PII (persönlich identifizierbare Informationen)

PII ist ein Begriff aus der Datenschutzpraxis der Vereinigten Staaten, wo üblicherweise zwischen direkten und indirekten Identifikatoren unterschieden wird. Direkte Identifikatoren wie ein vollständiger Name, eine Sozialversicherungsnummer, eine Passnummer, eine E-Mail-Adresse oder eine Telefonnummer verweisen für sich genommen auf eine einzelne Person. Indirekte Identifikatoren (oder Quasi-Identifikatoren) wie ein Geburtsdatum, eine Postleitzahl oder eine Berufsbezeichnung identifizieren eine Person allein womöglich nicht, können dies aber in Kombination tun.

Das Konzept überschneidet sich mit dem umfassenderen Begriff der „personenbezogenen Daten“ der GDPR, ist aber nicht mit ihm identisch. Dieser deckt alle Informationen ab, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, einschließlich Online-Identifikatoren wie IP-Adressen und Gerätekennungen. Daher können Daten, die ein US-amerikanisches Rahmenwerk als Nicht-PII behandeln würde, nach europäischem Recht dennoch als personenbezogene Daten gelten.

Organisationen klassifizieren und inventarisieren PII, um angemessene Schutzmaßnahmen anzuwenden: Zugriffskontrollen, Verschlüsselung, Aufbewahrungsgrenzen und Verfahren zur Meldung von Datenschutzverletzungen. Techniken wie Pseudonymisierung (das Ersetzen von Identifikatoren durch Tokens), Anonymisierung (das unwiderrufliche Entfernen der Verbindung zu einer Person) und Hashing werden eingesetzt, um die Sensibilität der Daten zu verringern und dabei einen gewissen Nutzen zu erhalten.

In Kontexten von Betrug und Device Intelligence ist eine zentrale Frage, ob ein Gerätesignal oder ein Fingerprint als PII oder personenbezogene Daten gilt. Einzeln betrachtet sind Signale wie die Bildschirmauflösung oder installierte Schriftarten nicht identifizierend, doch ein stabiler Fingerprint, der aus vielen Signalen abgeleitet wird, kann ein Gerät und damit eine Person eindeutig herausgreifen, was ihn in den Anwendungsbereich des Datenschutzrechts stellt, selbst wenn kein Name daran hängt.