Información de identificación personal: Definición y ejemplos

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number,r and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

What Is Considered Personally Identifiable Information?

Information qualifies as PII when it meets either of the following conditions:

• Unique identification of an individual — The information can directly pinpoint an individual, as would be true for a Social Security number or email address.
• Linkability — The information, when combined with other accessible data, can reasonably identify an individual, such as combining zip code, birth date, and gender.

Context is critical when assessing whether information is PII:

• Data aggregation — Information that is not PII in isolation may become PII when combined with other datasets. For example, an IP address alone may not be PII, but when associated with a user account, it becomes PII.
• Purpose and access — Who has access to the data and how they intend to use it plays a role. For example, the location data of a person in a sensitive profession (such as law enforcement) may be considered PII.
• De-identification and re-identification risk — Even de-identified data can sometimes be re-identified using additional data sources, thus potentially regaining its status as PII.

Types of Personally Identifiable Information

PII can be broadly classified into two main categories based on the degree of identifiability: direct identifiers and indirect (or quasi-) identifiers.

Direct Identifiers

These are pieces of information that can directly and uniquely identify an individual without the need for additional data. Direct identifiers include:

• Full legal name, such as John A. Smith
• Social Security number (SSN)
• Passport number
• Driver’s license or state ID number
• Personal phone number
• Personal email address
• Biometric data (e.g., fingerprints, retina scans, facial recognition data)
• Credit card or bank account numbers
• Full-face photographs

Indirect (Quasi-) Identifiers

These pieces of information do not directly identify a person but can do so when combined with other data. Here are some common types of indirect identifiers with examples:

• Demographic info: Date of birth, gender, ethnicity, age or marital status
• Geographic info: Postal address, zip code, city of birth or travel history
• Educational history: School name or degree attained
• Employment data: Job title, company, office location
• Device information: IP address, MAC address, device ID (depending on context and jurisdiction)
• Behavioral info: Purchase history, browsing habits

Emerging Types of PII

With advances in technology, newer types of information are increasingly considered PII:

• Digital identifiers: Advertising IDs, MAC address
• Behavioral data: Browsing history, search queries
• Genetic information: DNA profiles

Sensitive vs. Non-Sensitive PII

PII can be sensitive or non-sensitive.

Sensitive PII

Sensitive PII is information that, if disclosed or compromised, could cause significant harm, embarrassment, financial loss or legal liability to an individual. Examples include:

• Social Security numbers
• Passport and driver’s license numbers
• Bank account and credit card details
• Medical records (also considered PHI), such as a diagnosis of diabetes in a healthcare system
• Legal records (criminal history, immigration status)
• Biometric data (fingerprints, retina scans)
• Full-face photographs (in certain contexts)
• Location data (GPS coordinates, real-time tracking)

Non-Sensitive PII

Non-sensitive PII is information that is generally publicly available or unlikely to cause serious harm if disclosed. Examples are:

• Full name (without other identifiers)
• Business contact information (work phone, company email)
• Job title or company affiliation
• General demographic data (race, gender when not combined with other identifiers)

Non-sensitive PII has a low standalone risk but can contribute to risk when combined with other data sets (data aggregation).

How Organizations Treat Sensitive PII and Non-Sensitive PII Differently

Examples of Personally Identifiable Information

Common examples used in identity verification

Industry-specific instances (e.g., healthcare, finance)

Myths about what is or isn’t PII

What Is Not PII?

Not all data is considered PII. Non-PII refers to information that cannot be used on its own to identify a specific individual. However, in some cases, non-PII can become PII when combined with other data points.

Personal Data vs. PII

• PII is data that can uniquely identify an individual. This term is used mainly in US legal and cybersecurity contexts (e.g., NIST, HIPAA).
• Personal data is broader than PII. Under laws like GDPR, it includes any information related to an identifiable person, even indirectly (for example, device ID, IP address).

Examples of Non-PII

The following are typically not PII — unless they are linked to other identifying data:

• Browser type or device model
• Zip code (if not specific enough to identify a household)
• Age range
• Gender
• Anonymous survey responses
• Anonymized data
• Aggregated analytics data
• Randomly generated user IDs that are not traceable back to a person

When Non-PII Becomes PII

Non-PII can turn into PII when:

• It is linked with other data. For example, zip code + birth date + gender can often uniquely identify an individual.
• Re-identification is possible. If anonymized data can be de-anonymized using external information (like social media or public records), it is no longer non-PII.
• Data correlation occurs. Behavioral data (like clickstreams) may seem anonymous but can be analyzed to identify specific users.

How PII Is Collected and Stored

Organizations must manage PII responsibly to protect individuals and comply with regulations like GDPR, CCPA and HIPAA.

PII Collection Methods

Where PII Is Stored

Most modern organizations store PII in cloud environments, such as AWS, Microsoft Entra, Google Cloud (public, private, or hybrid). PII is also often stored in SaaS platforms (CRMs, HRIS, ERPs).

However, some enterprises still use local servers and databases for sensitive workloads, as well as hybrid systems that combine local and cloud storage.

Regardless of location, PII must be encrypted (at rest and in transit), backed up securely, and audited regularly.

Consent and Transparency in PII Collection

User Consent

Laws like GDPR and CCPA require explicit, informed consent before collecting personal data. This means:

• Users must opt-in (not pre-checked boxes).
• Consent must be freely given, specific, informed and unambiguous.
• Consent withdrawal must be just as easy.

Transparency Requirements

Organizations must provide:

• Clear privacy policies on what data is collected, how it is used, how long it will be retained and any third-party sharing
• Notices at point of collection, such as cookie banners or inline disclaimers
• Easy ways for users to view, correct and delete their data

How PII Gets Compromised

PII is a prime target for cybercriminals because it can be used for financial fraud, identity theft and corporate espionage. Understanding the common ways PII is compromised helps organizations and individuals better protect it.

