PII (Personally Identifiable Information)

PII è un termine radicato nella prassi statunitense in materia di privacy, dove tipicamente distingue tra identificatori diretti e identificatori indiretti. Gli identificatori diretti, come nome e cognome, numero di previdenza sociale, numero di passaporto, indirizzo email o numero di telefono, rimandano a una singola persona di per sé. Gli identificatori indiretti (o quasi-identificatori), come una data di nascita, un codice postale o una qualifica professionale, possono non identificare qualcuno da soli, ma possono farlo se combinati.

Il concetto si sovrappone, senza essere identico, alla nozione più ampia di «dato personale» del GDPR, che copre qualsiasi informazione relativa a una persona fisica identificata o identificabile, inclusi identificatori online come indirizzi IP e identificatori di dispositivo. Di conseguenza, dati che un quadro normativo statunitense potrebbe considerare non-PII possono comunque qualificarsi come dati personali secondo il diritto europeo.

Le organizzazioni classificano e inventariano le PII per applicare le tutele appropriate: controlli di accesso, cifratura, limiti di conservazione e procedure di notifica delle violazioni. Tecniche come la pseudonimizzazione (sostituzione degli identificatori con token), l'anonimizzazione (rimozione irreversibile del collegamento a un individuo) e l'hashing sono utilizzate per ridurre la sensibilità dei dati preservandone una certa utilità.

Nei contesti di frode e di intelligence dei dispositivi, una domanda chiave è se un segnale di dispositivo o un fingerprint costituisca PII o dato personale. Singolarmente, segnali come la risoluzione dello schermo o i font installati non sono identificativi, ma un fingerprint stabile derivato da molti segnali può individuare un dispositivo e, per estensione, una persona, il che lo colloca nell'ambito della normativa sulla privacy anche quando non è associato alcun nome.