Informações pessoalmente identificáveis: definição e exemplos

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number,r and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

What Is Considered Personally Identifiable Information?

Information qualifies as PII when it meets either of the following conditions:

• Unique identification of an individual — The information can directly pinpoint an individual, as would be true for a Social Security number or email address.
• Linkability — The information, when combined with other accessible data, can reasonably identify an individual, such as combining zip code, birth date, and gender.

Context is critical when assessing whether information is PII:

• Data aggregation — Information that is not PII in isolation may become PII when combined with other datasets. For example, an IP address alone may not be PII, but when associated with a user account, it becomes PII.
• Purpose and access — Who has access to the data and how they intend to use it plays a role. For example, the location data of a person in a sensitive profession (such as law enforcement) may be considered PII.
• De-identification and re-identification risk — Even de-identified data can sometimes be re-identified using additional data sources, thus potentially regaining its status as PII.

Types of Personally Identifiable Information

PII can be broadly classified into two main categories based on the degree of identifiability: direct identifiers and indirect (or quasi-) identifiers.

Direct Identifiers

These are pieces of information that can directly and uniquely identify an individual without the need for additional data. Direct identifiers include:

• Full legal name, such as John A. Smith
• Social Security number (SSN)
• Passport number
• Driver’s license or state ID number
• Personal phone number
• Personal email address
• Biometric data (e.g., fingerprints, retina scans, facial recognition data)
• Credit card or bank account numbers
• Full-face photographs

Indirect (Quasi-) Identifiers

These pieces of information do not directly identify a person but can do so when combined with other data. Here are some common types of indirect identifiers with examples:

• Demographic info: Date of birth, gender, ethnicity, age or marital status
• Geographic info: Postal address, zip code, city of birth or travel history
• Educational history: School name or degree attained
• Employment data: Job title, company, office location
• Device information: IP address, MAC address, device ID (depending on context and jurisdiction)
• Behavioral info: Purchase history, browsing habits

Emerging Types of PII

With advances in technology, newer types of information are increasingly considered PII:

• Digital identifiers: Advertising IDs, MAC address
• Behavioral data: Browsing history, search queries
• Genetic information: DNA profiles

Sensitive vs. Non-Sensitive PII

PII can be sensitive or non-sensitive.

Sensitive PII

Sensitive PII is information that, if disclosed or compromised, could cause significant harm, embarrassment, financial loss or legal liability to an individual. Examples include:

• Social Security numbers
• Passport and driver’s license numbers
• Bank account and credit card details
• Medical records (also considered PHI), such as a diagnosis of diabetes in a healthcare system
• Legal records (criminal history, immigration status)
• Biometric data (fingerprints, retina scans)
• Full-face photographs (in certain contexts)
• Location data (GPS coordinates, real-time tracking)

Non-Sensitive PII

Non-sensitive PII is information that is generally publicly available or unlikely to cause serious harm if disclosed. Examples are:

• Full name (without other identifiers)
• Business contact information (work phone, company email)
• Job title or company affiliation
• General demographic data (race, gender when not combined with other identifiers)

Non-sensitive PII has a low standalone risk but can contribute to risk when combined with other data sets (data aggregation).

How Organizations Treat Sensitive PII and Non-Sensitive PII Differently

Examples of Personally Identifiable Information

Common examples used in identity verification

Industry-specific instances (e.g., healthcare, finance)

Myths about what is or isn’t PII

What Is Not PII?

Not all data is considered PII. Non-PII refers to information that cannot be used on its own to identify a specific individual. However, in some cases, non-PII can become PII when combined with other data points.

Personal Data vs. PII

• PII is data that can uniquely identify an individual. This term is used mainly in US legal and cybersecurity contexts (e.g., NIST, HIPAA).
• Personal data is broader than PII. Under laws like GDPR, it includes any information related to an identifiable person, even indirectly (for example, device ID, IP address).

Examples of Non-PII

The following are typically not PII — unless they are linked to other identifying data:

• Browser type or device model
• Zip code (if not specific enough to identify a household)
• Age range
• Gender
• Anonymous survey responses
• Anonymized data
• Aggregated analytics data
• Randomly generated user IDs that are not traceable back to a person

When Non-PII Becomes PII

Non-PII can turn into PII when:

• It is linked with other data. For example, zip code + birth date + gender can often uniquely identify an individual.
• Re-identification is possible. If anonymized data can be de-anonymized using external information (like social media or public records), it is no longer non-PII.
• Data correlation occurs. Behavioral data (like clickstreams) may seem anonymous but can be analyzed to identify specific users.

