Informations personnellement identifiables : définition et exemples

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number,r and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

What Is Considered Personally Identifiable Information?

Information qualifies as PII when it meets either of the following conditions:

• Unique identification of an individual — The information can directly pinpoint an individual, as would be true for a Social Security number or email address.
• Linkability — The information, when combined with other accessible data, can reasonably identify an individual, such as combining zip code, birth date, and gender.

Context is critical when assessing whether information is PII:

• Data aggregation — Information that is not PII in isolation may become PII when combined with other datasets. For example, an IP address alone may not be PII, but when associated with a user account, it becomes PII.
• Purpose and access — Who has access to the data and how they intend to use it plays a role. For example, the location data of a person in a sensitive profession (such as law enforcement) may be considered PII.
• De-identification and re-identification risk — Even de-identified data can sometimes be re-identified using additional data sources, thus potentially regaining its status as PII.

Types of Personally Identifiable Information

PII can be broadly classified into two main categories based on the degree of identifiability: direct identifiers and indirect (or quasi-) identifiers.

Direct Identifiers

These are pieces of information that can directly and uniquely identify an individual without the need for additional data. Direct identifiers include:

• Full legal name, such as John A. Smith
• Social Security number (SSN)
• Passport number
• Driver’s license or state ID number
• Personal phone number
• Personal email address
• Biometric data (e.g., fingerprints, retina scans, facial recognition data)
• Credit card or bank account numbers
• Full-face photographs

Indirect (Quasi-) Identifiers

These pieces of information do not directly identify a person but can do so when combined with other data. Here are some common types of indirect identifiers with examples:

• Demographic info: Date of birth, gender, ethnicity, age or marital status
• Geographic info: Postal address, zip code, city of birth or travel history
• Educational history: School name or degree attained
• Employment data: Job title, company, office location
• Device information: IP address, MAC address, device ID (depending on context and jurisdiction)
• Behavioral info: Purchase history, browsing habits

Emerging Types of PII

With advances in technology, newer types of information are increasingly considered PII:

• Digital identifiers: Advertising IDs, MAC address
• Behavioral data: Browsing history, search queries
• Genetic information: DNA profiles

Sensitive vs. Non-Sensitive PII

PII can be sensitive or non-sensitive.

Sensitive PII

Sensitive PII is information that, if disclosed or compromised, could cause significant harm, embarrassment, financial loss or legal liability to an individual. Examples include:

• Social Security numbers
• Passport and driver’s license numbers
• Bank account and credit card details
• Medical records (also considered PHI), such as a diagnosis of diabetes in a healthcare system
• Legal records (criminal history, immigration status)
• Biometric data (fingerprints, retina scans)
• Full-face photographs (in certain contexts)
• Location data (GPS coordinates, real-time tracking)

Non-Sensitive PII

Non-sensitive PII is information that is generally publicly available or unlikely to cause serious harm if disclosed. Examples are:

• Full name (without other identifiers)
• Business contact information (work phone, company email)
• Job title or company affiliation
• General demographic data (race, gender when not combined with other identifiers)

Non-sensitive PII has a low standalone risk but can contribute to risk when combined with other data sets (data aggregation).

How Organizations Treat Sensitive PII and Non-Sensitive PII Differently

Examples of Personally Identifiable Information

Common examples used in identity verification

Industry-specific instances (e.g., healthcare, finance)

Myths about what is or isn’t PII

What Is Not PII?

Not all data is considered PII. Non-PII refers to information that cannot be used on its own to identify a specific individual. However, in some cases, non-PII can become PII when combined with other data points.

Personal Data vs. PII

• PII is data that can uniquely identify an individual. This term is used mainly in US legal and cybersecurity contexts (e.g., NIST, HIPAA).
• Personal data is broader than PII. Under laws like GDPR, it includes any information related to an identifiable person, even indirectly (for example, device ID, IP address).

Examples of Non-PII

The following are typically not PII — unless they are linked to other identifying data:

• Browser type or device model
• Zip code (if not specific enough to identify a household)
• Age range
• Gender
• Anonymous survey responses
• Anonymized data
• Aggregated analytics data
• Randomly generated user IDs that are not traceable back to a person

When Non-PII Becomes PII

Non-PII can turn into PII when:

• It is linked with other data. For example, zip code + birth date + gender can often uniquely identify an individual.
• Re-identification is possible. If anonymized data can be de-anonymized using external information (like social media or public records), it is no longer non-PII.
• Data correlation occurs. Behavioral data (like clickstreams) may seem anonymous but can be analyzed to identify specific users.

How PII Is Collected and Stored

Organizations must manage PII responsibly to protect individuals and comply with regulations like GDPR, CCPA and HIPAA.

PII Collection Methods

Where PII Is Stored

Most modern organizations store PII in cloud environments, such as AWS, Microsoft Entra, Google Cloud (public, private, or hybrid). PII is also often stored in SaaS platforms (CRMs, HRIS, ERPs).

However, some enterprises still use local servers and databases for sensitive workloads, as well as hybrid systems that combine local and cloud storage.

Regardless of location, PII must be encrypted (at rest and in transit), backed up securely, and audited regularly.

Consent and Transparency in PII Collection

User Consent

Laws like GDPR and CCPA require explicit, informed consent before collecting personal data. This means:

• Users must opt-in (not pre-checked boxes).
• Consent must be freely given, specific, informed and unambiguous.
• Consent withdrawal must be just as easy.

Transparency Requirements

Organizations must provide:

• Clear privacy policies on what data is collected, how it is used, how long it will be retained and any third-party sharing
• Notices at point of collection, such as cookie banners or inline disclaimers
• Easy ways for users to view, correct and delete their data

How PII Gets Compromised

PII is a prime target for cybercriminals because it can be used for financial fraud, identity theft and corporate espionage. Understanding the common ways PII is compromised helps organizations and individuals better protect it.

