PII (Kişisel Olarak Tanımlanabilir Bilgiler)

PII, ABD gizlilik pratiğinde kök salmış bir terimdir ve tipik olarak doğrudan tanımlayıcılar ile dolaylı tanımlayıcılar arasında ayrım yapar. Ad soyad, sosyal güvenlik numarası, pasaport numarası, e-posta adresi veya telefon numarası gibi doğrudan tanımlayıcılar tek başlarına tek bir kişiyi işaret eder. Doğum tarihi, posta kodu veya iş unvanı gibi dolaylı (ya da yarı) tanımlayıcılar tek başlarına birini tanımlamayabilir, ancak birleştirildiklerinde bunu yapabilir.

Bu kavram, GDPR'nin daha geniş "kişisel veri" kavramıyla örtüşür ancak onunla aynı değildir; bu kavram, IP adresleri ve cihaz tanımlayıcıları gibi çevrimiçi tanımlayıcılar dâhil olmak üzere, tanımlanmış veya tanımlanabilir bir gerçek kişiye ilişkin her türlü bilgiyi kapsar. Sonuç olarak, bir ABD çerçevesinin PII olmayan olarak değerlendirebileceği veriler, Avrupa yasası kapsamında yine de kişisel veri olarak nitelendirilebilir.

Kuruluşlar, uygun güvenlik önlemlerini uygulamak için PII'yi sınıflandırır ve envanterini çıkarır: erişim kontrolleri, şifreleme, saklama sınırları ve ihlal bildirimi prosedürleri. Takma adlaştırma (tanımlayıcıları belirteçlerle değiştirme), anonimleştirme (bir bireye olan bağlantıyı geri döndürülemez biçimde kaldırma) ve karma (hashing) gibi teknikler, verinin bir miktar faydasını korurken hassasiyetini azaltmak için kullanılır.

Dolandırıcılık ve cihaz istihbaratı bağlamlarında temel bir soru, bir cihaz sinyalinin veya parmak izinin PII ya da kişisel veri sayılıp sayılmadığıdır. Tek tek ele alındığında ekran çözünürlüğü veya yüklü yazı tipleri gibi sinyaller tanımlayıcı değildir, ancak birçok sinyalden türetilen kararlı bir parmak izi bir cihazı ve dolayısıyla bir kişiyi tekilleştirebilir; bu da hiçbir ad ilişkilendirilmemiş olsa bile onu gizlilik yasasının kapsamına sokar.