Common Threat Vectors

Attackers often gain access to PII using:

• Phishing — Fake emails or websites trick users into revealing login credentials or personal details. They are often disguised as legitimate communication from banks, employers, or service providers.
• Malware — Malicious software (e.g., keyloggers, spyware, ransomware) installed on a device can capture keystrokes, exfiltrate stored credentials or files, and open backdoors for future access.
• Social engineering —Attackers manipulate people by impersonating IT staff, using information from social media to gain trust, and convincing employees to grant system access or bypass protocols.
• Weak security practices — Adversaries can also gain access to PII by exploiting to poor password hygiene, unpatched or outdated software, insecure APIs or third-party services and misconfigured cloud storage (for example, open S3 buckets).

Data Breaches & Real-World Incidents

Data breaches occur when unauthorized individuals gain access to PII. The consequences can be severe for both the organization that was breached and the individuals who data was compromised.

Here are a few high-profile incidents:

• Equifax (2017) — This attack affected 147 million people, exposing their Social Security numbers, birth dates and more.
• Facebook (2019) — 540 million user records were exposed through third-party apps stored in unsecured cloud databases.
• Marriott (2018–2020) — Hackers stole data from 500 million guests, including passport numbers and booking details.

How Attackers Exploit Stolen PII

Stolen PII has immense black-market value and can be exploited in multiple ways. Even a small amount of PII (such as name, date of birth or Social Security number) is often enough to commit these acts.

Identity Theft & Fraud

Stolen PII enables attackers to impersonate victims and perform fraudulent actions such as:

• Opening credit cards or bank accounts
• Taking out loans
• Making unauthorized purchases
• Filing false tax returns to collect refunds

Credential Stuffing & Account Takeover

If the stolen PII includes usernames and passwords, attackers can run automated scripts to test these credentials across multiple platforms (banks, email, e-commerce). Due to password reuse, this often results in full account takeovers, granting access to sensitive data and stored funds.

Spear Phishing and Social Engineering

Having detailed PII about an individual enables attackers to target them more effectively in the future. With accurate details about things like the person’s employer or recent purchases), they can pretend to be a trusted contact or service provider and trick the victim into revealing more information or making financial transactions.

Medical and Insurance Fraud

Stolen health records or insurance information can be used to:

• File false medical claims
• Receive unauthorized treatments or prescriptions
• Steal someone’s medical identity, which can lead to dangerous errors in patient care

Blackmail or Extortion

Highly sensitive PII (such as private messages or health history) may be used to threaten public exposure unless a ransom is paid, as well as to target individuals in reputation-damaging campaigns.

Dark Web Sales and Data Resale

Sometimes, attackers sell the PII instead of using it themselves. “Fullz” packages (full identity profiles) can be sold for high prices, and health records, passports and credit card data fetch premium value on dark web marketplaces.

Long-Term Impact

Unlike a stolen credit card, PII cannot always be easily replaced. Victims may face:

• Years of monitoring and legal disputes
• Repeated targeting due to data circulation among criminals
• Difficulty securing credit or jobs due to compromised records

Regulations Governing Personally Identifiable Information

Let’s have a quick look at the regulations governing PII, covering US laws, international frameworks, and differences in global definitions and protections.

US Laws

International Frameworks

Differences in PII Definitions and Protections by Country or Region

Protecting Personally Identifiable Information

Protecting PII is crucial in today’s digital age due to increasing threats from data breaches, identity theft and cyberattacks.

Best Practices for Individuals

Corporate Data Handling Protocols

Reducing the Attack Surface

Consequences of Mishandling PII

Mishandling PII can lead to serious consequences for both organizations and individuals.

Consequences for Organizations that Mishandle PII

Fines and Regulatory Sanctions

Organizations that fail to comply with data protection laws may face substantial fines. Here are some examples:

• GDPR (EU) — Fines up to €20 million or 4% of global annual turnover (whichever is higher). Examples include British Airways (£20M fine) and Marriott International (£18.4M fine).
• CCPA (California) — Civil penalties of up to $2,500 per unintentional violation and $7,500 per intentional violation. Private right of action allows consumers to sue for data breaches.
• HIPAA (US healthcare sector) — Fines range from $100 to $50,000 per violation, up to $1.5 million annually per violation type.

Class Action Lawsuits and Settlements

Victims of data breaches often initiate class actions, where settlements can cost millions in payouts, legal fees and operational changes.

Remediation Costs

Post-breach expenses include incident response, forensics, public relations, customer notification and credit monitoring. According to the IBM Cost of a Data Breach Report 2024, the average cost of a breach is $4.45 million.

Reputation Damage and Loss of Customer Trust

• Brand erosion — News of a breach spreads quickly, damaging the company’s public image. In such a situation, loss of goodwill can take years to rebuild or simply be irreversible.
• Customer attrition — Customers may switch to competitors perceived as more secure. Businesses in industries like finance, healthcare, or e-commerce are especially vulnerable to churn.
• Loss of competitive advantage — Breached organizations may lose trade secrets, proprietary information or face disrupted operations.
• Decline in market value — Publicly traded companies often experience stock price drops following breach announcements. Shareholder lawsuits may follow, especially if negligence is involved.

Consequences for Individuals Whose PII Is Mishandled

• Identity theft — Criminals can use stolen PII to open bank accounts, take out loans or file fraudulent tax returns.
• Financial fraud — Stolen credit card and banking details can result in unauthorized transactions, loss of funds and damaged credit scores.
• Emotional and psychological distress — Victims may suffer from anxiety, stress and fear of further victimization. Moreover, rebuilding identity can be a lengthy, frustrating and intrusive process.
• Targeted scams and phishing — Leaked information can be used in highly personalized scams that are difficult to detect.
• Employment or social impact — Exposure of sensitive personal details can lead to professional embarrassment or social stigmatization.