Common Threat Vectors

Attackers often gain access to PII using:

• Phishing — Fake emails or websites trick users into revealing login credentials or personal details. They are often disguised as legitimate communication from banks, employers, or service providers.
• Malware — Malicious software (e.g., keyloggers, spyware, ransomware) installed on a device can capture keystrokes, exfiltrate stored credentials or files, and open backdoors for future access.
• Social engineering —Attackers manipulate people by impersonating IT staff, using information from social media to gain trust, and convincing employees to grant system access or bypass protocols.
• Weak security practices — Adversaries can also gain access to PII by exploiting to poor password hygiene, unpatched or outdated software, insecure APIs or third-party services and misconfigured cloud storage (for example, open S3 buckets).

Data Breaches & Real-World Incidents

Data breaches occur when unauthorized individuals gain access to PII. The consequences can be severe for both the organization that was breached and the individuals who data was compromised.

Here are a few high-profile incidents:

• Equifax (2017) — This attack affected 147 million people, exposing their Social Security numbers, birth dates and more.
• Facebook (2019) — 540 million user records were exposed through third-party apps stored in unsecured cloud databases.
• Marriott (2018–2020) — Hackers stole data from 500 million guests, including passport numbers and booking details.

How Attackers Exploit Stolen PII

Stolen PII has immense black-market value and can be exploited in multiple ways. Even a small amount of PII (such as name, date of birth or Social Security number) is often enough to commit these acts.

Identity Theft & Fraud

Stolen PII enables attackers to impersonate victims and perform fraudulent actions such as:

• Opening credit cards or bank accounts
• Taking out loans
• Making unauthorized purchases
• Filing false tax returns to collect refunds

Credential Stuffing & Account Takeover

If the stolen PII includes usernames and passwords, attackers can run automated scripts to test these credentials across multiple platforms (banks, email, e-commerce). Due to password reuse, this often results in full account takeovers, granting access to sensitive data and stored funds.

Spear Phishing and Social Engineering

Having detailed PII about an individual enables attackers to target them more effectively in the future. With accurate details about things like the person’s employer or recent purchases), they can pretend to be a trusted contact or service provider and trick the victim into revealing more information or making financial transactions.

Medical and Insurance Fraud

Stolen health records or insurance information can be used to:

• File false medical claims
• Receive unauthorized treatments or prescriptions
• Steal someone’s medical identity, which can lead to dangerous errors in patient care

Blackmail or Extortion

Highly sensitive PII (such as private messages or health history) may be used to threaten public exposure unless a ransom is paid, as well as to target individuals in reputation-damaging campaigns.

Dark Web Sales and Data Resale

Sometimes, attackers sell the PII instead of using it themselves. “Fullz” packages (full identity profiles) can be sold for high prices, and health records, passports and credit card data fetch premium value on dark web marketplaces.

Long-Term Impact

Unlike a stolen credit card, PII cannot always be easily replaced. Victims may face:

• Years of monitoring and legal disputes
• Repeated targeting due to data circulation among criminals
• Difficulty securing credit or jobs due to compromised records

Regulations Governing Personally Identifiable Information

Let’s have a quick look at the regulations governing PII, covering US laws, international frameworks, and differences in global definitions and protections.

US Laws

International Frameworks

Differences in PII Definitions and Protections by Country or Region

Protecting Personally Identifiable Information

Protecting PII is crucial in today’s digital age due to increasing threats from data breaches, identity theft and cyberattacks.

Best Practices for Individuals

Corporate Data Handling Protocols

Reducing the Attack Surface

Consequences of Mishandling PII

Mishandling PII can lead to serious consequences for both organizations and individuals.

Consequences for Organizations that Mishandle PII

Fines and Regulatory Sanctions

Organizations that fail to comply with data protection laws may face substantial fines. Here are some examples:

• GDPR (EU) — Fines up to €20 million or 4% of global annual turnover (whichever is higher). Examples include British Airways (£20M fine) and Marriott International (£18.4M fine).
• CCPA (California) — Civil penalties of up to $2,500 per unintentional violation and $7,500 per intentional violation. Private right of action allows consumers to sue for data breaches.
• HIPAA (US healthcare sector) — Fines range from $100 to $50,000 per violation, up to $1.5 million annually per violation type.

Class Action Lawsuits and Settlements

Victims of data breaches often initiate class actions, where settlements can cost millions in payouts, legal fees and operational changes.

Remediation Costs

Post-breach expenses include incident response, forensics, public relations, customer notification and credit monitoring. According to the IBM Cost of a Data Breach Report 2024, the average cost of a breach is $4.45 million.

Reputation Damage and Loss of Customer Trust

• Brand erosion — News of a breach spreads quickly, damaging the company’s public image. In such a situation, loss of goodwill can take years to rebuild or simply be irreversible.
• Customer attrition — Customers may switch to competitors perceived as more secure. Businesses in industries like finance, healthcare, or e-commerce are especially vulnerable to churn.
• Loss of competitive advantage — Breached organizations may lose trade secrets, proprietary information or face disrupted operations.
• Decline in market value — Publicly traded companies often experience stock price drops following breach announcements. Shareholder lawsuits may follow, especially if negligence is involved.

Consequences for Individuals Whose PII Is Mishandled

• Identity theft — Criminals can use stolen PII to open bank accounts, take out loans or file fraudulent tax returns.
• Financial fraud — Stolen credit card and banking details can result in unauthorized transactions, loss of funds and damaged credit scores.
• Emotional and psychological distress — Victims may suffer from anxiety, stress and fear of further victimization. Moreover, rebuilding identity can be a lengthy, frustrating and intrusive process.
• Targeted scams and phishing — Leaked information can be used in highly personalized scams that are difficult to detect.
• Employment or social impact — Exposure of sensitive personal details can lead to professional embarrassment or social stigmatization.

Case Studies: Major PII Breaches

Equifax Breach (2017)

Equifax, one of the largest credit reporting agencies in the US, suffered a major cybersecurity incident that exposed the sensitive personal information of some 147.9 million people in the US — nearly half of the country’s population. It also affected people in Canada and the United Kingdom. The incident stands out as one of the largest breaches of sensitive data in history.

