Qué es la información de identificación personal (PII)?
La información personal identificable (PII) es información que, cuando se utiliza sola o con otros datos relevantes, puede identificar a un individuo.
La IIP puede contener identificadores directos (por ejemplo.g., información sobre el pasaporte) que pueden identificar a una persona de forma única, o cuasi-identificadores (e.g., raza) que puede combinarse con otros cuasi-identificadores (e.g., fecha de nacimiento) para reconocer con éxito a un individuo.
Puntos clave
- La información personal identificable (PII) utiliza datos para confirmar la identidad de un individuo.
- La información personal identificable sensible puede incluir su nombre completo, el número de la Seguridad Social, el permiso de conducir, la información financiera y los registros médicos.
- La información de identificación personal no sensible es fácilmente accesible desde fuentes públicas y puede incluir su código postal, raza, género y fecha de nacimiento.
- Los pasaportes contienen información de identificación personal.
- Las redes sociales pueden considerarse información personal no sensible.
Comprensión de la información de identificación personal
El avance de las plataformas tecnológicas ha cambiado la forma en que operan las empresas, los gobiernos legislan y las personas se relacionan. Con herramientas digitales como los teléfonos móviles, Internet, el comercio electrónico y las redes sociales, se ha producido una explosión en el suministro de todo tipo de datos.
El big data, como se denomina, está siendo recogido, analizado y procesado por las empresas y compartido con otras compañías. La gran cantidad de información proporcionada por el big data ha permitido a las empresas obtener información sobre cómo interactuar mejor con los clientes.
Sin embargo, la aparición de los big data también ha aumentado el número de violaciones de datos y ciberataques por parte de entidades que se dan cuenta del valor de esta información. Como resultado, ha surgido la preocupación sobre cómo las empresas manejan la información sensible de sus consumidores. Los organismos reguladores buscan nuevas leyes para proteger los datos de los consumidores, mientras que los usuarios buscan formas más anónimas de permanecer en el mundo digital.
Sensible vs. Información no sensible de identificación personal
IIP sensible
La información de identificación personal (IIP) puede ser sensible o no sensible. La información personal sensible incluye estadísticas legales como:
- Nombre completo
- Número de la Seguridad Social (SSN)
- Licencia de conducir
- Dirección postal
- Información de la tarjeta de crédito
- Información del pasaporte
- Información financiera
- Historial médico
La lista anterior no es en absoluto exhaustiva. Las empresas que comparten datos sobre sus clientes suelen utilizar técnicas de anonimización para encriptar y ofuscar la IIP, de modo que se recibe de forma no identificable. Una compañía de seguros que comparte la información de sus clientes con una empresa de marketing enmascarará la IIP sensible incluida en los datos y dejará sólo la información relacionada con el objetivo de la empresa de marketing.
Información de identificación personal no sensible
La IIP no sensible o indirecta es fácilmente accesible desde fuentes públicas como guías telefónicas, Internet y directorios corporativos. Entre los ejemplos de IIP no sensible o indirecta se encuentran:
- Código postal
- Raza
- Género
- Fecha de nacimiento
- Lugar de nacimiento
- Religión
La lista anterior contiene cuasi-identificadores y ejemplos de información no sensible que puede ser divulgada al público. Este tipo de información no puede utilizarse por sí sola para determinar la identidad de un individuo.
Sin embargo, la información no sensible, aunque no sea delicada, es vinculable. Esto significa que los datos no sensibles, cuando se utilizan con otra información personal vinculable, pueden revelar la identidad de un individuo. Las técnicas de desanonimización y reidentificación tienden a tener éxito cuando se reúnen múltiples conjuntos de cuasi-identificadores que pueden utilizarse para distinguir a una persona de otra.
La regulación y salvaguarda de la información personal identificable (PII) será probablemente un tema dominante para los individuos, las empresas y los gobiernos en los próximos años.
Salvaguardar la información personal identificable (PII)
Varios países han adoptado múltiples leyes de protección de datos para crear directrices para las empresas que recopilan, almacenan y comparten la información personal de los clientes. Algunos de los principios básicos esbozados por estas leyes establecen que cierta información sensible no debe recopilarse a menos que se trate de situaciones extremas.
Además, las directrices normativas estipulan que los datos deben ser eliminados si ya no se necesitan para su propósito declarado, y la información personal no debe ser compartida con fuentes que no puedan garantizar su protección.
Los ciberdelincuentes violan los sistemas de datos para acceder a la información personal, que luego se vende a compradores dispuestos en mercados digitales clandestinos. Por ejemplo, en 2015, el IRS sufrió una filtración de datos que provocó el robo de la IIP de más de cien mil contribuyentes.
Utilizando información robada de múltiples fuentes, los autores pudieron acceder a una aplicación del sitio web del IRS respondiendo a preguntas de verificación personal que sólo deberían haber estado al alcance de los contribuyentes.
La salvaguarda de la IIP puede no ser siempre responsabilidad exclusiva de un proveedor de servicios. En algunos casos, se puede compartir con la persona.