Case Studies: Major PII Breaches

Equifax Breach (2017)

Equifax, one of the largest credit reporting agencies in the US, suffered a major cybersecurity incident that exposed the sensitive personal information of some 147.9 million people in the US — nearly half of the country’s population. It also affected people in Canada and the United Kingdom. The incident stands out as one of the largest breaches of sensitive data in history.

The breach occurred between May 13 and July 30, 2017. It went undetected for 76 days, allowing attackers to exfiltrate massive amounts of data. Equifax publicly disclosed it on September 7, 2017. The attackers exploited a vulnerability (CVE-2017-5638) in Apache Struts, an open-source web application framework. This vulnerability had been publicly disclosed and patched in March 2017, but Equifax did not apply the patch in time. Later reports indicated that some systems lacked proper encryption and security protocols.

Compromised data included names, Social Security numbers, birth dates, addresses, credit card information (for around 209,000 people), and dispute documents containing personal information (for 182,000 individuals). Overall, the breach posed a significant risk of identity theft and fraud.

Reputational damage aside, Equifax incurred $1.4 billion in costs related to the breach, including legal settlements, customer support and security improvements. The settlement also included free credit monitoring and identity theft protection for affected individuals. Equifax had to invest in overhauling its cybersecurity infrastructure, implementing stronger encryption, multifactor authentication and real-time threat monitoring. On the legal front, Equifax faced several lawsuits and investigations from regulators and private entities.

Facebook-Cambridge Analytica Scandal

The Facebook–Cambridge Analytica scandal came to light in early 2018, when it was revealed that the personal data of millions of Facebook users had been harvested without consent and used for political advertising purposes. The core of the issue revolved around a third-party app that collected data through a seemingly innocuous personality quiz. While only about 270,000 users directly interacted with the app, Facebook’s API at the time allowed the app to access not just their data but also the data of their friends — ultimately compromising the information of over 87 million users. This data was then passed on to Cambridge Analytica, a political consulting firm that used the profiles to build psychographic models and target users with highly personalized political messages, particularly during the 2016 US presidential election and the Brexit campaign.

Facebook faced intense scrutiny from governments and regulators worldwide, leading to CEO Mark Zuckerberg testifying before the US Congress and the European Parliament. The company’s stock value dropped significantly and its reputation suffered substantial damage. Regulatory consequences followed, including a $5 billion fine from the US Federal Trade Commission (FTC) in 2019 — the largest ever imposed for a privacy violation at that time.

Lessons Learned from High-Profile Incidents

Here are the key lessons learned from high-profile data privacy incidents such as the Equifax breach and the Facebook–Cambridge Analytica scandal:

• Prioritize data security and patch management. Organizations must maintain an up-to-date vulnerability management program and automate patch deployment wherever possible.
• Transparent and timely communication is crucial. Having a well-prepared incident response and communication plan helps maintain trust and ensures regulatory compliance during crises.
• Know what data you have — and why. Adopt data minimization and retention principles. Collect only what’s necessary, and clearly define the purpose and legal basis for doing so.
• Strengthen access controls and internal oversight. Implement role-based access controls (RBAC), enforce the principle of least privilege and monitor data access in real time.
• User consent must be informed and granular. Ensure clear, specific opt-in consent for data collection and sharing. Avoid using obscure terms buried in privacy policies.
• Regulatory compliance isn’t optional. Violations of GDPR, CCPA and other data protection laws can lead to massive fines and lawsuits. Treat privacy compliance as a core business function, not a checkbox exercise. Engage privacy officers, legal counsel and IT in data strategy development.
• Regularly test and audit systems. Many organizations discover weaknesses only after an incident occurs. It is a best practice to conduct routine security audits, penetration tests and risk assessments to identify vulnerabilities before attackers do.
• Trust is fragile and must be earned continuously. Once lost, trust — whether from customers, partners or regulators — is extremely hard to regain. Demonstrate privacy by design, transparency and ethical data use to build long-term credibility.
• Invest in privacy education and culture. Human error remains a significant factor in data mishandling. Take steps to foster a privacy-first culture through regular training, awareness programs and leadership engagement.

PII in the Workplace and Vendor Agreements

Here’s a detailed guide on managing PII in the workplace and in vendor agreements, with emphasis on identifying PII during third-party negotiations, employee responsibilities and vendor risk management.

Identifying PII During Third-Party Negotiations

Vendor Risk Assessment and Compliance Protocols

PII vs. PHI: What’s the Difference?

PII and protected health information (PHI) are both foundational concepts in data privacy and security. The following will help you distinguish between the two.

Personally Identifiable Information

PII is any information that can be used to identify, contact or locate a specific individual, either directly or indirectly, such as full name, Social Security number, email address, phone number, passport number or driver’s license number. PII applies broadly across sectors, such as finance, education and retail.

Protected Health Information

PHI is a subset of PII that specifically relates to an individual’s health status, medical care or payment for health services. PHI is defined and regulated under HIPAA in the United States. Examples of PHI include:

• Medical records
• Lab results
• Insurance information
• Doctor’s notes
• Appointment schedules

PII and PHI Overlap

PHI is a subset of PII, but not all PII is PHI. For example a name is PII, but a name combined with a medical diagnosis or insurance number becomes PHI.

Legal Distinctions

Use Cases Where Both Types Apply

• A telemedicine app that stores user names and email addresses (PII) as well as appointment records and prescriptions (PHI)
• A health insurance portal that collects login credentials and contact info (PII) as well as claim history and treatment details (PHI)
• An employee wellness program that gathers demographic data for incentive tracking (PII) along with health risk assessments and lab results (PHI)
• Research studies and clinical trials that use consent forms and contact info (PII) as well as health data from patient interviews and testing (PHI)

Future of PII: Trends and Emerging Challenges

Here are some trends and challenges regarding PII to watch for.