The breach occurred between May 13 and July 30, 2017. It went undetected for 76 days, allowing attackers to exfiltrate massive amounts of data. Equifax publicly disclosed it on September 7, 2017. The attackers exploited a vulnerability (CVE-2017-5638) in Apache Struts, an open-source web application framework. This vulnerability had been publicly disclosed and patched in March 2017, but Equifax did not apply the patch in time. Later reports indicated that some systems lacked proper encryption and security protocols.

Compromised data included names, Social Security numbers, birth dates, addresses, credit card information (for around 209,000 people), and dispute documents containing personal information (for 182,000 individuals). Overall, the breach posed a significant risk of identity theft and fraud.

Reputational damage aside, Equifax incurred $1.4 billion in costs related to the breach, including legal settlements, customer support and security improvements. The settlement also included free credit monitoring and identity theft protection for affected individuals. Equifax had to invest in overhauling its cybersecurity infrastructure, implementing stronger encryption, multifactor authentication and real-time threat monitoring. On the legal front, Equifax faced several lawsuits and investigations from regulators and private entities.

Facebook-Cambridge Analytica Scandal

The Facebook–Cambridge Analytica scandal came to light in early 2018, when it was revealed that the personal data of millions of Facebook users had been harvested without consent and used for political advertising purposes. The core of the issue revolved around a third-party app that collected data through a seemingly innocuous personality quiz. While only about 270,000 users directly interacted with the app, Facebook’s API at the time allowed the app to access not just their data but also the data of their friends — ultimately compromising the information of over 87 million users. This data was then passed on to Cambridge Analytica, a political consulting firm that used the profiles to build psychographic models and target users with highly personalized political messages, particularly during the 2016 US presidential election and the Brexit campaign.

Facebook faced intense scrutiny from governments and regulators worldwide, leading to CEO Mark Zuckerberg testifying before the US Congress and the European Parliament. The company’s stock value dropped significantly and its reputation suffered substantial damage. Regulatory consequences followed, including a $5 billion fine from the US Federal Trade Commission (FTC) in 2019 — the largest ever imposed for a privacy violation at that time.

Lessons Learned from High-Profile Incidents

Here are the key lessons learned from high-profile data privacy incidents such as the Equifax breach and the Facebook–Cambridge Analytica scandal:

• Prioritize data security and patch management. Organizations must maintain an up-to-date vulnerability management program and automate patch deployment wherever possible.
• Transparent and timely communication is crucial. Having a well-prepared incident response and communication plan helps maintain trust and ensures regulatory compliance during crises.
• Know what data you have — and why. Adopt data minimization and retention principles. Collect only what’s necessary, and clearly define the purpose and legal basis for doing so.
• Strengthen access controls and internal oversight. Implement role-based access controls (RBAC), enforce the principle of least privilege and monitor data access in real time.
• User consent must be informed and granular. Ensure clear, specific opt-in consent for data collection and sharing. Avoid using obscure terms buried in privacy policies.
• Regulatory compliance isn’t optional. Violations of GDPR, CCPA and other data protection laws can lead to massive fines and lawsuits. Treat privacy compliance as a core business function, not a checkbox exercise. Engage privacy officers, legal counsel and IT in data strategy development.
• Regularly test and audit systems. Many organizations discover weaknesses only after an incident occurs. It is a best practice to conduct routine security audits, penetration tests and risk assessments to identify vulnerabilities before attackers do.
• Trust is fragile and must be earned continuously. Once lost, trust — whether from customers, partners or regulators — is extremely hard to regain. Demonstrate privacy by design, transparency and ethical data use to build long-term credibility.
• Invest in privacy education and culture. Human error remains a significant factor in data mishandling. Take steps to foster a privacy-first culture through regular training, awareness programs and leadership engagement.

PII in the Workplace and Vendor Agreements

Here’s a detailed guide on managing PII in the workplace and in vendor agreements, with emphasis on identifying PII during third-party negotiations, employee responsibilities and vendor risk management.

Identifying PII During Third-Party Negotiations

Vendor Risk Assessment and Compliance Protocols

PII vs. PHI: What’s the Difference?

PII and protected health information (PHI) are both foundational concepts in data privacy and security. The following will help you distinguish between the two.

Personally Identifiable Information

PII is any information that can be used to identify, contact or locate a specific individual, either directly or indirectly, such as full name, Social Security number, email address, phone number, passport number or driver’s license number. PII applies broadly across sectors, such as finance, education and retail.

Protected Health Information

PHI is a subset of PII that specifically relates to an individual’s health status, medical care or payment for health services. PHI is defined and regulated under HIPAA in the United States. Examples of PHI include:

• Medical records
• Lab results
• Insurance information
• Doctor’s notes
• Appointment schedules

PII and PHI Overlap

PHI is a subset of PII, but not all PII is PHI. For example a name is PII, but a name combined with a medical diagnosis or insurance number becomes PHI.

Legal Distinctions

Use Cases Where Both Types Apply

• A telemedicine app that stores user names and email addresses (PII) as well as appointment records and prescriptions (PHI)
• A health insurance portal that collects login credentials and contact info (PII) as well as claim history and treatment details (PHI)
• An employee wellness program that gathers demographic data for incentive tracking (PII) along with health risk assessments and lab results (PHI)
• Research studies and clinical trials that use consent forms and contact info (PII) as well as health data from patient interviews and testing (PHI)

Future of PII: Trends and Emerging Challenges

Here are some trends and challenges regarding PII to watch for.

Impact of AI and Big Data

AI and big data analytics are transforming PII management but also amplifying risks. Key concerns include:

• Exploding data volumes — AI systems feed on massive datasets, often containing sensitive personal data. Even anonymized data can be re-identified with enough auxiliary information.
• Profiling & inferences — AI can infer sensitive information (for example, political views, health status) from seemingly innocuous data, creating new categories of “derived PII.”
• Automated decision-making — AI models influence important decisions in areas like employment, lending and healthcare. Concerns include fairness and explainability.
• Data minimization challenges — AI thrives on large datasets, which contradicts the principle of collecting only necessary data.

