Informazioni personali identificabili: definizione ed esempi

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number,r and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

What Is Considered Personally Identifiable Information?

Information qualifies as PII when it meets either of the following conditions:

• Unique identification of an individual — The information can directly pinpoint an individual, as would be true for a Social Security number or email address.
• Linkability — The information, when combined with other accessible data, can reasonably identify an individual, such as combining zip code, birth date, and gender.

Context is critical when assessing whether information is PII:

• Data aggregation — Information that is not PII in isolation may become PII when combined with other datasets. For example, an IP address alone may not be PII, but when associated with a user account, it becomes PII.
• Purpose and access — Who has access to the data and how they intend to use it plays a role. For example, the location data of a person in a sensitive profession (such as law enforcement) may be considered PII.
• De-identification and re-identification risk — Even de-identified data can sometimes be re-identified using additional data sources, thus potentially regaining its status as PII.

Types of Personally Identifiable Information

PII can be broadly classified into two main categories based on the degree of identifiability: direct identifiers and indirect (or quasi-) identifiers.

Direct Identifiers

These are pieces of information that can directly and uniquely identify an individual without the need for additional data. Direct identifiers include:

• Full legal name, such as John A. Smith
• Social Security number (SSN)
• Passport number
• Driver’s license or state ID number
• Personal phone number
• Personal email address
• Biometric data (e.g., fingerprints, retina scans, facial recognition data)
• Credit card or bank account numbers
• Full-face photographs

Indirect (Quasi-) Identifiers

These pieces of information do not directly identify a person but can do so when combined with other data. Here are some common types of indirect identifiers with examples:

• Demographic info: Date of birth, gender, ethnicity, age or marital status
• Geographic info: Postal address, zip code, city of birth or travel history
• Educational history: School name or degree attained
• Employment data: Job title, company, office location
• Device information: IP address, MAC address, device ID (depending on context and jurisdiction)
• Behavioral info: Purchase history, browsing habits

Emerging Types of PII

With advances in technology, newer types of information are increasingly considered PII:

• Digital identifiers: Advertising IDs, MAC address
• Behavioral data: Browsing history, search queries
• Genetic information: DNA profiles

Sensitive vs. Non-Sensitive PII

PII can be sensitive or non-sensitive.

Sensitive PII

Sensitive PII is information that, if disclosed or compromised, could cause significant harm, embarrassment, financial loss or legal liability to an individual. Examples include:

• Social Security numbers
• Passport and driver’s license numbers
• Bank account and credit card details
• Medical records (also considered PHI), such as a diagnosis of diabetes in a healthcare system
• Legal records (criminal history, immigration status)
• Biometric data (fingerprints, retina scans)
• Full-face photographs (in certain contexts)
• Location data (GPS coordinates, real-time tracking)

Non-Sensitive PII

Non-sensitive PII is information that is generally publicly available or unlikely to cause serious harm if disclosed. Examples are:

• Full name (without other identifiers)
• Business contact information (work phone, company email)
• Job title or company affiliation
• General demographic data (race, gender when not combined with other identifiers)

Non-sensitive PII has a low standalone risk but can contribute to risk when combined with other data sets (data aggregation).

How Organizations Treat Sensitive PII and Non-Sensitive PII Differently

Examples of Personally Identifiable Information

Common examples used in identity verification

Industry-specific instances (e.g., healthcare, finance)

Myths about what is or isn’t PII

What Is Not PII?

Not all data is considered PII. Non-PII refers to information that cannot be used on its own to identify a specific individual. However, in some cases, non-PII can become PII when combined with other data points.

Personal Data vs. PII

• PII is data that can uniquely identify an individual. This term is used mainly in US legal and cybersecurity contexts (e.g., NIST, HIPAA).
• Personal data is broader than PII. Under laws like GDPR, it includes any information related to an identifiable person, even indirectly (for example, device ID, IP address).

Examples of Non-PII

The following are typically not PII — unless they are linked to other identifying data:

• Browser type or device model
• Zip code (if not specific enough to identify a household)
• Age range
• Gender
• Anonymous survey responses
• Anonymized data
• Aggregated analytics data
• Randomly generated user IDs that are not traceable back to a person

When Non-PII Becomes PII

Non-PII can turn into PII when:

• It is linked with other data. For example, zip code + birth date + gender can often uniquely identify an individual.
• Re-identification is possible. If anonymized data can be de-anonymized using external information (like social media or public records), it is no longer non-PII.
• Data correlation occurs. Behavioral data (like clickstreams) may seem anonymous but can be analyzed to identify specific users.

How PII Is Collected and Stored

Organizations must manage PII responsibly to protect individuals and comply with regulations like GDPR, CCPA and HIPAA.

PII Collection Methods

Where PII Is Stored

Most modern organizations store PII in cloud environments, such as AWS, Microsoft Entra, Google Cloud (public, private, or hybrid). PII is also often stored in SaaS platforms (CRMs, HRIS, ERPs).

However, some enterprises still use local servers and databases for sensitive workloads, as well as hybrid systems that combine local and cloud storage.

Regardless of location, PII must be encrypted (at rest and in transit), backed up securely, and audited regularly.

Consent and Transparency in PII Collection

User Consent

Laws like GDPR and CCPA require explicit, informed consent before collecting personal data. This means:

• Users must opt-in (not pre-checked boxes).
• Consent must be freely given, specific, informed and unambiguous.
• Consent withdrawal must be just as easy.

Transparency Requirements

Organizations must provide:

• Clear privacy policies on what data is collected, how it is used, how long it will be retained and any third-party sharing
• Notices at point of collection, such as cookie banners or inline disclaimers
• Easy ways for users to view, correct and delete their data

How PII Gets Compromised

PII is a prime target for cybercriminals because it can be used for financial fraud, identity theft and corporate espionage. Understanding the common ways PII is compromised helps organizations and individuals better protect it.