How PII Is Collected and Stored

Organizations must manage PII responsibly to protect individuals and comply with regulations like GDPR, CCPA and HIPAA.

PII Collection Methods

Where PII Is Stored

Most modern organizations store PII in cloud environments, such as AWS, Microsoft Entra, Google Cloud (public, private, or hybrid). PII is also often stored in SaaS platforms (CRMs, HRIS, ERPs).

However, some enterprises still use local servers and databases for sensitive workloads, as well as hybrid systems that combine local and cloud storage.

Regardless of location, PII must be encrypted (at rest and in transit), backed up securely, and audited regularly.

Consent and Transparency in PII Collection

User Consent

Laws like GDPR and CCPA require explicit, informed consent before collecting personal data. This means:

• Users must opt-in (not pre-checked boxes).
• Consent must be freely given, specific, informed and unambiguous.
• Consent withdrawal must be just as easy.

Transparency Requirements

Organizations must provide:

• Clear privacy policies on what data is collected, how it is used, how long it will be retained and any third-party sharing
• Notices at point of collection, such as cookie banners or inline disclaimers
• Easy ways for users to view, correct and delete their data

How PII Gets Compromised

PII is a prime target for cybercriminals because it can be used for financial fraud, identity theft and corporate espionage. Understanding the common ways PII is compromised helps organizations and individuals better protect it.

Common Threat Vectors

Attackers often gain access to PII using:

• Phishing — Fake emails or websites trick users into revealing login credentials or personal details. They are often disguised as legitimate communication from banks, employers, or service providers.
• Malware — Malicious software (e.g., keyloggers, spyware, ransomware) installed on a device can capture keystrokes, exfiltrate stored credentials or files, and open backdoors for future access.
• Social engineering —Attackers manipulate people by impersonating IT staff, using information from social media to gain trust, and convincing employees to grant system access or bypass protocols.
• Weak security practices — Adversaries can also gain access to PII by exploiting to poor password hygiene, unpatched or outdated software, insecure APIs or third-party services and misconfigured cloud storage (for example, open S3 buckets).

Data Breaches & Real-World Incidents

Data breaches occur when unauthorized individuals gain access to PII. The consequences can be severe for both the organization that was breached and the individuals who data was compromised.

Here are a few high-profile incidents:

• Equifax (2017) — This attack affected 147 million people, exposing their Social Security numbers, birth dates and more.
• Facebook (2019) — 540 million user records were exposed through third-party apps stored in unsecured cloud databases.
• Marriott (2018–2020) — Hackers stole data from 500 million guests, including passport numbers and booking details.

How Attackers Exploit Stolen PII

Stolen PII has immense black-market value and can be exploited in multiple ways. Even a small amount of PII (such as name, date of birth or Social Security number) is often enough to commit these acts.

Identity Theft & Fraud

Stolen PII enables attackers to impersonate victims and perform fraudulent actions such as:

• Opening credit cards or bank accounts
• Taking out loans
• Making unauthorized purchases
• Filing false tax returns to collect refunds

Credential Stuffing & Account Takeover

If the stolen PII includes usernames and passwords, attackers can run automated scripts to test these credentials across multiple platforms (banks, email, e-commerce). Due to password reuse, this often results in full account takeovers, granting access to sensitive data and stored funds.

Spear Phishing and Social Engineering

Having detailed PII about an individual enables attackers to target them more effectively in the future. With accurate details about things like the person’s employer or recent purchases), they can pretend to be a trusted contact or service provider and trick the victim into revealing more information or making financial transactions.

Medical and Insurance Fraud

Stolen health records or insurance information can be used to:

• File false medical claims
• Receive unauthorized treatments or prescriptions
• Steal someone’s medical identity, which can lead to dangerous errors in patient care

Blackmail or Extortion

Highly sensitive PII (such as private messages or health history) may be used to threaten public exposure unless a ransom is paid, as well as to target individuals in reputation-damaging campaigns.

Dark Web Sales and Data Resale

Sometimes, attackers sell the PII instead of using it themselves. “Fullz” packages (full identity profiles) can be sold for high prices, and health records, passports and credit card data fetch premium value on dark web marketplaces.