Core challenges will be balancing innovation with privacy, and ensuring proper oversight in AI-driven decisions involving PII

Rise of Biometric Identifiers

Biometric data — facial recognition, iris scans, fingerprints, voice prints, DNA — is increasingly used for authentication, surveillance and personalization. For example, this data is being used in smartphone security, airport clearance, workplace access and healthcare.

Risks include:

• Irrevocability — Unlike passwords, you can’t change your face or fingerprints if they are compromised.
• Mass surveillance — Government and corporate use of facial recognition has triggered civil liberties concerns.
• Data breaches — Biometric databases are prime targets due to the high value and permanence of the data.

A key challenge will be creating legal and technical safeguards for the ethical use and storage of biometrics.

Calls for Unified Global Privacy Frameworks

Many countries (as well as individual US states) are developing their own privacy laws, which increases complexity:

• Inconsistent laws hinder international data transfers and global business.
• Multinational companies face costly, redundant compliance efforts.

Efforts are underway to draft frameworks that address these concerns. They include:

• OECD and ISO efforts toward standardization
• Proposed UN conventions on digital privacy
• Discussions around a “Global Privacy Accord” or international data protection treaty

The challenge will be aligning privacy rights and enforcement mechanisms globally while respecting national sovereignty and cultural differences.

Looking Ahead

Key Emerging Trends

• Privacy by design — Integrating privacy into product development from the ground up
• Zero-Trust architectures —Moving beyond perimeter security to identity-centric models
• Synthetic data — Using AI-generated datasets to train models without using real PII
• Decentralized identity (DID) — Empowering users with control over their identity using blockchain or similar tech

Key Challenges

• Maintaining trust in a hyper-connected world
• Balancing innovation with individual rights
• Preventing surveillance capitalism and digital authoritarianism

About Netwrix Data Classification

Identifying and safeguarding PII is essential to avoid costly breaches and ensure compliance with strict data security regulations like GDPR and HIPAA. However, PII is often dispersed across various data environments, making manual identification both difficult and error-prone.

Netwrix Data Classification empowers organizations to accurately identify, categorize and secure sensitive data, including PII. This process helps them reduce data-related risks, ensure compliance and improve operational efficiency. Key capabilities related to PII include:

• Automated discovery — Uses predefined and customizable rules to detect various types of PII across on-premises file shares, SharePoint, cloud storage and more.
• Data categorization —Tags files based on sensitivity and content type (for example, financial data, health data), which helps prioritize protection efforts based on risk.
• Regulatory mapping —Supports compliance with regulations like GDPR, CCPA and HIPAA by mapping PII to legal requirements and streamlining audits and reporting.
• Risk mitigation — Identifies overexposed or mismanaged PII (for example, data stored in public folders or shared widely), and supports remediation by integrating with Netwrix Auditor and other DLP/IRM solutions.
• Process of data subject access requests (DSARs) — Accelerates DSAR handling by quickly locating all PII associated with an individual across repositories.

FAQ

What is the best definition of personally identifiable information (PII)?

PII is data that can reveal an individual’s identity. The following definition is widely accepted by privacy frameworks such as the US National Institute of Standards and Technology (NIST) and international regulations like GDPR and CCPA, though the specific terminology may vary slightly:

Any information that can be used to identify, contact, or locate a single individual, either directly or indirectly.

What are some examples of PII?

Some common examples of PII are:

• Full Name: Jane Smith, Ahmed Khan
• Government IDs: Social Security Number (SSN), passport number, driver’s license scan
• Contact details: Email address, phone number, mailing address
• Biometric data: Fingerprints, facial recognition, retina scans
• Financial info: Credit card number, bank account details
• Digital identifiers: National ID, taxpayer ID number, student ID

What are the two types of PII?

• Direct identifiers can uniquely identify an individual on their own. Examples include full name, passport number, phone number and credit card number.
• Indirect identifiers do not identify an individual when used alone but can when combined with other data. Examples of indirect identifiers include demographic info, employment data and device info.

See the Types of Personally Identifiable Information section for details.

What laws protect PII?

Regulations that protect PII vary by country and industry, but they all share the goal of ensuring that individuals have control over their personal data, and that organizations handle PII responsibly. Here are some of the most well-known laws.

See the Regulations Governing Personally Identifiable Information section for details.

Can non-sensitive data become PII?

Yes, non-sensitive data can become PII when it is combined with other data in a way that allows an individual to be identified, located or contacted. For example, a zip code alone is not PII, but combining it with date of birth and gender could uniquely identify a person.

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number, and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

Qu'est-ce que les informations personnelles identifiables ?

Savoir ce qui compte comme PII est la première étape pour contrôler cet accès, et la réponse dépend du contexte, car un code postal et une date de naissance peuvent sembler inoffensifs séparément, mais ensemble ils désignent une personne.

PII, abréviation de informations personnelles identifiables, désigne toute information pouvant distinguer ou retracer l'identité d'une personne spécifique, seule ou combinée à d'autres informations liées ou liées à cette personne.

Les lois sur la confidentialité des données définissent les limites à différents endroits, de sorte qu’un ensemble de données peut relever d’un régime et être exempté sous un autre.

La plupart des expositions d’informations personnelles identifiables (PII) commencent par un accès, car 75 % des expositions de données sensibles débutent par des identités compromises ou des autorisations mal configurées, selon le Netwrix 2026 Data and Identity Security Report.

Informations liées et liées

Un seul système contient souvent les trois. Par exemple, une application de télémédecine stocke les noms et emails (PII) à côté des dossiers de rendez-vous et des prescriptions (PHI), et les données de tout utilisateur de l’UE y sont également des données personnelles selon le RGPD.

Un nom, un numéro de Social Security ou un enregistrement biométrique peuvent identifier une personne seuls, tandis qu'une date de naissance ou un code postal n'identifient une personne que lorsqu'ils sont combinés avec d'autres données. Comme l'identifiabilité dépend du jeu de données environnant, le même champ peut être PII dans un contexte et inoffensif dans un autre.