Common Threat Vectors

Attackers often gain access to PII using:

• Phishing — Fake emails or websites trick users into revealing login credentials or personal details. They are often disguised as legitimate communication from banks, employers, or service providers.
• Malware — Malicious software (e.g., keyloggers, spyware, ransomware) installed on a device can capture keystrokes, exfiltrate stored credentials or files, and open backdoors for future access.
• Social engineering —Attackers manipulate people by impersonating IT staff, using information from social media to gain trust, and convincing employees to grant system access or bypass protocols.
• Weak security practices — Adversaries can also gain access to PII by exploiting to poor password hygiene, unpatched or outdated software, insecure APIs or third-party services and misconfigured cloud storage (for example, open S3 buckets).

Data Breaches & Real-World Incidents

Data breaches occur when unauthorized individuals gain access to PII. The consequences can be severe for both the organization that was breached and the individuals who data was compromised.

Here are a few high-profile incidents:

• Equifax (2017) — This attack affected 147 million people, exposing their Social Security numbers, birth dates and more.
• Facebook (2019) — 540 million user records were exposed through third-party apps stored in unsecured cloud databases.
• Marriott (2018–2020) — Hackers stole data from 500 million guests, including passport numbers and booking details.

How Attackers Exploit Stolen PII

Stolen PII has immense black-market value and can be exploited in multiple ways. Even a small amount of PII (such as name, date of birth or Social Security number) is often enough to commit these acts.

Identity Theft & Fraud

Stolen PII enables attackers to impersonate victims and perform fraudulent actions such as:

• Opening credit cards or bank accounts
• Taking out loans
• Making unauthorized purchases
• Filing false tax returns to collect refunds

Credential Stuffing & Account Takeover

If the stolen PII includes usernames and passwords, attackers can run automated scripts to test these credentials across multiple platforms (banks, email, e-commerce). Due to password reuse, this often results in full account takeovers, granting access to sensitive data and stored funds.

Spear Phishing and Social Engineering

Having detailed PII about an individual enables attackers to target them more effectively in the future. With accurate details about things like the person’s employer or recent purchases), they can pretend to be a trusted contact or service provider and trick the victim into revealing more information or making financial transactions.

Medical and Insurance Fraud

Stolen health records or insurance information can be used to:

• File false medical claims
• Receive unauthorized treatments or prescriptions
• Steal someone’s medical identity, which can lead to dangerous errors in patient care

Blackmail or Extortion

Highly sensitive PII (such as private messages or health history) may be used to threaten public exposure unless a ransom is paid, as well as to target individuals in reputation-damaging campaigns.

Dark Web Sales and Data Resale

Sometimes, attackers sell the PII instead of using it themselves. “Fullz” packages (full identity profiles) can be sold for high prices, and health records, passports and credit card data fetch premium value on dark web marketplaces.

Long-Term Impact

Unlike a stolen credit card, PII cannot always be easily replaced. Victims may face:

• Years of monitoring and legal disputes
• Repeated targeting due to data circulation among criminals
• Difficulty securing credit or jobs due to compromised records

Regulations Governing Personally Identifiable Information

Let’s have a quick look at the regulations governing PII, covering US laws, international frameworks, and differences in global definitions and protections.

US Laws

International Frameworks

Differences in PII Definitions and Protections by Country or Region

Protecting Personally Identifiable Information

Protecting PII is crucial in today’s digital age due to increasing threats from data breaches, identity theft and cyberattacks.

Best Practices for Individuals

Corporate Data Handling Protocols

Reducing the Attack Surface

Consequences of Mishandling PII

Mishandling PII can lead to serious consequences for both organizations and individuals.

Consequences for Organizations that Mishandle PII

Fines and Regulatory Sanctions

Organizations that fail to comply with data protection laws may face substantial fines. Here are some examples:

• GDPR (EU) — Fines up to €20 million or 4% of global annual turnover (whichever is higher). Examples include British Airways (£20M fine) and Marriott International (£18.4M fine).
• CCPA (California) — Civil penalties of up to $2,500 per unintentional violation and $7,500 per intentional violation. Private right of action allows consumers to sue for data breaches.
• HIPAA (US healthcare sector) — Fines range from $100 to $50,000 per violation, up to $1.5 million annually per violation type.

Class Action Lawsuits and Settlements

Victims of data breaches often initiate class actions, where settlements can cost millions in payouts, legal fees and operational changes.

Remediation Costs

Post-breach expenses include incident response, forensics, public relations, customer notification and credit monitoring. According to the IBM Cost of a Data Breach Report 2024, the average cost of a breach is $4.45 million.

Reputation Damage and Loss of Customer Trust

• Brand erosion — News of a breach spreads quickly, damaging the company’s public image. In such a situation, loss of goodwill can take years to rebuild or simply be irreversible.
• Customer attrition — Customers may switch to competitors perceived as more secure. Businesses in industries like finance, healthcare, or e-commerce are especially vulnerable to churn.
• Loss of competitive advantage — Breached organizations may lose trade secrets, proprietary information or face disrupted operations.
• Decline in market value — Publicly traded companies often experience stock price drops following breach announcements. Shareholder lawsuits may follow, especially if negligence is involved.

Consequences for Individuals Whose PII Is Mishandled

• Identity theft — Criminals can use stolen PII to open bank accounts, take out loans or file fraudulent tax returns.
• Financial fraud — Stolen credit card and banking details can result in unauthorized transactions, loss of funds and damaged credit scores.
• Emotional and psychological distress — Victims may suffer from anxiety, stress and fear of further victimization. Moreover, rebuilding identity can be a lengthy, frustrating and intrusive process.
• Targeted scams and phishing — Leaked information can be used in highly personalized scams that are difficult to detect.
• Employment or social impact — Exposure of sensitive personal details can lead to professional embarrassment or social stigmatization.

Case Studies: Major PII Breaches

Equifax Breach (2017)

Equifax, one of the largest credit reporting agencies in the US, suffered a major cybersecurity incident that exposed the sensitive personal information of some 147.9 million people in the US — nearly half of the country’s population. It also affected people in Canada and the United Kingdom. The incident stands out as one of the largest breaches of sensitive data in history.