Long-Term Impact

Unlike a stolen credit card, PII cannot always be easily replaced. Victims may face:

• Years of monitoring and legal disputes
• Repeated targeting due to data circulation among criminals
• Difficulty securing credit or jobs due to compromised records

Regulations Governing Personally Identifiable Information

Let’s have a quick look at the regulations governing PII, covering US laws, international frameworks, and differences in global definitions and protections.

US Laws

International Frameworks

Differences in PII Definitions and Protections by Country or Region

Protecting Personally Identifiable Information

Protecting PII is crucial in today’s digital age due to increasing threats from data breaches, identity theft and cyberattacks.

Best Practices for Individuals

Corporate Data Handling Protocols

Reducing the Attack Surface

Consequences of Mishandling PII

Mishandling PII can lead to serious consequences for both organizations and individuals.

Consequences for Organizations that Mishandle PII

Fines and Regulatory Sanctions

Organizations that fail to comply with data protection laws may face substantial fines. Here are some examples:

• GDPR (EU) — Fines up to €20 million or 4% of global annual turnover (whichever is higher). Examples include British Airways (£20M fine) and Marriott International (£18.4M fine).
• CCPA (California) — Civil penalties of up to $2,500 per unintentional violation and $7,500 per intentional violation. Private right of action allows consumers to sue for data breaches.
• HIPAA (US healthcare sector) — Fines range from $100 to $50,000 per violation, up to $1.5 million annually per violation type.

Class Action Lawsuits and Settlements

Victims of data breaches often initiate class actions, where settlements can cost millions in payouts, legal fees and operational changes.

Remediation Costs

Post-breach expenses include incident response, forensics, public relations, customer notification and credit monitoring. According to the IBM Cost of a Data Breach Report 2024, the average cost of a breach is $4.45 million.

Reputation Damage and Loss of Customer Trust

• Brand erosion — News of a breach spreads quickly, damaging the company’s public image. In such a situation, loss of goodwill can take years to rebuild or simply be irreversible.
• Customer attrition — Customers may switch to competitors perceived as more secure. Businesses in industries like finance, healthcare, or e-commerce are especially vulnerable to churn.
• Loss of competitive advantage — Breached organizations may lose trade secrets, proprietary information or face disrupted operations.
• Decline in market value — Publicly traded companies often experience stock price drops following breach announcements. Shareholder lawsuits may follow, especially if negligence is involved.

Consequences for Individuals Whose PII Is Mishandled

• Identity theft — Criminals can use stolen PII to open bank accounts, take out loans or file fraudulent tax returns.
• Financial fraud — Stolen credit card and banking details can result in unauthorized transactions, loss of funds and damaged credit scores.
• Emotional and psychological distress — Victims may suffer from anxiety, stress and fear of further victimization. Moreover, rebuilding identity can be a lengthy, frustrating and intrusive process.
• Targeted scams and phishing — Leaked information can be used in highly personalized scams that are difficult to detect.
• Employment or social impact — Exposure of sensitive personal details can lead to professional embarrassment or social stigmatization.

Case Studies: Major PII Breaches

Equifax Breach (2017)

Equifax, one of the largest credit reporting agencies in the US, suffered a major cybersecurity incident that exposed the sensitive personal information of some 147.9 million people in the US — nearly half of the country’s population. It also affected people in Canada and the United Kingdom. The incident stands out as one of the largest breaches of sensitive data in history.

The breach occurred between May 13 and July 30, 2017. It went undetected for 76 days, allowing attackers to exfiltrate massive amounts of data. Equifax publicly disclosed it on September 7, 2017. The attackers exploited a vulnerability (CVE-2017-5638) in Apache Struts, an open-source web application framework. This vulnerability had been publicly disclosed and patched in March 2017, but Equifax did not apply the patch in time. Later reports indicated that some systems lacked proper encryption and security protocols.

Compromised data included names, Social Security numbers, birth dates, addresses, credit card information (for around 209,000 people), and dispute documents containing personal information (for 182,000 individuals). Overall, the breach posed a significant risk of identity theft and fraud.

Reputational damage aside, Equifax incurred $1.4 billion in costs related to the breach, including legal settlements, customer support and security improvements. The settlement also included free credit monitoring and identity theft protection for affected individuals. Equifax had to invest in overhauling its cybersecurity infrastructure, implementing stronger encryption, multifactor authentication and real-time threat monitoring. On the legal front, Equifax faced several lawsuits and investigations from regulators and private entities.