Le Bureau de gestion et du budget des États-Unis a utilisé cette définition dans un mémorandum de 2007, et le National Institute of Standards and Technology (NIST) la poursuit dans SP 800-122, son guide pour protéger la PII.

SP 800-122 définit les PII en deux parties : la première couvre les informations permettant de distinguer ou de retracer une identité, telles qu’un nom, un numéro de sécurité sociale ou un enregistrement biométrique. La seconde couvre toute autre information liée ou pouvant être liée à un individu, comme les informations médicales, éducatives, financières et professionnelles.

Données non PII et quand elles deviennent PII

Le guide relie également l’étiquette à la facilité avec laquelle les données identifient une personne. Les noms, empreintes digitales et numéros de sécurité sociale identifient les individus de manière unique et directe, tandis que les codes postaux et dates de naissance peuvent identifier indirectement ou aider à réduire de grands ensembles de données.

Les informations cessent d’être des PII lorsqu’elles ne peuvent plus distinguer ou retracer un individu, seules ou combinées avec d’autres informations. Le NIST définit les informations anonymisées comme des informations auparavant identifiables qui ont été dé-identifiées et pour lesquelles aucun code ou autre association permettant la ré-identification ne subsiste.

Le contexte change les enjeux, comme le montre l'exemple de NIST lorsqu'il compare deux listes avec les mêmes champs, tels que nom, adresse et numéro de téléphone. L'une liste les abonnés à la newsletter et l'autre les personnes travaillant sous couverture dans les forces de l'ordre, donc une violation de chacune a des conséquences très différentes pour les individus et l'organisation.

L’anonymisation a ses limites, car le NIST note que les informations dé-identifiées peuvent être ré-identifiées. La combinaison de jeux de données peut aussi l’annuler, car un code postal et une date de naissance qui semblent anodins dans des systèmes séparés peuvent identifier une personne une fois associés.

PII, données personnelles et PHI comparées

En 1980, l'Organization for Economic Co-operation and Development a adopté des lignes directrices sur la protection de la vie privée et les flux transfrontaliers de personal data, en utilisant le terme plus large personal data.

Le terme informations personnelles identifiables apparaît dans les directives fédérales dès 2007, dans le mémorandum cité ci-dessus, et dans le NIST SP 800-122, publié en avril 2010.

Exemples et types de PII

PHI est une information de santé identifiable individuellement concernant l'état de santé, les soins ou le paiement des soins d'une personne, détenue par une entité couverte ou son associé commercial, et régulée par HIPAA. Un nom seul est PII, mais un nom combiné à un diagnostic ou un numéro d'assurance est PHI lorsqu'il est détenu par une entité couverte ou un associé commercial.

Selon le RGPD, les données personnelles couvrent toute information relative à une personne identifiée ou identifiable, et l'article 4(1) énumère les identifiants en ligne parmi ceux qui peuvent rendre une personne identifiable. Un ensemble de données qui passe un test strict de PII aux États-Unis peut donc toujours être des données personnelles réglementées dans l'UE.

PII est le terme américain, et son histoire explique pourquoi les trois définitions diffèrent. Le rapport de 1973 du Département américain de la Santé, de l'Éducation et du Bien-être, Records, Computers, and the Rights of Citizens, proposait un code de bonnes pratiques en matière d'information, et le Congrès l'a utilisé pour rédiger le Privacy Act of 1974.

Cinq exemples courants de PII sont un nom complet, un numéro de sécurité sociale, un numéro de passeport, un numéro de permis de conduire et des données biométriques telles que les empreintes digitales, tous présents dans les exemples de NIST.

Chaque champ du tableau est classé selon la manière dont il identifie une personne et l'ampleur des dommages que son exposition peut causer, les évaluations variant selon l'organisation et la juridiction.

Identifiants directs et indirects

Un numéro de sécurité sociale est considéré comme PII même sans nom car NIST indique qu’il identifie les individus de manière unique et directe, ce qui le rend plus sensible qu’un numéro de téléphone ou un code postal.

Un prénom et un nom comptent selon la définition du NIST car ils distinguent un individu, bien que l'exemple de la liste de réponse aux incidents du NIST montre à quel point les noms et coordonnées professionnelles disponibles publiquement présentent peu de risques supplémentaires. Une date de naissance seule n'identifie pas une personne, mais combinée avec un code postal, elle peut.

Les identifiants directs désignent une personne sans données complémentaires. Le NIST cite les noms, empreintes digitales et numéros de sécurité sociale comme exemples d’informations qui identifient de manière unique et directe les individus.

PII sensibles et non sensibles

Les identifiants indirects renvoient à une personne uniquement lorsqu'ils sont combinés avec d'autres données. Le NIST cite les codes postaux et les dates de naissance comme exemples, car ils peuvent identifier indirectement des individus ou aider à réduire de grands ensembles de données. Chaque champ supplémentaire réduit davantage la population, donc un programme de classification doit évaluer quels champs identifient ensemble.

Les PII sensibles sont des PII dont l’exposition pourrait causer des dommages graves à la vie privée, financiers ou juridiques. Le guide du NIST formalise cette idée avec des niveaux d’impact sur la confidentialité faibles, modérés ou élevés, indiquant le potentiel de préjudice aux individus et à l’organisation si les PII sont consultées, utilisées ou divulguées de manière inappropriée.

Il est noté qu'un numéro de sécurité sociale, un historique médical ou des informations de compte financier sont généralement plus sensibles qu'un numéro de téléphone ou un code postal.

Lois et règlements qui régissent la PII

NIST recommande une approche basée sur les risques, donc les PII à fort impact nécessitent des mesures de protection renforcées. Les recommandations incluent l’application des accès, le chiffrement des informations stockées et la surveillance des événements affectant la confidentialité des PII.

Netwrix Access Analyzer résout les groupes AD imbriqués et l’héritage SharePoint pour révéler les données sensibles surexposées. Demandez une démo.

Les PII à faible impact, tels que les noms et les coordonnées professionnelles dans l'exemple de la liste NIST, nécessitent toujours une protection contre la combinaison avec d'autres champs, car les champs combinés peuvent rendre des données sensibles identifiables.