The breach occurred between May 13 and July 30, 2017. It went undetected for 76 days, allowing attackers to exfiltrate massive amounts of data. Equifax publicly disclosed it on September 7, 2017. The attackers exploited a vulnerability (CVE-2017-5638) in Apache Struts, an open-source web application framework. This vulnerability had been publicly disclosed and patched in March 2017, but Equifax did not apply the patch in time. Later reports indicated that some systems lacked proper encryption and security protocols.

Compromised data included names, Social Security numbers, birth dates, addresses, credit card information (for around 209,000 people), and dispute documents containing personal information (for 182,000 individuals). Overall, the breach posed a significant risk of identity theft and fraud.

Reputational damage aside, Equifax incurred $1.4 billion in costs related to the breach, including legal settlements, customer support and security improvements. The settlement also included free credit monitoring and identity theft protection for affected individuals. Equifax had to invest in overhauling its cybersecurity infrastructure, implementing stronger encryption, multifactor authentication and real-time threat monitoring. On the legal front, Equifax faced several lawsuits and investigations from regulators and private entities.

Facebook-Cambridge Analytica Scandal

The Facebook–Cambridge Analytica scandal came to light in early 2018, when it was revealed that the personal data of millions of Facebook users had been harvested without consent and used for political advertising purposes. The core of the issue revolved around a third-party app that collected data through a seemingly innocuous personality quiz. While only about 270,000 users directly interacted with the app, Facebook’s API at the time allowed the app to access not just their data but also the data of their friends — ultimately compromising the information of over 87 million users. This data was then passed on to Cambridge Analytica, a political consulting firm that used the profiles to build psychographic models and target users with highly personalized political messages, particularly during the 2016 US presidential election and the Brexit campaign.

Facebook faced intense scrutiny from governments and regulators worldwide, leading to CEO Mark Zuckerberg testifying before the US Congress and the European Parliament. The company’s stock value dropped significantly and its reputation suffered substantial damage. Regulatory consequences followed, including a $5 billion fine from the US Federal Trade Commission (FTC) in 2019 — the largest ever imposed for a privacy violation at that time.

Lessons Learned from High-Profile Incidents

Here are the key lessons learned from high-profile data privacy incidents such as the Equifax breach and the Facebook–Cambridge Analytica scandal:

• Prioritize data security and patch management. Organizations must maintain an up-to-date vulnerability management program and automate patch deployment wherever possible.
• Transparent and timely communication is crucial. Having a well-prepared incident response and communication plan helps maintain trust and ensures regulatory compliance during crises.
• Know what data you have — and why. Adopt data minimization and retention principles. Collect only what’s necessary, and clearly define the purpose and legal basis for doing so.
• Strengthen access controls and internal oversight. Implement role-based access controls (RBAC), enforce the principle of least privilege and monitor data access in real time.
• User consent must be informed and granular. Ensure clear, specific opt-in consent for data collection and sharing. Avoid using obscure terms buried in privacy policies.
• Regulatory compliance isn’t optional. Violations of GDPR, CCPA and other data protection laws can lead to massive fines and lawsuits. Treat privacy compliance as a core business function, not a checkbox exercise. Engage privacy officers, legal counsel and IT in data strategy development.
• Regularly test and audit systems. Many organizations discover weaknesses only after an incident occurs. It is a best practice to conduct routine security audits, penetration tests and risk assessments to identify vulnerabilities before attackers do.
• Trust is fragile and must be earned continuously. Once lost, trust — whether from customers, partners or regulators — is extremely hard to regain. Demonstrate privacy by design, transparency and ethical data use to build long-term credibility.
• Invest in privacy education and culture. Human error remains a significant factor in data mishandling. Take steps to foster a privacy-first culture through regular training, awareness programs and leadership engagement.

PII in the Workplace and Vendor Agreements

Here’s a detailed guide on managing PII in the workplace and in vendor agreements, with emphasis on identifying PII during third-party negotiations, employee responsibilities and vendor risk management.

Identifying PII During Third-Party Negotiations

Vendor Risk Assessment and Compliance Protocols

PII vs. PHI: What’s the Difference?

PII and protected health information (PHI) are both foundational concepts in data privacy and security. The following will help you distinguish between the two.

Personally Identifiable Information

PII is any information that can be used to identify, contact or locate a specific individual, either directly or indirectly, such as full name, Social Security number, email address, phone number, passport number or driver’s license number. PII applies broadly across sectors, such as finance, education and retail.

Protected Health Information

PHI is a subset of PII that specifically relates to an individual’s health status, medical care or payment for health services. PHI is defined and regulated under HIPAA in the United States. Examples of PHI include:

• Medical records
• Lab results
• Insurance information
• Doctor’s notes
• Appointment schedules

PII and PHI Overlap

PHI is a subset of PII, but not all PII is PHI. For example a name is PII, but a name combined with a medical diagnosis or insurance number becomes PHI.

Legal Distinctions

Use Cases Where Both Types Apply

• A telemedicine app that stores user names and email addresses (PII) as well as appointment records and prescriptions (PHI)
• A health insurance portal that collects login credentials and contact info (PII) as well as claim history and treatment details (PHI)
• An employee wellness program that gathers demographic data for incentive tracking (PII) along with health risk assessments and lab results (PHI)
• Research studies and clinical trials that use consent forms and contact info (PII) as well as health data from patient interviews and testing (PHI)

Future of PII: Trends and Emerging Challenges

Here are some trends and challenges regarding PII to watch for.

Impact of AI and Big Data

AI and big data analytics are transforming PII management but also amplifying risks. Key concerns include:

• Exploding data volumes — AI systems feed on massive datasets, often containing sensitive personal data. Even anonymized data can be re-identified with enough auxiliary information.
• Profiling & inferences — AI can infer sensitive information (for example, political views, health status) from seemingly innocuous data, creating new categories of “derived PII.”
• Automated decision-making — AI models influence important decisions in areas like employment, lending and healthcare. Concerns include fairness and explainability.
• Data minimization challenges — AI thrives on large datasets, which contradicts the principle of collecting only necessary data.