Información de identificación personal en todo el mundo
La definición de lo que comprende la IIP difiere según el lugar del mundo en el que se viva. En Estados Unidos, el gobierno definió en 2020 la información de identificación personal como cualquier cosa que pueda utilizarse para distinguir o rastrear la identidad de un individuo, como el nombre, el número de seguro social y la información biométrica, ya sea por sí sola o con otros identificadores como la fecha de nacimiento o el lugar de nacimiento.
En la Unión Europea (UE), la definición se amplía para incluir cuasi-identificadores como se indica en el Reglamento General de Protección de Datos (GDPR) que entró en vigor en mayo de 2018. El GDPR es un marco legal que establece normas para la recopilación y el procesamiento de información personal para aquellos que residen en la UE.
Información de identificación personal frente a. Datos personales
Los datos personales abarcan una gama más amplia de contextos que la IIP. Por ejemplo, su dirección IP, los números de identificación del dispositivo, las cookies del navegador, los alias en línea o los datos genéticos. Ciertos atributos como la religión, el origen étnico, la orientación sexual o el historial médico pueden clasificarse como datos personales, pero no como información de identificación personal.
Ejemplo de información personal identificable
A principios de 2018, Facebook Inc. (FB), ahora Meta, se vio envuelta en una importante violación de datos. Los perfiles de 50 millones de usuarios de Facebook fueron recogidos sin su consentimiento por una empresa externa llamada Cambridge Analytica. Cambridge Analytica obtuvo sus datos de Facebook a través de un investigador que trabajaba en la Universidad de Cambridge. El investigador construyó una aplicación de Facebook que era un test de personalidad. Una app es una aplicación de software utilizada en dispositivos móviles y sitios web.
La aplicación fue diseñada para tomar la información de aquellos que se ofrecieron a dar acceso a sus datos para el concurso. Desgraciadamente, la aplicación no solo recopiló los datos de los participantes en el concurso, sino que, debido a una laguna en el sistema de Facebook, también pudo recopilar datos de los amigos y familiares de los participantes.
Como resultado, más de 50 millones de usuarios de Facebook tuvieron sus datos expuestos a Cambridge Analytica sin su consentimiento. A pesar de que Facebook prohibió la venta de sus datos, Cambridge Analytica dio la vuelta y vendió los datos para utilizarlos en consultoría política. Mark Zuckerberg, fundador y consejero delegado de Facebook, hizo una declaración dentro de la publicación de los resultados del primer trimestre de 2019 de la compañía:
Nos centramos en desarrollar nuestra visión centrada en la privacidad para el futuro de las redes sociales y en trabajar en colaboración para abordar cuestiones importantes en torno a Internet.
La filtración de datos no sólo afectó a los usuarios de Facebook, sino también a los inversores. Los beneficios de Facebook descendieron un 50% en el primer trimestre de 2019 respecto al mismo periodo del año anterior. La empresa acumuló 3.000 millones de dólares en gastos legales y habría tenido un beneficio por acción de 1 dólar.04 más altos sin los gastos, afirmando:
Estimamos que el rango de pérdida en este asunto es de 3 dólares.0 mil millones a 5 dólares.0 mil millones. El asunto sigue sin resolverse, y no se puede asegurar el momento o los términos de cualquier resultado final.
Sin duda, las empresas invertirán en formas de recolectar datos, como la información de identificación personal (IIP), para ofrecer productos a los consumidores y maximizar los beneficios. Aun así, se encontrarán con una normativa más estricta en los próximos años.
Qué se considera IIP?
La información personal identificable está definida por la U.S. gobierno como:
„Información que puede utilizarse para distinguir o rastrear la identidad de un individuo, como su nombre, número de seguridad social, registros biométricos, etc. solo, o cuando se combina con otros datos personales o identificativos que están vinculados o pueden vincularse a una persona concreta, como la fecha y el lugar de nacimiento, el nombre de soltera de la madre, etc.”
Qué no es PII?
Los datos personales no se clasifican como IIP y los datos no personales, como la empresa para la que trabaja, los datos compartidos o los datos anónimos.
Qué es una violación de la IIP?
Los bienes personales son ilegales y a menudo implican fraudes como el robo de identidad. Las infracciones también pueden derivarse del acceso, el uso o la divulgación no autorizados de la IIP. No informar de una violación de la IIP también puede ser una violación.
Qué debe hacer al enviar por correo electrónico información personal?
Dado que el correo electrónico no siempre es seguro, trate de evitar el envío de IIP por correo electrónico. Si debe hacerlo, utilice técnicas de cifrado o de verificación segura.
Qué leyes protegen la información personal?
Varias leyes federales y estatales de protección del consumidor protegen la IIP y sancionan su uso no autorizado; por ejemplo, la Ley de la Comisión Federal de Comercio y la Ley de Privacidad de 1974.
Nuestro equipo exige a los escritores que utilicen fuentes primarias para respaldar su trabajo. Se trata de libros blancos, datos gubernamentales, informes originales y entrevistas con expertos del sector. También hacemos referencia a investigaciones originales de otras editoriales de renombre cuando es necesario. Puede obtener más información sobre las normas que seguimos para producir contenidos precisos e imparciales en nuestro
política editorial.