Les données des cartes de paiement relèvent également du Payment Card Industry Data Security Standard (PCI DSS), qui s'applique aux entités qui stockent, traitent ou transmettent des données de titulaires de carte.

Loi sur la confidentialité de 1974

Aucune loi unique ne définit le PII pour tous les usages. La réglementation américaine est sectorielle, avec des lois distinctes pour les agences fédérales, la santé, la finance, l’éducation et les consommateurs selon la loi des États, tandis que l’UE et l’Australie appliquent des cadres nationaux aux informations personnelles.

La Privacy Act donne aux individus le droit d’accéder aux dossiers les concernant et de faire corriger les dossiers inexacts, et elle exige que les agences fédérales ne collectent des dossiers qu’à des fins légales et autorisées et qu’elles les protègent. Elle concerne uniquement les agences fédérales.

California Consumer Privacy Act et California Privacy Rights Act

HIPAA

La CPRA a modifié la loi, ajouté des droits aux consommateurs et des obligations aux entreprises, et est entrée en vigueur le 1er janvier 2023.

La CCPA donne aux consommateurs californiens le droit de savoir quelles informations personnelles les entreprises collectent à leur sujet, de les supprimer, de corriger les informations inexactes et de refuser leur vente ou partage.

Cela s'applique aux entreprises à but lucratif qui exercent leurs activités en Californie et qui atteignent au moins un seuil basé sur le chiffre d'affaires, le nombre de consommateurs californiens dont elles traitent les données, ou les revenus provenant de la vente ou du partage d'informations personnelles.

Loi Gramm-Leach-Bliley

HIPAA s'applique aux entités couvertes, c'est-à-dire les régimes de santé, les centres de compensation de soins de santé et les prestataires de soins de santé qui transmettent des informations de santé électroniquement dans des transactions standard, ainsi qu'à leurs associés commerciaux.

Selon le 45 CFR 164.306, ils doivent garantir la confidentialité, l'intégrité et la disponibilité des informations de santé électroniques protégées qu'ils créent, reçoivent, conservent ou transmettent. Selon le 45 CFR 164.404, une entité couverte doit informer les personnes concernées d'une violation de PHI non sécurisée sans délai déraisonnable et au plus tard 60 jours calendaires après la découverte.

La GLBA couvre les entreprises qui offrent aux consommateurs des produits ou services financiers, tels que des prêts, des conseils financiers ou en investissement, ou des assurances. Sa règle de confidentialité exige qu'elles informent les clients de leurs pratiques de partage d'informations et du droit de refuser le partage avec certains tiers. La règle de protection exige un programme de sécurité de l'information pour protéger les informations des clients.

Loi sur les droits éducatifs et la confidentialité familiale

Règlement Général sur la Protection des Données

Loi australienne sur la protection de la vie privée de 1988

FERPA s'applique aux agences et établissements éducatifs qui reçoivent des fonds dans le cadre d'un programme du Département de l'Éducation des États-Unis. Il protège les dossiers éducatifs directement liés à un étudiant et maintenus par l'établissement ou une partie agissant pour lui.

Selon l'Office du Commissaire à l'information australien, la Privacy Act 1988 régule la manière dont les agences gouvernementales australiennes, les organisations avec un chiffre d'affaires annuel supérieur à 3 millions AUD, et certaines autres organisations traitent les informations personnelles.

Comment les informations personnelles identifiables sont exposées

Ses 13 Principes de Confidentialité Australiens couvrent la collecte, l'utilisation et la divulgation des informations personnelles ; l'intégrité et la correction de ces informations ; ainsi que les droits des individus à y accéder.

Les incidents documentés suivent trois voies récurrentes : messages trompeurs, systèmes non corrigés et accès tiers.

GDPR a un champ territorial, défini à l'article 3, qui couvre le traitement des données personnelles des personnes dans l'UE. Il donne aux individus des droits d'accès, de rectification, d'effacement et de portabilité des données, et l'article 37 couvre la nomination des délégués à la protection des données.

Phishing

Les signes d’alerte incluent un langage urgent ou émotionnel, des demandes d’informations personnelles et financières, des URL raccourcies non fiables, ainsi que des adresses e-mail ou liens incorrects.

Le phishing se produit lorsque des criminels tentent de faire ouvrir aux gens des liens, emails ou pièces jointes malveillants. L’appât peut arriver par email, SMS, message direct ou appel téléphonique, et il est conçu pour sembler provenir d’une personne ou organisation de confiance.

Logiciel non corrigé

Accès tiers

La faille Equifax de 2017 montre le coût d’un patch manqué. Le projet Apache Struts a annoncé la vulnérabilité Common Vulnerabilities and Exposures (CVE) CVE-2017-5638 et publié un patch le 7 mars 2017, et le Département de la Sécurité intérieure a alerté Equifax le lendemain, pourtant Equifax n’a pas entièrement patché ses systèmes.

Selon le rapport du House Oversight Committee, les attaquants sont restés dans le réseau pendant 76 jours et ont accédé aux informations personnelles d'environ 148 millions de personnes, y compris les noms, numéros de sécurité sociale, dates de naissance, adresses et numéros de permis de conduire.

Equifax a ensuite accepté de payer au moins 575 millions de dollars, et potentiellement jusqu'à 700 millions de dollars, dans un règlement avec les régulateurs fédéraux et étatiques.

L'affaire Facebook et Cambridge Analytica montre comment l'accès tiers expose les PII. La Federal Trade Commission (FTC) a allégué qu'une application Facebook créée par le développeur Aleksandr Kogan posait aux utilisateurs des questions sur leur personnalité et d'autres sujets, tout en collectant des informations sur leurs amis Facebook.

Que se passe-t-il lorsque les informations personnelles sont mal gérées

Amendes et sanctions réglementaires

Il a été en outre allégué que Cambridge Analytica avait associé les scores de personnalité obtenus aux registres électoraux américains pour le profilage et la publicité ciblée.

Les conséquences incombent à l'organisation qui détenait les données et aux personnes qu'elle identifie.