Core challenges will be balancing innovation with privacy, and ensuring proper oversight in AI-driven decisions involving PII

Rise of Biometric Identifiers

Biometric data — facial recognition, iris scans, fingerprints, voice prints, DNA — is increasingly used for authentication, surveillance and personalization. For example, this data is being used in smartphone security, airport clearance, workplace access and healthcare.

Risks include:

• Irrevocability — Unlike passwords, you can’t change your face or fingerprints if they are compromised.
• Mass surveillance — Government and corporate use of facial recognition has triggered civil liberties concerns.
• Data breaches — Biometric databases are prime targets due to the high value and permanence of the data.

A key challenge will be creating legal and technical safeguards for the ethical use and storage of biometrics.

Calls for Unified Global Privacy Frameworks

Many countries (as well as individual US states) are developing their own privacy laws, which increases complexity:

• Inconsistent laws hinder international data transfers and global business.
• Multinational companies face costly, redundant compliance efforts.

Efforts are underway to draft frameworks that address these concerns. They include:

• OECD and ISO efforts toward standardization
• Proposed UN conventions on digital privacy
• Discussions around a “Global Privacy Accord” or international data protection treaty

The challenge will be aligning privacy rights and enforcement mechanisms globally while respecting national sovereignty and cultural differences.

Looking Ahead

Key Emerging Trends

• Privacy by design — Integrating privacy into product development from the ground up
• Zero-Trust architectures —Moving beyond perimeter security to identity-centric models
• Synthetic data — Using AI-generated datasets to train models without using real PII
• Decentralized identity (DID) — Empowering users with control over their identity using blockchain or similar tech

Key Challenges

• Maintaining trust in a hyper-connected world
• Balancing innovation with individual rights
• Preventing surveillance capitalism and digital authoritarianism

About Netwrix Data Classification

Identifying and safeguarding PII is essential to avoid costly breaches and ensure compliance with strict data security regulations like GDPR and HIPAA. However, PII is often dispersed across various data environments, making manual identification both difficult and error-prone.

Netwrix Data Classification empowers organizations to accurately identify, categorize and secure sensitive data, including PII. This process helps them reduce data-related risks, ensure compliance and improve operational efficiency. Key capabilities related to PII include:

• Automated discovery — Uses predefined and customizable rules to detect various types of PII across on-premises file shares, SharePoint, cloud storage and more.
• Data categorization —Tags files based on sensitivity and content type (for example, financial data, health data), which helps prioritize protection efforts based on risk.
• Regulatory mapping —Supports compliance with regulations like GDPR, CCPA and HIPAA by mapping PII to legal requirements and streamlining audits and reporting.
• Risk mitigation — Identifies overexposed or mismanaged PII (for example, data stored in public folders or shared widely), and supports remediation by integrating with Netwrix Auditor and other DLP/IRM solutions.
• Process of data subject access requests (DSARs) — Accelerates DSAR handling by quickly locating all PII associated with an individual across repositories.

FAQ

What is the best definition of personally identifiable information (PII)?

PII is data that can reveal an individual’s identity. The following definition is widely accepted by privacy frameworks such as the US National Institute of Standards and Technology (NIST) and international regulations like GDPR and CCPA, though the specific terminology may vary slightly:

Any information that can be used to identify, contact, or locate a single individual, either directly or indirectly.

What are some examples of PII?

Some common examples of PII are:

• Full Name: Jane Smith, Ahmed Khan
• Government IDs: Social Security Number (SSN), passport number, driver’s license scan
• Contact details: Email address, phone number, mailing address
• Biometric data: Fingerprints, facial recognition, retina scans
• Financial info: Credit card number, bank account details
• Digital identifiers: National ID, taxpayer ID number, student ID

What are the two types of PII?

• Direct identifiers can uniquely identify an individual on their own. Examples include full name, passport number, phone number and credit card number.
• Indirect identifiers do not identify an individual when used alone but can when combined with other data. Examples of indirect identifiers include demographic info, employment data and device info.

See the Types of Personally Identifiable Information section for details.

What laws protect PII?

Regulations that protect PII vary by country and industry, but they all share the goal of ensuring that individuals have control over their personal data, and that organizations handle PII responsibly. Here are some of the most well-known laws.

See the Regulations Governing Personally Identifiable Information section for details.

Can non-sensitive data become PII?

Yes, non-sensitive data can become PII when it is combined with other data in a way that allows an individual to be identified, located or contacted. For example, a zip code alone is not PII, but combining it with date of birth and gender could uniquely identify a person.

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number, and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

Che cos'è l'informazione personale identificabile?

Sapere cosa conta come PII è il primo passo per controllare quell’accesso, e la risposta dipende dal contesto, perché un codice postale e una data di nascita possono sembrare innocui singolarmente ma insieme indicano una persona.

PII, abbreviazione di informazioni personali identificabili, è qualsiasi informazione che può distinguere o tracciare l'identità di una persona specifica, da sola o combinata con altre informazioni collegate o collegabili a quella persona.

Le leggi sulla privacy dei dati tracciano i confini in luoghi diversi, quindi un set di dati può rientrare in un regime ed essere esente in un altro.

La maggior parte delle esposizioni di informazioni personali identificabili (PII) inizia con l'accesso, poiché il 75% delle esposizioni di dati sensibili parte da identità compromesse o permessi configurati in modo errato, secondo il Netwrix 2026 Data and Identity Security Report.

Informazioni collegate e collegabili

Un unico sistema spesso contiene tutti e tre. Ad esempio, un'app di telemedicina memorizza nomi e email (PII) accanto a registri di appuntamenti e prescrizioni (PHI), e i dati di qualsiasi utente UE in esso sono anche dati personali secondo il GDPR.

