاملها إطار أمريكي بوصفها ليست PII يمكن أن تظل مؤهلة لتكون بيانات شخصية بموجب القانون الأوروبي.

تصنّف المؤسسات معلومات التعريف الشخصية وتجرد قوائم بها لتطبيق الضمانات المناسبة: ضوابط الوصول، والتشفير، وحدود الاحتفاظ، وإجراءات الإخطار بالاختراق. وتُستخدم تقنيات مثل إضفاء الطابع المستعار (استبدال المُعرّفات برموز)، وإخفاء الهوية (إزالة الرابط بالفرد على نحوٍ لا رجعة فيه)، والتجزئة (hashing) لتقليل حساسية البيانات مع الحفاظ على قدر من فائدتها.

في سياقات الاحتيال وذكاء الأجهزة، ثمة سؤال محوري وهو ما إذا كانت إشارة الجهاز أو البصمة الرقمية تُعد معلومات تعريف شخصية أو بيانات شخصية. فبصورة فردية، لا تكون إشارات مثل دقة الشاشة أو الخطوط المثبّتة مُعرِّفة للهوية، لكن البصمة الرقمية المستقرة المشتقة من إشارات كثيرة يمكن أن تميّز جهازًا بعينه، وبالتبعية شخصًا، مما يضعها ضمن نطاق قانون الخصوصية حتى عندما لا يكون هناك اسم مرتبط بها.