Coûts de remédiation et d'exploitation

Les sanctions civiles HIPAA commencent à 145 $ par violation et augmentent avec la culpabilité, avec un minimum de 73 011 $ pour négligence volontaire non corrigée, selon l'ajustement de l'inflation de janvier 2026.

En vertu de l'Article 83 du RGPD, les amendes peuvent atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total, selon le montant le plus élevé. Le CCPA autorise des amendes administratives allant jusqu'à 2 663 $ par violation et 7 988 $ par violation intentionnelle, comme indiqué dans l'ajustement de 2025.

Facebook a déclaré avoir peut-être partagé de manière inappropriée des informations sur jusqu'à 87 millions de personnes avec Cambridge Analytica. En 2019, la FTC a infligé une amende de 5 milliards de dollars à Facebook, la plus importante jamais infligée à une entreprise pour violation de la vie privée des consommateurs.

Les règlements peuvent atteindre des centaines de millions de dollars, comme ce fut le cas pour Equifax. En vertu de la CCPA, les consommateurs peuvent poursuivre en justice pour certaines violations de données et obtenir des dommages-intérêts statutaires de 107 à 799 $ par consommateur et par incident, ou des dommages réels s’ils sont plus élevés.

Perte de confiance du public et de valeur marchande

Vol d'identité et fraude financière

Le Cost of a Data Breach Report 2026 d'IBM place le coût moyen mondial d'une violation à un niveau record de 4,99 millions de dollars. Le guide du NIST répertorie les coûts de remédiation, la charge administrative et les pertes financières parmi les préjudices qu'une organisation peut subir.

Le NIST liste la perte de confiance du public et la responsabilité juridique parmi les dommages organisationnels. Après qu’Equifax a annoncé sa violation, le cours de son action a chuté de 35 % la première semaine, effaçant 6 milliards de dollars de valeur marchande, selon le rapport du Comité de surveillance de la Chambre.

Chantage et autres préjudices aux individus

Selon la FTC, les voleurs peuvent utiliser des informations personnelles volées pour obtenir de nouvelles cartes de crédit au nom de la victime, demander des prêts, déposer de fausses déclarations fiscales pour percevoir des remboursements et recevoir des soins médicaux ou des prestations Medicare. Le NIST place le vol d'identité en tête des préjudices subis par les individus.

Comment protéger les informations personnelles identifiables

NIST recommande une approche basée sur les risques, chaque contrôle ci-dessous devant être lié à un référentiel spécifique et au niveau d'impact des PII qu'il contient.

Le NIST cite le chantage, l’embarras, les dommages physiques, la discrimination et la détresse émotionnelle parmi les dommages potentiels d’une violation de PII. Exposer des détails sensibles peut donc causer des dommages bien au-delà des pertes financières.

Découvrez et classez les PII

Vous ne pouvez pas protéger les PII que vous ne connaissez pas, commencez donc par inventorier où elles sont stockées, traitées et transmises. Incluez les partages de fichiers, bases de données, applications cloud, sauvegardes et les feuilles de calcul que les utilisateurs exportent.

Limitez qui peut accéder aux PII

Collectez moins et supprimez selon le calendrier

Ensuite, classifiez les données selon le préjudice que leur exposition pourrait causer, ce que le NIST appelle le niveau d'impact sur la confidentialité, ainsi une table de numéros de sécurité sociale bénéficie de protections plus strictes qu'un annuaire du personnel. Répétez l'inventaire régulièrement, car les copies et exportations diffusent les PII plus rapidement qu'un audit ponctuel ne peut les suivre.

Chaque champ que vous collectez est un champ que vous devez protéger, alors demandez quelle décision chacun soutient et arrêtez de collecter ceux qui n’en soutiennent aucune. Définissez une période de conservation pour chaque catégorie de PII et exécutez la suppression en tant que tâche planifiée plutôt que comme projet de nettoyage occasionnel.

Attribuez l'accès via des groupes basés sur les rôles plutôt qu'à des individus, afin qu'un changement de rôle mette à jour l'accès en un seul endroit. Lorsque c'est possible, laissez les utilisateurs accéder aux PII via une application qui limite les enregistrements et champs visibles, les tenant à l'écart des bases de données et fichiers bruts qui les contiennent.

Accordez à chaque personne uniquement l'accès nécessaire à son rôle, selon le principe du moindre privilège, et révisez-le régulièrement. Un accès approprié à l'embauche devient inapproprié après deux changements de rôle.

Chiffrez et surveillez les PII

Appliquez rapidement les correctifs aux systèmes

Les données inutilisées sont toujours considérées comme exposées en cas de violation. Stocker moins réduit à la fois la probabilité et l'ampleur des dommages, faisant de la minimisation une partie essentielle de la gestion du cycle de vie des données.

Alertez sur des schémas tels qu’un compte lisant beaucoup plus de fichiers que d’habitude ou des PII transférées sur des supports amovibles, et enquêtez sur chaque alerte avant que les données ne sortent.La surveillance des accès aux fichiers fournit cet enregistrement pour les partages de fichiers.

Chiffrez les PII au repos sur les serveurs, ordinateurs portables et sauvegardes, ainsi qu'en transit entre les systèmes, afin qu'un disque volé ou une connexion interceptée ne donne rien de lisible. Le chiffrement n'empêche pas un compte autorisé de lire les données, associez-le donc à une surveillance de qui ouvre, copie et déplace les PII.

Formez le personnel avant qu'il n'obtienne l'accès

Le patching protège les PII uniquement si vous savez ce que vous exécutez et pouvez confirmer que chaque correctif a été appliqué. Gardez un inventaire des logiciels exposés à Internet, y compris les frameworks open source et les bibliothèques dans vos propres applications, car vous ne pouvez pas planifier un patch pour un composant que vous ne connaissez pas.

Fixez des délais selon la gravité et si les attaquants exploitent déjà la faille, les plus courts pour ces derniers. CISA recommande aux organisations d’utiliser son Known Exploited Vulnerabilities catalog comme base pour cette priorisation.