Un nome, un numero di Social Security o un record biometrico possono identificare una persona da soli, mentre una data di nascita o un codice postale identificano una persona solo se combinati con altri dati. Poiché l'identificabilità dipende dal dataset circostante, lo stesso campo può essere PII in un contesto e innocuo in un altro.

L'Ufficio di Gestione e Bilancio degli Stati Uniti ha utilizzato questa definizione in un memorandum del 2007, e il National Institute of Standards and Technology (NIST) la porta avanti in SP 800-122, la sua guida per proteggere la PII.

SP 800-122 definisce PII in due parti, la prima riguarda informazioni che possono distinguere o tracciare un'identità, come nome, numero di Social Security o dati biometrici. La seconda riguarda qualsiasi altra informazione collegata o collegabile a un individuo, come informazioni mediche, educative, finanziarie e lavorative.

Dati non PII e quando diventano PII

La guida collega anche l’etichetta a quanto facilmente i dati identificano una persona. Nomi, impronte digitali e numeri di Social Security identificano gli individui in modo unico e diretto, mentre codici postali e date di nascita possono identificarli indirettamente o aiutare a restringere grandi set di dati.

Le informazioni cessano di essere PII quando non possono più distinguere o tracciare un individuo, da sole o combinate con altre informazioni. NIST definisce le informazioni anonimizzate come informazioni precedentemente identificabili che sono state de-identificate e per le quali non rimane alcun codice o altra associazione per la re-identificazione.

Il contesto cambia le poste in gioco, come mostra l'esempio di NIST che confronta due elenchi con gli stessi campi, come nome, indirizzo e numero di telefono. Uno elenca gli iscritti alla newsletter e l'altro le persone che lavorano sotto copertura nelle forze dell'ordine, quindi una violazione di ciascuno ha conseguenze molto diverse per gli individui e l'organizzazione.

L'anonimizzazione ha dei limiti, perché NIST osserva che le informazioni de-identificate possono essere re-identificate. Anche combinare set di dati può annullarla, poiché un codice postale e una data di nascita che sembrano innocui in sistemi separati possono identificare una persona una volta abbinati.

PII, dati personali e PHI a confronto

Nel 1980, l'Organization for Economic Co-operation and Development ha adottato linee guida per proteggere la privacy e i flussi transfrontalieri di personal data, utilizzando il termine più ampio personal data.

Il termine informazioni personali identificabili appare nelle linee guida federali del 2007, nel memorandum citato sopra e nel NIST SP 800-122, pubblicato nell’aprile 2010.

Esempi e tipi di PII

PHI è un'informazione sanitaria identificabile individualmente sullo stato di salute, cura o pagamento per la cura di una persona, detenuta da un'entità coperta o dal suo associato commerciale, ed è regolata da HIPAA. Un nome da solo è PII, ma un nome combinato con una diagnosi o un numero di assicurazione è PHI quando è detenuto da un'entità coperta o associato commerciale.

Secondo il GDPR, i dati personali comprendono qualsiasi informazione relativa a una persona identificata o identificabile, e l'Articolo 4(1) elenca gli identificatori online tra quelli che possono rendere una persona identificabile. Un dataset che supera un test ristretto di PII negli USA può quindi essere comunque considerato dati personali regolamentati nell'UE.

PII è il termine statunitense, e la sua storia spiega perché le tre definizioni differiscono. Il rapporto del 1973 del Dipartimento della Salute, dell'Istruzione e del Welfare degli Stati Uniti, Records, Computers, and the Rights of Citizens, proposeva un codice di corrette pratiche informative, e il Congresso lo usò per redigere il Privacy Act of 1974.

Cinque esempi comuni di PII sono un nome completo, un numero di Social Security, un numero di passaporto, un numero di patente di guida e dati biometrici come le impronte digitali, tutti presenti negli esempi di NIST.

Ogni campo nella tabella è classificato in base a come identifica una persona e a quanto danno può causare la sua esposizione; le valutazioni variano a seconda dell'organizzazione e della giurisdizione.

Identificatori diretti e indiretti

Un numero di Social Security è considerato PII anche senza un nome perché NIST afferma che identifica gli individui in modo unico e diretto, rendendolo più sensibile di un numero di telefono o di un CAP.

Un nome e cognome contano secondo la definizione del NIST perché distinguono un individuo, anche se l'esempio dell'elenco di risposta agli incidenti del NIST mostra quanto poco rischio aggiuntivo comportino nomi e dettagli di contatto lavorativi disponibili pubblicamente. Una data di nascita da sola non identifica una persona, ma combinata con un codice postale può.

Gli identificatori diretti indicano una persona senza dati di supporto. NIST fornisce nomi, impronte digitali e numeri di Social Security come esempi di informazioni che identificano in modo unico e diretto gli individui.

PII sensibili e non sensibili

Gli identificatori indiretti indicano una persona solo se combinati con altri dati. NIST cita i codici postali e le date di nascita come esempi, poiché possono identificare indirettamente gli individui o aiutare a restringere grandi set di dati. Ogni campo aggiuntivo restringe ulteriormente la popolazione, quindi un programma di classificazione deve valutare quali campi identificano insieme.

La PII sensibile è quella la cui esposizione potrebbe causare gravi danni alla privacy, finanziari o legali. La guida del NIST formalizza questa idea con livelli di impatto sulla riservatezza basso, moderato o alto, indicando il potenziale danno per gli individui e l'organizzazione se la PII viene accessibile, utilizzata o divulgata in modo inappropriato.

Si osserva che un numero di Social Security, la storia medica o le informazioni sul conto finanziario sono generalmente più sensibili di un numero di telefono o di un codice postale.

Leggi e regolamenti che disciplinano la PII

NIST raccomanda un approccio basato sul rischio, quindi la PII ad alto impatto richiede misure di protezione più forti. Le raccomandazioni includono l’applicazione degli accessi, la crittografia delle informazioni archiviate e il monitoraggio degli eventi che influenzano la riservatezza della PII.

Netwrix Access Analyzer risolve i gruppi AD nidificati e l’ereditarietà di SharePoint per evidenziare dati sensibili sovraesposti. Richiedi una demo.