Impact of AI and Big Data

AI and big data analytics are transforming PII management but also amplifying risks. Key concerns include:

• Exploding data volumes — AI systems feed on massive datasets, often containing sensitive personal data. Even anonymized data can be re-identified with enough auxiliary information.
• Profiling & inferences — AI can infer sensitive information (for example, political views, health status) from seemingly innocuous data, creating new categories of “derived PII.”
• Automated decision-making — AI models influence important decisions in areas like employment, lending and healthcare. Concerns include fairness and explainability.
• Data minimization challenges — AI thrives on large datasets, which contradicts the principle of collecting only necessary data.

Core challenges will be balancing innovation with privacy, and ensuring proper oversight in AI-driven decisions involving PII

Rise of Biometric Identifiers

Biometric data — facial recognition, iris scans, fingerprints, voice prints, DNA — is increasingly used for authentication, surveillance and personalization. For example, this data is being used in smartphone security, airport clearance, workplace access and healthcare.

Risks include:

• Irrevocability — Unlike passwords, you can’t change your face or fingerprints if they are compromised.
• Mass surveillance — Government and corporate use of facial recognition has triggered civil liberties concerns.
• Data breaches — Biometric databases are prime targets due to the high value and permanence of the data.

A key challenge will be creating legal and technical safeguards for the ethical use and storage of biometrics.

Calls for Unified Global Privacy Frameworks

Many countries (as well as individual US states) are developing their own privacy laws, which increases complexity:

• Inconsistent laws hinder international data transfers and global business.
• Multinational companies face costly, redundant compliance efforts.

Efforts are underway to draft frameworks that address these concerns. They include:

• OECD and ISO efforts toward standardization
• Proposed UN conventions on digital privacy
• Discussions around a “Global Privacy Accord” or international data protection treaty

The challenge will be aligning privacy rights and enforcement mechanisms globally while respecting national sovereignty and cultural differences.

Looking Ahead

Key Emerging Trends

• Privacy by design — Integrating privacy into product development from the ground up
• Zero-Trust architectures —Moving beyond perimeter security to identity-centric models
• Synthetic data — Using AI-generated datasets to train models without using real PII
• Decentralized identity (DID) — Empowering users with control over their identity using blockchain or similar tech

Key Challenges

• Maintaining trust in a hyper-connected world
• Balancing innovation with individual rights
• Preventing surveillance capitalism and digital authoritarianism

About Netwrix Data Classification

Identifying and safeguarding PII is essential to avoid costly breaches and ensure compliance with strict data security regulations like GDPR and HIPAA. However, PII is often dispersed across various data environments, making manual identification both difficult and error-prone.

Netwrix Data Classification empowers organizations to accurately identify, categorize and secure sensitive data, including PII. This process helps them reduce data-related risks, ensure compliance and improve operational efficiency. Key capabilities related to PII include:

• Automated discovery — Uses predefined and customizable rules to detect various types of PII across on-premises file shares, SharePoint, cloud storage and more.
• Data categorization —Tags files based on sensitivity and content type (for example, financial data, health data), which helps prioritize protection efforts based on risk.
• Regulatory mapping —Supports compliance with regulations like GDPR, CCPA and HIPAA by mapping PII to legal requirements and streamlining audits and reporting.
• Risk mitigation — Identifies overexposed or mismanaged PII (for example, data stored in public folders or shared widely), and supports remediation by integrating with Netwrix Auditor and other DLP/IRM solutions.
• Process of data subject access requests (DSARs) — Accelerates DSAR handling by quickly locating all PII associated with an individual across repositories.

FAQ

What is the best definition of personally identifiable information (PII)?

PII is data that can reveal an individual’s identity. The following definition is widely accepted by privacy frameworks such as the US National Institute of Standards and Technology (NIST) and international regulations like GDPR and CCPA, though the specific terminology may vary slightly:

Any information that can be used to identify, contact, or locate a single individual, either directly or indirectly.

What are some examples of PII?

Some common examples of PII are:

• Full Name: Jane Smith, Ahmed Khan
• Government IDs: Social Security Number (SSN), passport number, driver’s license scan
• Contact details: Email address, phone number, mailing address
• Biometric data: Fingerprints, facial recognition, retina scans
• Financial info: Credit card number, bank account details
• Digital identifiers: National ID, taxpayer ID number, student ID

What are the two types of PII?

• Direct identifiers can uniquely identify an individual on their own. Examples include full name, passport number, phone number and credit card number.
• Indirect identifiers do not identify an individual when used alone but can when combined with other data. Examples of indirect identifiers include demographic info, employment data and device info.

See the Types of Personally Identifiable Information section for details.

What laws protect PII?

Regulations that protect PII vary by country and industry, but they all share the goal of ensuring that individuals have control over their personal data, and that organizations handle PII responsibly. Here are some of the most well-known laws.

See the Regulations Governing Personally Identifiable Information section for details.

Can non-sensitive data become PII?

Yes, non-sensitive data can become PII when it is combined with other data in a way that allows an individual to be identified, located or contacted. For example, a zip code alone is not PII, but combining it with date of birth and gender could uniquely identify a person.

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number, and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

¿Qué es la información de identificación personal?

Saber qué se considera PII es el primer paso para controlar ese acceso, y la respuesta depende del contexto, porque un código postal y una fecha de nacimiento pueden parecer inofensivos por separado, pero juntos apuntan a una persona.

PII, abreviatura de información personal identificable, es cualquier información que puede distinguir o rastrear la identidad de una persona específica, ya sea sola o combinada con otra información vinculada o vinculable a esa persona.

Las leyes de privacidad de datos establecen los límites en diferentes lugares, por lo que un conjunto de datos puede estar bajo un régimen y estar exento bajo otro.

La mayoría de las exposiciones de información personal identificable (PII) comienzan con el acceso, ya que el 75 % de las exposiciones de datos sensibles se inician con identidades comprometidas o permisos mal configurados, según el Netwrix 2026 Data and Identity Security Report.

