PII (Informasi Identitas Pribadi)

PII adalah istilah yang berakar pada praktik privasi Amerika Serikat, di mana istilah ini biasanya membedakan antara pengidentifikasi langsung dan pengidentifikasi tidak langsung. Pengidentifikasi langsung, seperti nama lengkap, nomor Social Security, nomor paspor, alamat email, atau nomor telepon, menunjuk pada satu orang dengan sendirinya. Pengidentifikasi tidak langsung (atau kuasi-pengidentifikasi), seperti tanggal lahir, kode pos, atau jabatan, mungkin tidak mengidentifikasi seseorang sendirian tetapi dapat melakukannya bila dikombinasikan.

Konsep ini tumpang tindih dengan, tetapi tidak identik dengan, gagasan "data pribadi" GDPR yang lebih luas, yang mencakup informasi apa pun yang berkaitan dengan orang perseorangan yang teridentifikasi atau dapat diidentifikasi, termasuk pengidentifikasi daring seperti alamat IP dan pengidentifikasi perangkat. Akibatnya, data yang mungkin diperlakukan sebagai bukan PII oleh kerangka AS masih dapat memenuhi syarat sebagai data pribadi berdasarkan hukum Eropa.

Organisasi mengklasifikasikan dan menginventarisasi PII untuk menerapkan pengaman yang sesuai: kontrol akses, enkripsi, batas retensi, dan prosedur notifikasi pelanggaran. Teknik seperti pseudonimisasi (mengganti pengidentifikasi dengan token), anonimisasi (menghapus secara ireversibel tautan ke individu), dan hashing digunakan untuk mengurangi sensitivitas data sambil mempertahankan sebagian kegunaannya.

Dalam konteks penipuan dan device intelligence, pertanyaan kunci adalah apakah sinyal atau fingerprint perangkat dihitung sebagai PII atau data pribadi. Secara individual, sinyal seperti resolusi layar atau font yang terpasang tidak bersifat mengidentifikasi, tetapi fingerprint stabil yang diturunkan dari banyak sinyal dapat menyendirikan satu perangkat dan, dengan perluasan, satu orang, yang menempatkannya dalam cakupan hukum privasi bahkan ketika tidak ada nama yang terlampir.