I PII a basso impatto, come i nomi e i dettagli di contatto lavorativo nell'esempio dell'elenco NIST, necessitano comunque di protezione per evitare che vengano combinati con altri campi, perché i campi combinati possono rendere dati sensibili identificabili.

I dati delle carte di pagamento rientrano anche nello standard Payment Card Industry Data Security Standard (PCI DSS), che si applica alle entità che memorizzano, elaborano o trasmettono dati dei titolari di carta.

Legge sulla Privacy del 1974

Nessuna legge unica definisce il PII per ogni scopo. La regolamentazione negli Stati Uniti è settoriale, con leggi separate per agenzie federali, sanità, finanza, istruzione e consumatori secondo la legge statale, mentre l’UE e l’Australia applicano quadri nazionali alle informazioni personali.

Il Privacy Act concede agli individui il diritto di accedere ai propri record e di correggere quelli errati, e richiede alle agenzie federali di raccogliere record solo per scopi legali e autorizzati e di proteggerli. Copre solo le agenzie federali.

California Consumer Privacy Act e California Privacy Rights Act

HIPAA

La CPRA ha modificato la legge, aggiunto diritti dei consumatori e doveri aziendali, ed è entrata in vigore il 1° gennaio 2023.

La CCPA concede ai consumatori della California il diritto di sapere quali informazioni personali le aziende raccolgono su di loro, di cancellarle, correggere informazioni errate e rinunciare alla loro vendita o condivisione.

Si applica alle imprese a scopo di lucro che operano in California e soddisfano almeno una soglia basata sui ricavi, sul numero di consumatori californiani i cui dati gestiscono o sui ricavi derivanti dalla vendita o condivisione di informazioni personali.

Legge Gramm-Leach-Bliley

HIPAA si applica alle entità coperte, ovvero piani sanitari, clearinghouse sanitari e fornitori di assistenza sanitaria che trasmettono informazioni sanitarie elettronicamente in transazioni standard, nonché ai loro associati commerciali.

Ai sensi del 45 CFR 164.306, devono garantire la riservatezza, l'integrità e la disponibilità delle informazioni sanitarie elettroniche protette che creano, ricevono, mantengono o trasmettono. Ai sensi del 45 CFR 164.404, un'entità coperta deve notificare agli individui interessati una violazione di PHI non protetta senza ritardi irragionevoli e non oltre 60 giorni di calendario dalla scoperta.

GLBA copre le aziende che offrono ai consumatori prodotti o servizi finanziari, come prestiti, consulenza finanziaria o di investimento, o assicurazioni. La sua Regola sulla Privacy richiede di informare i clienti sulle pratiche di condivisione delle informazioni e sul diritto di rinunciare alla condivisione con determinati terzi. La Regola sulle Salvaguardie richiede un programma di sicurezza delle informazioni per proteggere le informazioni dei clienti.

Legge sui Diritti Educativi e sulla Privacy Familiare

Regolamento Generale sulla Protezione dei Dati

Legge sulla Privacy Australiana del 1988

FERPA si applica alle agenzie e istituzioni educative che ricevono fondi nell'ambito di un programma del Dipartimento dell'Istruzione degli Stati Uniti. Protegge i registri educativi direttamente collegati a uno studente e mantenuti dall'istituzione o da una parte che agisce per essa.

Secondo l'Ufficio del Commissario per l'Informazione australiano, la Privacy Act 1988 regola come le agenzie del Governo australiano, le organizzazioni con un fatturato annuo superiore a 3 milioni di AUD e alcune altre organizzazioni gestiscono le informazioni personali.

Come vengono esposti i dati personali identificabili

I suoi 13 Principi di Privacy Australiani coprono la raccolta, l'uso e la divulgazione delle informazioni personali; l'integrità e la correzione di tali informazioni; e i diritti degli individui di accedervi.

Gli incidenti documentati seguono tre percorsi ricorrenti: messaggi ingannevoli, sistemi non aggiornati e accesso di terze parti.

GDPR ha un ambito territoriale, stabilito nell'Articolo 3, che copre il trattamento dei dati personali delle persone nell'UE. Concede agli individui diritti di accesso, rettifica, cancellazione e portabilità dei dati, e l'Articolo 37 riguarda la nomina dei responsabili della protezione dei dati.

Phishing

I segnali di avvertimento includono un linguaggio urgente o emotivo, richieste di informazioni personali e finanziarie, URL abbreviati non affidabili e indirizzi email o link errati.

Il phishing avviene quando i criminali cercano di indurre le persone ad aprire link, email o allegati dannosi. L’esca può arrivare tramite email, SMS, messaggio diretto o chiamata telefonica, ed è progettata per sembrare provenire da una persona o organizzazione affidabile.

Software non aggiornato

Accesso di terze parti

La violazione di Equifax del 2017 mostra il costo di una patch mancata. Il progetto Apache Struts ha annunciato la vulnerabilità Common Vulnerabilities and Exposures (CVE) CVE-2017-5638 e ha rilasciato una patch il 7 marzo 2017, e il Dipartimento per la Sicurezza Interna ha avvisato Equifax il giorno successivo, ma Equifax non ha applicato completamente la patch ai suoi sistemi.

Secondo il rapporto della House Oversight Committee, gli aggressori sono rimasti nella rete per 76 giorni e hanno raggiunto le informazioni personali di circa 148 milioni di persone, inclusi nomi, numeri di Social Security, date di nascita, indirizzi e numeri di patente di guida.

Equifax ha poi accettato di pagare almeno 575 milioni di dollari, e potenzialmente fino a 700 milioni di dollari, in un accordo con regolatori federali e statali.

Il caso Facebook e Cambridge Analytica mostra come l'accesso di terzi esponga PII. La Federal Trade Commission (FTC) ha affermato che un'app di Facebook creata dallo sviluppatore Aleksandr Kogan chiedeva agli utenti domande sulla personalità e altro, raccogliendo anche informazioni sugli amici di Facebook.