Información vinculada y vinculable

Un solo sistema suele contener los tres. Por ejemplo, una aplicación de telemedicina almacena nombres y correos electrónicos (PII) junto a registros de citas y recetas (PHI), y los datos de cualquier usuario de la UE en ella también son datos personales según el GDPR.

Un nombre, un número de Seguro Social o un registro biométrico pueden identificar a una persona por sí solos, mientras que una fecha de nacimiento o un código postal solo identifican a alguien cuando se combinan con otros datos. Dado que la identificabilidad depende del conjunto de datos circundante, el mismo campo puede ser PII en un contexto y inofensivo en otro.

La Oficina de Gestión y Presupuesto de EE. UU. utilizó esta definición en un memorando de 2007, y el Instituto Nacional de Estándares y Tecnología (NIST) la mantiene en SP 800-122, su guía para proteger la PII.

SP 800-122 define PII en dos partes, y la primera cubre información que puede distinguir o rastrear una identidad, como un nombre, número de Seguro Social o registro biométrico. La segunda cubre cualquier otra información vinculada o vinculable a un individuo, como información médica, educativa, financiera y laboral.

Datos no PII y cuándo se convierten en PII

La guía también relaciona la etiqueta con la facilidad con que los datos identifican a una persona. Los nombres, huellas dactilares y números de Seguro Social identifican a las personas de forma única y directa, mientras que los códigos postales y fechas de nacimiento pueden identificar a las personas de forma indirecta o ayudar a reducir grandes conjuntos de datos.

La información deja de ser PII cuando ya no puede distinguir ni rastrear a un individuo, sola o combinada con otra información. NIST define la información anonimizada como aquella previamente identificable que ha sido desidentificada y para la cual no queda ningún código u otra asociación para la reidentificación.

El contexto cambia las apuestas, como muestra el propio ejemplo de NIST al comparar dos listas con los mismos campos, como nombre, dirección y número de teléfono. Una lista contiene suscriptores al boletín y la otra personas que trabajan encubiertas en la policía, por lo que una violación de cada una tiene consecuencias muy diferentes para las personas y la organización.

La anonimización tiene límites, porque NIST señala que la información desidentificada puede ser reidentificada. Combinar conjuntos de datos también puede revertirla, ya que un código postal y una fecha de nacimiento que parecen inofensivos en sistemas separados pueden identificar a una persona una vez que se combinan.

PII, datos personales y PHI comparados

En 1980, la Organization for Economic Co-operation and Development adoptó directrices para proteger la privacidad y los flujos transfronterizos de personal data, utilizando el término más amplio personal data.

El término información de identificación personal aparece en la guía federal desde 2007, en el memorando citado arriba y en NIST SP 800-122, publicado en abril de 2010.

Ejemplos y tipos de PII

PHI es información de salud identificable individualmente sobre el estado de salud, atención o pago de atención de una persona, que posee una entidad cubierta o su asociado comercial, y está regulada por HIPAA. Un nombre solo es PII, pero un nombre combinado con un diagnóstico o número de seguro es PHI cuando lo posee una entidad cubierta o asociado comercial.

Bajo GDPR, los datos personales incluyen cualquier información relacionada con una persona identificada o identificable, y el Artículo 4(1) enumera los identificadores en línea entre aquellos que pueden hacer que una persona sea identificable. Por lo tanto, un conjunto de datos que pasa una prueba estricta de PII de EE. UU. aún puede considerarse datos personales regulados en la UE.

PII es el término estadounidense, y su historia explica por qué las tres definiciones difieren. El informe de 1973 del Departamento de Salud, Educación y Bienestar de EE. UU., Records, Computers, and the Rights of Citizens, propuso un código de prácticas justas de información, y el Congreso lo utilizó para redactar la Privacy Act of 1974.

Cinco ejemplos comunes de PII son un nombre completo, un número de Seguro Social, un número de pasaporte, un número de licencia de conducir y datos biométricos como huellas dactilares, todos los cuales aparecen en los propios ejemplos de NIST.

Cada campo en la tabla se clasifica según cómo identifica a una persona y el daño que su exposición puede causar, y las calificaciones varían según la organización y la jurisdicción.

Identificadores directos e indirectos

Un número de Seguro Social se considera PII incluso sin un nombre porque NIST dice que identifica a las personas de forma única y directa, lo que lo hace más sensible que un número de teléfono o código postal.

Un nombre y apellido cuentan según la definición de NIST porque distinguen a una persona, aunque el ejemplo de la lista de respuesta a incidentes de NIST muestra el poco riesgo adicional que conllevan los nombres y datos de contacto laborales disponibles públicamente. Una fecha de nacimiento por sí sola no identifica a una persona, pero combinada con un código postal sí puede.

Los identificadores directos señalan a una persona sin datos complementarios. NIST menciona nombres, huellas dactilares y números de Seguro Social como ejemplos de información que identifica a las personas de forma única y directa.

PII sensible y no sensible

Los identificadores indirectos apuntan a una persona solo cuando se combinan con otros datos. NIST cita códigos postales y fechas de nacimiento como ejemplos, ya que pueden identificar a individuos de forma indirecta o ayudar a reducir grandes conjuntos de datos. Cada campo adicional reduce aún más la población, por lo que un programa de clasificación debe evaluar qué campos identifican juntos.

La PII sensible es aquella cuya exposición podría causar daños graves a la privacidad, financieros o legales. La guía de NIST formaliza esta idea con niveles de impacto de confidencialidad bajos, moderados o altos, indicando el daño potencial a las personas y a la organización si la PII se accede, usa o divulga de manera inapropiada.

Se señala que un número de Seguro Social, historial médico o información de cuenta financiera es generalmente más sensible que un número de teléfono o código postal.