Faites de la formation une condition d’accès plutôt qu’une tâche du premier mois en liant son achèvement à l’étape qui donne accès aux systèmes contenant des PII. Couvrez ce que les personnes font avec les PII dans leur travail, y compris comment les reconnaître, où elles peuvent être stockées et partagées, comment les éliminer, quel est le calendrier de conservation et quelles sanctions s’appliquent en cas de mauvaise utilisation.

Préparez un plan de réponse aux incidents

Puis vérifiez avec un scan, et vérifiez aussi le scan. Après l’alerte Struts, le scan des composants open-source d’Equifax a manqué la version vulnérable car il a été exécuté sur un répertoire racine au lieu du sous-répertoire où Struts était listé, et un second scanner a vérifié 958 adresses IP externes sans rien trouver.

Poursuites judiciaires et règlements

Une violation de PII ajoute des décisions qu’un plan standard d’incident de sécurité ignore, et vous devez les prendre avant un incident. Décidez qui peut déclarer une violation de PII, qui fait partie de l’équipe de réponse et qui parle aux régulateurs, aux personnes concernées et à la presse.

Ajoutez une formation basée sur les rôles pour les personnes qui gèrent les PII les plus sensibles, comme les équipes HR, paie et support qui consultent les dossiers clients. Apprenez-leur à reconnaître un incident PII et où le signaler à toute heure, et actualisez la formation selon un calendrier défini en utilisant des exemples d’arnaques actuelles et de violations récentes.

Offrez au personnel un canal de signalement unique accessible à toute heure, et recueillez toujours les mêmes informations, notamment ce qui a été perdu, de quel système et support de stockage, combien de personnes sont concernées et si les forces de l’ordre ont été contactées.

Les pratiques de base de CISA s’appliquent aussi aux individus.

Protégez vos propres PII

• Utilisez des mots de passe forts et uniques, et conservez-les dans un gestionnaire de mots de passe.

Conservez les preuves avant de supprimer les PII des supports, car le NIST déconseille de les assainir tant que vous n'avez pas décidé si vous devez les conserver comme preuve. Testez le plan avec un exercice de simulation de violation, puis mettez-le à jour avec chaque leçon apprise.

• Activez l'authentification multifactorielle (MFA) partout où elle est proposée.

Planifiez la notification à l'avance, y compris si elle est requise, dans quel délai, qui l'envoie, ce qu'elle contient et s'il faut offrir une aide telle que la surveillance du crédit. En vertu de GDPR Article 33, un responsable doit notifier l'autorité de contrôle dans les 72 heures suivant la prise de connaissance d'une violation, lorsque cela est possible, afin que ces décisions ne puissent pas attendre après l'incident.

• Reconnaissez et signalez le phishing avant de partager des informations personnelles.
• Installez les mises à jour logicielles rapidement.

Comment Netwrix aide à protéger les PII

Trouvez les PII sur les serveurs de fichiers, SharePoint et les bases de données

Les produits Netwrix gèrent quatre tâches liées aux données personnelles identifiables (PII) : les localiser, les cartographier selon les réglementations, vérifier qui peut y accéder et les bloquer au niveau de l’endpoint.

Cartographiez les PII classifiées selon GDPR, HIPAA et PCI DSS

Netwrix Access Analyzer analyse les serveurs de fichiers, SharePoint, bases de données et Amazon S3 à la recherche de PII, PHI et données de cartes de paiement, en utilisant des règles basées sur des modèles et le contexte, ainsi que des règles personnalisées pour les données spécifiques à l'organisation.

Vérifiez qui peut ouvrir les PII et qui en est le propriétaire

La détection PII basée sur des règles correspond à des modèles prédéfinis dans des données structurées et non structurées, et Access Analyzer ajoute du contexte à ces modèles. Les équipes peuvent ajuster les règles de classification de différentes manières pour identifier les données sensibles plus précisément.

Chez Forreston State Bank, Auditor maintient la banque en conformité continue avec les exigences du Federal Financial Institutions Examination Council (FFIEC) et du GLBA, et permet d’économiser 8 heures par semaine dans la préparation des audits.

Bloquez la sortie des PII via USB et les téléchargements web

Access Analyzer associe les PII classifiées aux cadres GDPR, HIPAA, PCI DSS et autres.Netwrix Auditor audite l'activité et inclut des mappages de conformité préconçus pour GDPR, HIPAA, PCI DSS, SOX et la Cybersecurity Maturity Model Certification (CMMC).

Commencez par les PII qui causeraient le plus de dégâts

Access Analyzer analyse les autorisations, identifie les données surexposées, détermine les propriétaires des données et prend en charge les workflows de révision des droits d’accès. Son Effective Access Report calcule l’accès effectif à partir de l’appartenance aux groupes, y compris les groupes imbriqués, et signale les comptes de trustees obsolètes.

Netwrix Endpoint Protector applique des politiques de prévention de la perte de données sensibles au contenu au niveau du point de terminaison. Il contrôle les périphériques de stockage USB, surveille les transferts via le navigateur et bloque les téléchargements de données sensibles vers le stockage cloud et les outils d'IA tels que ChatGPT et Microsoft Copilot.

Les directives du NIST établissent un ordre de travail clair. Identifiez tous les PII dans l’environnement, évaluez chaque référentiel selon le dommage que son exposition pourrait causer, et appliquez les protections les plus strictes là où la note est la plus élevée. Comme les échecs d’accès provoquent la plupart des expositions, resserrez d’abord qui peut accéder à ces référentiels.

Les équipes qui considèrent chaque nouvelle combinaison comme un événement de reclassification maintiennent leurs contrôles adaptés aux données qu’elles détiennent.

Les évaluations changent avec le temps car NIST demande aux organisations d’évaluer la sensibilité des champs PII en combinaison. Un ensemble de données qui semblait à faible impact seul nécessite une nouvelle évaluation dès qu’il est joint à un autre, comme lorsqu’un code postal rencontre une date de naissance.

Demandez une démo pour voir comment Netwrix Access Analyzer trouve les PII dans les partages de fichiers, SharePoint et les bases de données, et montre qui peut y accéder.