Cosa succede quando i dati personali vengono gestiti in modo errato

Multe e sanzioni regolamentari

Si è inoltre sostenuto che Cambridge Analytica abbia abbinato i punteggi di personalità risultanti con i registri degli elettori statunitensi per profilazione e pubblicità mirata.

Le conseguenze ricadono sull'organizzazione che deteneva i dati e sulle persone che identifica.

Costi di risoluzione e operativi

Le sanzioni civili HIPAA partono da $145 per violazione e aumentano con la colpevolezza, con un minimo di $73.011 per negligenza volontaria non corretta, secondo l'adeguamento all'inflazione di gennaio 2026.

Ai sensi dell'Articolo 83 del GDPR, le multe possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo mondiale totale, a seconda di quale sia maggiore. Il CCPA consente multe amministrative fino a 2.663 $ per violazione e 7.988 $ per violazione intenzionale, come stabilito nell'adeguamento del 2025.

Facebook ha dichiarato di aver potenzialmente condiviso impropriamente informazioni su fino a 87 milioni di persone con Cambridge Analytica. Nel 2019, la FTC ha imposto una penale di 5 miliardi di dollari a Facebook, la più grande mai inflitta a una società per violazione della privacy dei consumatori.

I risarcimenti possono arrivare a centinaia di milioni di dollari, come è successo per Equifax. Secondo la CCPA, i consumatori possono fare causa per alcune violazioni dei dati e ottenere danni legali da 107 a 799 dollari per consumatore e per incidente, o danni effettivi se maggiori.

Perdita di fiducia pubblica e valore di mercato

Furto d'identità e frode finanziaria

Il Cost of a Data Breach Report 2026 di IBM indica che il costo medio globale di una violazione ha raggiunto un record di 4,99 milioni di dollari. La guida del NIST elenca i costi di rimedio, l'onere amministrativo e le perdite finanziarie tra i danni che un'organizzazione può subire.

NIST elenca la perdita di fiducia pubblica e la responsabilità legale tra i danni organizzativi. Dopo che Equifax ha annunciato la violazione, il prezzo delle sue azioni è sceso del 35% nella prima settimana, cancellando 6 miliardi di dollari di valore di mercato, secondo il rapporto del Comitato di Sorveglianza della Camera.

Ricatto e altri danni alle persone

Secondo la FTC, i ladri possono usare informazioni personali rubate per ottenere nuove carte di credito a nome della vittima, richiedere prestiti, presentare dichiarazioni fiscali fraudolente per ottenere rimborsi e ricevere cure mediche o benefici Medicare. NIST indica il furto d'identità come il primo tra i danni alle persone.

Come proteggere i dati personali identificabili

NIST raccomanda un approccio basato sul rischio, quindi ogni controllo sottostante dovrebbe essere collegato a un repository specifico e al livello di impatto delle PII che contiene.

NIST elenca il ricatto, l’imbarazzo, il danno fisico, la discriminazione e il disagio emotivo tra i potenziali danni di una violazione di PII. Esporre dettagli sensibili può quindi causare danni ben oltre la perdita finanziaria.

Scopri e classifica PII

Non puoi proteggere la PII che non conosci, quindi inizia facendo l'inventario di dove viene archiviata, elaborata e trasmessa. Includi condivisioni di file, database, app cloud, backup e i fogli di calcolo che le persone esportano da essi.

Limita chi può accedere a PII

Raccogli meno ed elimina secondo il programma

Quindi classifica i dati in base al danno che la loro esposizione potrebbe causare, che NIST chiama livello di impatto sulla riservatezza, quindi una tabella di numeri di previdenza sociale riceve protezioni più forti rispetto a una rubrica del personale. Ripeti l'inventario periodicamente, perché copie ed esportazioni diffondono la PII più velocemente di quanto un audit singolo possa tracciarla.

Ogni campo che raccogli è un campo che devi proteggere, quindi chiedi quale decisione supporta ciascuno e smetti di raccogliere quelli che non supportano nessuna. Imposta un periodo di conservazione per ogni categoria di PII ed esegui la cancellazione come lavoro programmato invece che come progetto di pulizia occasionale.

Assegna l'accesso tramite gruppi basati sui ruoli invece che a singoli individui, così una modifica del ruolo aggiorna l'accesso in un unico punto. Quando possibile, consenti agli utenti di accedere a PII tramite un'applicazione che limita quali record e campi vedono, tenendoli lontani dai database e file grezzi che la contengono.

Concedi a ogni persona solo l'accesso necessario al suo ruolo, secondo il principio del minimo privilegio, e rivedilo periodicamente. L'accesso corretto all'assunzione si accumula in accesso errato dopo due ruoli.

Cripta e monitora i dati PII

Applicare le patch ai sistemi tempestivamente

I dati inutilizzati sono comunque considerati esposti in caso di violazione. Conservare meno dati riduce sia la probabilità che l'entità del danno, rendendo la minimizzazione una parte fondamentale della gestione del ciclo di vita dei dati.

Avvisa su schemi come un account che legge molti più file del solito o PII che finisce su supporti rimovibili, e indaga ogni avviso prima che i dati escano.Il monitoraggio degli accessi ai file fornisce tale registro per le condivisioni di file.

Cripta le PII a riposo su server, laptop e backup, e in transito tra sistemi, così un disco rubato o una connessione intercettata non restituiscono dati leggibili. La crittografia non impedisce a un account autorizzato di leggere i dati, quindi abbinala al monitoraggio di chi apre, copia e sposta la PII.

Forma il personale prima che ottenga l'accesso

La patch protegge i dati PII solo se sai cosa esegui e puoi confermare che ogni correzione è stata applicata. Tieni un inventario del software esposto a internet, inclusi framework open-source e librerie all’interno delle tue applicazioni, perché non puoi programmare una patch per un componente che non conosci.

Fissa le scadenze in base alla gravità e se gli aggressori stanno già sfruttando la vulnerabilità, con i tempi più brevi per questi ultimi. CISA afferma che le organizzazioni dovrebbero usare il suo Known Exploited Vulnerabilities catalog come input per tale prioritizzazione.