Leyes y regulaciones que rigen la PII

NIST recomienda un enfoque basado en riesgos, por lo que la PII de mayor impacto requiere salvaguardas más fuertes. Las recomendaciones incluyen la aplicación de acceso, el cifrado de la información almacenada y la supervisión de eventos que afectan la confidencialidad de la PII.

Netwrix Access Analyzer resuelve grupos anidados de AD y la herencia de SharePoint para mostrar datos sensibles sobreexpuestos. Solicite una demostración.

Los PII de menor impacto, como los nombres y los datos de contacto laboral en el ejemplo de la lista de NIST, todavía necesitan protección para evitar que se combinen con otros campos, porque los campos combinados pueden hacer que datos sensibles sean identificables.

Los datos de tarjetas de pago también están sujetos al Payment Card Industry Data Security Standard (PCI DSS), que se aplica a las entidades que almacenan, procesan o transmiten datos de titulares de tarjetas.

Ley de Privacidad de 1974

Ninguna ley única define el PII para todos los propósitos. La regulación en EE. UU. es sectorial, con leyes separadas para agencias federales, salud, finanzas, educación y consumidores bajo la ley estatal, mientras que la UE y Australia aplican marcos nacionales a la información personal.

La Ley de Privacidad otorga a las personas el derecho a acceder a los registros sobre ellas y a corregir los registros inexactos, y exige que las agencias federales recopilen registros solo para fines legales y autorizados y los protejan. Solo cubre agencias federales.

Ley de Privacidad del Consumidor de California y Ley de Derechos de Privacidad de California

HIPAA

La CPRA modificó la ley, añadió derechos para los consumidores y obligaciones para las empresas, y entró en vigor el 1 de enero de 2023.

La CCPA otorga a los consumidores de California el derecho a saber qué información personal recopilan las empresas sobre ellos, eliminarla, corregir información inexacta y optar por no venderla o compartirla.

Se aplica a empresas con fines de lucro que operan en California y cumplen al menos uno de los umbrales basados en ingresos, el número de consumidores de California cuyos datos manejan o ingresos por la venta o el intercambio de información personal.

Ley Gramm-Leach-Bliley

HIPAA se aplica a las entidades cubiertas, es decir, planes de salud, centros de compensación de salud y proveedores de atención médica que transmiten información de salud electrónicamente en transacciones estándar, así como a sus asociados comerciales.

Según 45 CFR 164.306, deben garantizar la confidencialidad, integridad y disponibilidad de la información electrónica de salud protegida que crean, reciben, mantienen o transmiten. Según 45 CFR 164.404, una entidad cubierta debe notificar a las personas afectadas sobre una violación de PHI no asegurada sin demora indebida y a más tardar 60 días calendario después del descubrimiento.

GLBA cubre a las empresas que ofrecen a los consumidores productos o servicios financieros, como préstamos, asesoría financiera o de inversiones, o seguros. Su Norma de Privacidad les exige informar a los clientes sobre sus prácticas de intercambio de información y sobre el derecho a optar por no compartir con ciertos terceros. La Norma de Salvaguardas requiere un programa de seguridad de la información para proteger la información del cliente.

Ley de Derechos Educativos y Privacidad Familiar

Reglamento General de Protección de Datos

Ley de Privacidad Australiana de 1988

FERPA se aplica a agencias e instituciones educativas que reciben fondos bajo un programa del Departamento de Educación de EE. UU. Protege los registros educativos relacionados directamente con un estudiante y mantenidos por la institución o una parte que actúe en su nombre.

Según la Oficina del Comisionado de Información de Australia, la Privacy Act 1988 regula cómo las agencias del Gobierno australiano, las organizaciones con una facturación anual superior a 3 millones de AUD y algunas otras organizaciones manejan la información personal.

Cómo se expone la información personal identificable

Sus 13 Principios de Privacidad Australianos cubren la recopilación, uso y divulgación de información personal; la integridad y corrección de esa información; y los derechos de las personas para acceder a ella.

Los incidentes documentados siguen tres rutas recurrentes: mensajes engañosos, sistemas sin parches y acceso de terceros.

GDPR tiene un ámbito territorial, establecido en el Artículo 3, que cubre el tratamiento de datos personales de personas en la UE. Otorga a los individuos derechos de acceso, rectificación, supresión y portabilidad de datos, y el Artículo 37 cubre el nombramiento de los delegados de protección de datos.

Phishing

Las señales de advertencia incluyen un lenguaje urgente o emocional, solicitudes de información personal y financiera, URLs acortadas no confiables y direcciones de correo electrónico o enlaces incorrectos.

El phishing ocurre cuando los delincuentes intentan que las personas abran enlaces, correos electrónicos o archivos adjuntos dañinos. El señuelo puede llegar como un correo electrónico, mensaje de texto, mensaje directo o llamada telefónica, y está diseñado para parecer que proviene de una persona u organización confiable.

Software sin parches

Acceso de terceros

La brecha de Equifax de 2017 muestra el costo de no aplicar un parche. El proyecto Apache Struts anunció la entrada de Common Vulnerabilities and Exposures (CVE) CVE-2017-5638 y lanzó un parche el 7 de marzo de 2017, y el Departamento de Seguridad Nacional alertó a Equifax al día siguiente, pero Equifax no parcheó completamente sus sistemas.

Según el informe del House Oversight Committee, los atacantes permanecieron en la red durante 76 días y accedieron a la información personal de aproximadamente 148 millones de personas, incluidos nombres, números de Seguro Social, fechas de nacimiento, direcciones y números de licencia de conducir.

Equifax acordó luego pagar al menos 575 millones de dólares, y potencialmente hasta 700 millones de dólares, en un acuerdo con reguladores federales y estatales.

El caso de Facebook y Cambridge Analytica muestra cómo el acceso de terceros expone PII. La Federal Trade Commission (FTC) alegó que una aplicación de Facebook creada por el desarrollador Aleksandr Kogan preguntaba a los usuarios sobre su personalidad y otras cuestiones, y también recopilaba información sobre sus amigos de Facebook.

Qué sucede cuando se maneja mal la información personal identificable

Multas y sanciones regulatorias

Además, se alegó que Cambridge Analytica comparó las puntuaciones de personalidad resultantes con los registros de votantes de EE. UU. para realizar perfiles y publicidad dirigida.

Las consecuencias recaen en la organización que poseía los datos y en las personas que identifica.

Costos de remediación y operación

Las sanciones civiles de HIPAA comienzan en $145 por violación y aumentan según la culpabilidad, con un mínimo de $73,011 por negligencia voluntaria no corregida, según el ajuste por inflación de enero de 2026.

Según el Artículo 83 del GDPR, las multas pueden alcanzar hasta 20 millones de euros o el 4 % de la facturación anual mundial total, lo que sea mayor. La CCPA permite multas administrativas de hasta 2.663 $ por infracción y 7.988 $ por infracción intencional, según el ajuste de 2025.

Facebook dijo que pudo haber compartido información de forma inapropiada sobre hasta 87 millones de personas con Cambridge Analytica. En 2019, la FTC impuso una multa de 5 mil millones de dólares a Facebook, la mayor jamás impuesta a una empresa por violar la privacidad de los consumidores.

Los acuerdos pueden alcanzar cientos de millones de dólares, como ocurrió con Equifax. Bajo la CCPA, los consumidores pueden demandar por ciertas violaciones de datos y recuperar daños legales de $107 a $799 por consumidor e incidente, o daños reales si son mayores.

Pérdida de confianza pública y valor de mercado

Robo de identidad y fraude financiero

El Cost of a Data Breach Report 2026 de IBM sitúa el coste medio global de una brecha en un récord de 4,99 millones de dólares. La guía de NIST enumera los costes de remediación, la carga administrativa y las pérdidas financieras entre los daños que puede sufrir una organización.

NIST enumera la pérdida de confianza pública y la responsabilidad legal entre los daños organizacionales. Tras el anuncio de la brecha de Equifax, el precio de sus acciones cayó un 35 % en la primera semana, eliminando 6 mil millones de dólares en valor de mercado, según el informe del Comité de Supervisión de la Cámara.

Extorsión y otros daños a las personas

Según la FTC, los ladrones pueden usar información personal robada para obtener nuevas tarjetas de crédito a nombre de la víctima, solicitar préstamos, presentar declaraciones de impuestos fraudulentas para cobrar reembolsos y recibir atención médica o beneficios de Medicare. NIST señala el robo de identidad como el principal daño a las personas.

Cómo proteger la información de identificación personal

NIST recomienda un enfoque basado en riesgos, por lo que cada control a continuación debe estar vinculado a un repositorio específico y al nivel de impacto de la PII que contiene.

NIST enumera el chantaje, la vergüenza, el daño físico, la discriminación y el estrés emocional entre los posibles daños de una violación de PII. Exponer detalles sensibles puede causar daños mucho más allá de la pérdida financiera.

Descubra y clasifique PII

No puedes proteger la PII que desconoces, así que comienza por inventariar dónde se almacena, procesa y transmite. Incluye recursos compartidos de archivos, bases de datos, aplicaciones en la nube, copias de seguridad y las hojas de cálculo que las personas exportan de ellas.

Limite quién puede acceder a PII

Recolecta menos y elimina según el calendario

Luego clasifique los datos según el daño que su exposición podría causar, lo que NIST denomina nivel de impacto en la confidencialidad, por lo que una tabla de números de Seguro Social recibe protecciones más fuertes que un directorio de personal. Repita el inventario periódicamente, porque las copias y exportaciones difunden la PII más rápido de lo que una auditoría única puede rastrearla.

Cada campo que recopilas es un campo que debes proteger, así que pregunta qué decisión respalda cada uno y deja de recopilar los que no respaldan ninguna. Establece un período de retención para cada categoría de PII y ejecuta la eliminación como un trabajo programado en lugar de un proyecto de limpieza ocasional.

Asigne el acceso mediante grupos basados en roles en lugar de a individuos, para que un cambio de rol actualice el acceso en un solo lugar. Cuando sea posible, permita que los usuarios accedan a PII a través de una aplicación que limite qué registros y campos ven, manteniéndolos fuera de las bases de datos y archivos sin procesar que la contienen.

Conceda a cada persona solo el acceso que su rol necesita, bajo el principio de mínimo privilegio, y revíselo según un calendario. El acceso correcto al contratar se acumula en acceso incorrecto tras dos cambios de rol.

Cifre y supervise la PII

Parchear los sistemas rápidamente

Los datos que nadie usa siguen considerándose expuestos en una brecha. Almacenar menos reduce tanto la probabilidad como la magnitud del daño, haciendo de la minimización una parte fundamental de la gestión del ciclo de vida de los datos.

Alerta sobre patrones como una cuenta que lee muchos más archivos de lo habitual o PII que se copia en medios extraíbles, e investiga cada alerta antes de que los datos salgan.La supervisión de acceso a archivos proporciona ese registro para los recursos compartidos de archivos.

Cifre la PII en reposo en servidores, portátiles y copias de seguridad, y en tránsito entre sistemas, para que un disco robado o una conexión interceptada no revelen nada legible. La encriptación no impide que una cuenta autorizada lea los datos, por lo que debe combinarse con la supervisión de quién abre, copia y mueve la PII.

Capacite al personal antes de que obtenga acceso

El parcheo protege la PII solo si sabes qué ejecutas y puedes confirmar que cada corrección se aplicó. Mantén un inventario del software expuesto a internet, incluidos los frameworks y bibliotecas de código abierto dentro de tus propias aplicaciones, porque no puedes programar un parche para un componente que desconoces.

Establezca plazos según la gravedad y si los atacantes ya están explotando la vulnerabilidad, siendo los más cortos para estas últimas. CISA indica que las organizaciones deben usar su Known Exploited Vulnerabilities catalog como referencia para esa priorización.