Rendi la formazione una condizione per l’accesso invece che un compito del primo mese, collegandone il completamento al passaggio che concede l’accesso ai sistemi che contengono PII. Copri cosa fanno le persone con la PII nel loro lavoro, incluso come riconoscerla, dove può essere archiviata e condivisa, come smaltirla, qual è il programma di conservazione e quali sanzioni si applicano in caso di uso improprio.

Prepara un piano di risposta agli incidenti

Quindi verifica con una scansione e controlla anche la scansione. Dopo l’allerta Struts, la scansione dei componenti open-source di Equifax ha perso la versione vulnerabile perché è stata eseguita sulla directory root invece che sulla sottodirectory dove era elencato Struts, e un secondo scanner ha controllato 958 indirizzi IP esterni senza trovare nulla.

Cause legali e accordi

Una violazione di PII aggiunge decisioni che un piano standard per incidenti di sicurezza salta, e devi prenderle prima di un incidente. Decidi chi può dichiarare una violazione di PII, chi fa parte del team di risposta e chi parla con i regolatori, le persone coinvolte e la stampa.

Aggiungi formazione basata sui ruoli per le persone che gestiscono le PII più sensibili, come i team di HR, payroll e supporto che vedono i record dei clienti. Insegna loro a riconoscere un incidente PII e dove segnalarlo a qualsiasi ora, e aggiorna la formazione secondo un programma prestabilito usando truffe attuali e violazioni recenti come esempi.

Fornisci al personale un unico canale di segnalazione attivo a qualsiasi ora e raccogli sempre le stesse informazioni, inclusi cosa è stato perso, da quale sistema e supporto di memorizzazione, quante persone sono coinvolte e se le forze dell’ordine sono state contattate.

Le pratiche di base di CISA si applicano anche agli individui.

Proteggi i tuoi dati PII

• Usa password forti e uniche e conservale in un gestore di password.

Conserva le prove prima di eliminare le PII dai supporti, perché NIST consiglia di non sanificarle finché non hai deciso se conservarle come prova. Metti alla prova il piano con un esercizio simulato di violazione, quindi aggiornalo con ogni lezione appresa.

• Attiva l'autenticazione multifattoriale (MFA) ovunque sia disponibile.

Pianifica la notifica in anticipo, includendo se è obbligatoria, quanto presto, chi la invia, cosa dice e se offrire assistenza come il monitoraggio del credito. Ai sensi di GDPR Article 33, un titolare deve notificare l'autorità di controllo entro 72 ore dalla scoperta di una violazione, se possibile, così che tali decisioni non possano aspettare dopo l'incidente.

• Riconosci e segnala il phishing prima di condividere informazioni personali.
• Installa gli aggiornamenti software tempestivamente.

Come Netwrix aiuta a proteggere la PII

Trova PII su file server, SharePoint e database

I prodotti Netwrix gestiscono quattro attività PII: individuarli, mappare le normative, verificare chi può accedervi e bloccarli all'endpoint.

Mappa i PII classificati a GDPR, HIPAA e PCI DSS

Netwrix Access Analyzer esegue la scansione di file server, SharePoint, database e Amazon S3 per PII, PHI e dati delle carte di pagamento, utilizzando regole basate su modelli e contesto oltre a regole personalizzate per dati specifici dell'organizzazione.

Verifica chi può aprire PII e chi ne è il proprietario

Il rilevamento PII basato su regole corrisponde a modelli predefiniti in dati strutturati e non strutturati, e Access Analyzer aggiunge contesto a tali modelli. I team possono regolare le regole di classificazione in modi diversi per identificare i dati sensibili con maggiore precisione.

Presso Forreston State Bank, Auditor mantiene la banca costantemente conforme ai requisiti del Federal Financial Institutions Examination Council (FFIEC) e GLBA, risparmiando 8 ore a settimana nella preparazione delle verifiche.

Blocca l'uscita di PII tramite USB e caricamenti web

Access Analyzer mappa i dati PII classificati a GDPR, HIPAA, PCI DSS e altri framework.Netwrix Auditor monitora l'attività e include mappature di conformità predefinite per GDPR, HIPAA, PCI DSS, SOX e la Cybersecurity Maturity Model Certification (CMMC).

Inizia con le PII che causerebbero più danni

Access Analyzer analizza i permessi, identifica i dati sovraesposti, determina i proprietari dei dati e supporta i flussi di lavoro per la revisione dei diritti di accesso. Il suo Effective Access Report calcola l’accesso effettivo dalla membership di gruppo, inclusi i gruppi nidificati, e segnala gli account trustee obsoleti.

Netwrix Endpoint Protector applica politiche di prevenzione della perdita di dati consapevoli del contenuto all'endpoint. Controlla i dispositivi di archiviazione USB, monitora i trasferimenti del browser e blocca il caricamento di dati sensibili su archiviazione cloud e strumenti di IA come ChatGPT e Microsoft Copilot.

Le linee guida del NIST stabiliscono un ordine di lavoro chiaro. Identificare tutti i PII nell'ambiente, valutare ogni repository in base al danno che la sua esposizione potrebbe causare e applicare le salvaguardie più rigorose dove la valutazione è più alta. Poiché i fallimenti di accesso causano la maggior parte delle esposizioni, restringere prima chi può accedere a quei repository.

I team che considerano ogni nuova combinazione come un evento di riclassificazione mantengono i loro controlli allineati ai dati in loro possesso.

Le valutazioni cambiano nel tempo perché NIST chiede alle organizzazioni di valutare la sensibilità dei campi PII in combinazione. Un set di dati che sembrava a basso impatto da solo necessita di una nuova valutazione nel momento in cui viene unito a un altro, come quando un codice postale si unisce a una data di nascita.

Richiedi una demo per vedere come Netwrix Access Analyzer trova PII in condivisioni di file, SharePoint e database e mostra chi può accedervi.