Haga que la formación sea una condición para el acceso en lugar de una tarea del primer mes vinculando su finalización al paso que otorga acceso a los sistemas que contienen PII. Explique qué hacen las personas con la PII en sus trabajos, incluyendo cómo reconocerla, dónde puede almacenarse y compartirse, cómo desecharla, cuál es el calendario de retención y qué sanciones se aplican en caso de mal uso.

Prepare un plan de respuesta a incidentes

Luego verifique con un escaneo y revise también el escaneo. Después de la alerta de Struts, el escaneo de componentes de código abierto de Equifax no detectó la versión vulnerable porque se ejecutó en un directorio raíz en lugar del subdirectorio donde se listaba Struts, y un segundo escáner revisó 958 direcciones IP externas y no encontró nada.

Demandas y acuerdos

Una violación de PII añade decisiones que un plan estándar de incidentes de seguridad omite, y debes tomarlas antes de un incidente. Decide quién puede declarar una violación de PII, quién forma parte del equipo de respuesta y quién habla con los reguladores, las personas afectadas y la prensa.

Agregue capacitación basada en roles para las personas que manejan la PII más sensible, como los equipos de HR, nómina y soporte que ven los registros de clientes. Enséñeles a reconocer un incidente de PII y dónde reportarlo a cualquier hora, y actualice la capacitación según un calendario establecido usando estafas actuales y brechas recientes como ejemplos.

Proporcione al personal un único canal de reporte que funcione a cualquier hora y recopile los mismos datos cada vez, incluyendo qué se perdió, de qué sistema y medio de almacenamiento, cuántas personas están afectadas y si se ha contactado a las autoridades.

Las prácticas básicas de CISA también se aplican a las personas.

Protege tu propia PII

• Utilice contraseñas fuertes y únicas y guárdelas en un gestor de contraseñas.

Conserve la evidencia antes de eliminar PII de los medios, porque NIST recomienda no sanitizarla hasta que haya decidido si debe conservarla como evidencia. Pruebe el plan con un ejercicio de simulación de brecha y actualícelo con cada lección aprendida.

• Active la autenticación multifactor (MFA) donde esté disponible.

Planifique la notificación con anticipación, incluyendo si es obligatoria, con qué rapidez, quién la envía, qué dice y si se ofrece ayuda como la supervisión de crédito. Según GDPR Article 33, un responsable debe notificar a la autoridad supervisora dentro de las 72 horas posteriores a conocer una violación, cuando sea posible, para que esas decisiones no esperen hasta después del incidente.

• Reconozca y reporte el phishing antes de compartir información personal.
• Instale las actualizaciones de software puntualmente.

Cómo Netwrix ayuda a proteger la PII

Encuentre PII en servidores de archivos, SharePoint y bases de datos

Los productos Netwrix realizan cuatro tareas con los datos personales identificables (PII): localizarlos, mapearlos según las regulaciones, revisar quién puede acceder a ellos y detenerlos en el endpoint.

Mapee PII clasificada a GDPR, HIPAA y PCI DSS

Netwrix Access Analyzer escanea servidores de archivos, SharePoint, bases de datos y Amazon S3 en busca de PII, PHI y datos de tarjetas de pago, utilizando reglas basadas en patrones y contexto, además de reglas personalizadas para datos específicos de la organización.

Revise quién puede abrir PII y quién es el propietario

La detección de PII basada en reglas coincide con patrones predefinidos en datos estructurados y no estructurados, y Access Analyzer añade contexto a esos patrones. Los equipos pueden ajustar las reglas de clasificación de diferentes maneras para identificar datos sensibles con mayor precisión.

En Forreston State Bank, Auditor mantiene al banco continuamente conforme con los requisitos del Federal Financial Institutions Examination Council (FFIEC) y GLBA, y ahorra 8 horas por semana en la preparación de auditorías.

Bloquee la salida de PII a través de USB y cargas web

Access Analyzer asigna PII clasificada a GDPR, HIPAA, PCI DSS y otros marcos.Netwrix Auditor audita la actividad e incluye asignaciones de cumplimiento predefinidas para GDPR, HIPAA, PCI DSS, SOX y la Cybersecurity Maturity Model Certification (CMMC).

Comience con la PII que causaría más daño

Access Analyzer analiza permisos, identifica datos sobreexpuestos, determina propietarios de datos y soporta flujos de trabajo de revisión de derechos de acceso. Su Effective Access Report calcula el acceso efectivo a partir de la membresía en grupos, incluidos los grupos anidados, y señala cuentas de fiduciarios obsoletas.

Netwrix Endpoint Protector aplica políticas de prevención de pérdida de datos conscientes del contenido en el endpoint. Controla dispositivos de almacenamiento USB, supervisa las transferencias del navegador y bloquea la subida de datos sensibles a almacenamiento en la nube y herramientas de IA como ChatGPT y Microsoft Copilot.

La guía de NIST establece un orden claro de trabajo. Identifique todos los PII en el entorno, evalúe cada repositorio según el daño que podría causar su exposición y aplique las medidas de protección más estrictas donde la calificación sea más alta. Dado que las fallas de acceso causan la mayoría de las exposiciones, restrinja primero quién puede acceder a esos repositorios.

Los equipos que tratan cada nueva combinación como un evento de reclasificación mantienen sus controles alineados con los datos que poseen.

Las calificaciones cambian con el tiempo porque NIST pide a las organizaciones que evalúen la sensibilidad de los campos PII en combinación. Un conjunto de datos que parecía de bajo impacto por sí solo necesita una nueva calificación en el momento en que se une con otro, como cuando un código postal se combina con una fecha de nacimiento.

Solicite una demostración para ver cómo Netwrix Access Analyzer encuentra PII en recursos compartidos, SharePoint y bases de datos y muestra quién puede acceder a ella.