Facebook-Cambridge Analytica Scandal

The Facebook–Cambridge Analytica scandal came to light in early 2018, when it was revealed that the personal data of millions of Facebook users had been harvested without consent and used for political advertising purposes. The core of the issue revolved around a third-party app that collected data through a seemingly innocuous personality quiz. While only about 270,000 users directly interacted with the app, Facebook’s API at the time allowed the app to access not just their data but also the data of their friends — ultimately compromising the information of over 87 million users. This data was then passed on to Cambridge Analytica, a political consulting firm that used the profiles to build psychographic models and target users with highly personalized political messages, particularly during the 2016 US presidential election and the Brexit campaign.

Facebook faced intense scrutiny from governments and regulators worldwide, leading to CEO Mark Zuckerberg testifying before the US Congress and the European Parliament. The company’s stock value dropped significantly and its reputation suffered substantial damage. Regulatory consequences followed, including a $5 billion fine from the US Federal Trade Commission (FTC) in 2019 — the largest ever imposed for a privacy violation at that time.

Lessons Learned from High-Profile Incidents

Here are the key lessons learned from high-profile data privacy incidents such as the Equifax breach and the Facebook–Cambridge Analytica scandal:

• Prioritize data security and patch management. Organizations must maintain an up-to-date vulnerability management program and automate patch deployment wherever possible.
• Transparent and timely communication is crucial. Having a well-prepared incident response and communication plan helps maintain trust and ensures regulatory compliance during crises.
• Know what data you have — and why. Adopt data minimization and retention principles. Collect only what’s necessary, and clearly define the purpose and legal basis for doing so.
• Strengthen access controls and internal oversight. Implement role-based access controls (RBAC), enforce the principle of least privilege and monitor data access in real time.
• User consent must be informed and granular. Ensure clear, specific opt-in consent for data collection and sharing. Avoid using obscure terms buried in privacy policies.
• Regulatory compliance isn’t optional. Violations of GDPR, CCPA and other data protection laws can lead to massive fines and lawsuits. Treat privacy compliance as a core business function, not a checkbox exercise. Engage privacy officers, legal counsel and IT in data strategy development.
• Regularly test and audit systems. Many organizations discover weaknesses only after an incident occurs. It is a best practice to conduct routine security audits, penetration tests and risk assessments to identify vulnerabilities before attackers do.
• Trust is fragile and must be earned continuously. Once lost, trust — whether from customers, partners or regulators — is extremely hard to regain. Demonstrate privacy by design, transparency and ethical data use to build long-term credibility.
• Invest in privacy education and culture. Human error remains a significant factor in data mishandling. Take steps to foster a privacy-first culture through regular training, awareness programs and leadership engagement.

PII in the Workplace and Vendor Agreements

Here’s a detailed guide on managing PII in the workplace and in vendor agreements, with emphasis on identifying PII during third-party negotiations, employee responsibilities and vendor risk management.

Identifying PII During Third-Party Negotiations

Vendor Risk Assessment and Compliance Protocols

PII vs. PHI: What’s the Difference?

PII and protected health information (PHI) are both foundational concepts in data privacy and security. The following will help you distinguish between the two.

Personally Identifiable Information

PII is any information that can be used to identify, contact or locate a specific individual, either directly or indirectly, such as full name, Social Security number, email address, phone number, passport number or driver’s license number. PII applies broadly across sectors, such as finance, education and retail.

Protected Health Information

PHI is a subset of PII that specifically relates to an individual’s health status, medical care or payment for health services. PHI is defined and regulated under HIPAA in the United States. Examples of PHI include:

• Medical records
• Lab results
• Insurance information
• Doctor’s notes
• Appointment schedules

PII and PHI Overlap

PHI is a subset of PII, but not all PII is PHI. For example a name is PII, but a name combined with a medical diagnosis or insurance number becomes PHI.

Legal Distinctions

Use Cases Where Both Types Apply

• A telemedicine app that stores user names and email addresses (PII) as well as appointment records and prescriptions (PHI)
• A health insurance portal that collects login credentials and contact info (PII) as well as claim history and treatment details (PHI)
• An employee wellness program that gathers demographic data for incentive tracking (PII) along with health risk assessments and lab results (PHI)
• Research studies and clinical trials that use consent forms and contact info (PII) as well as health data from patient interviews and testing (PHI)

Future of PII: Trends and Emerging Challenges

Here are some trends and challenges regarding PII to watch for.

Impact of AI and Big Data

AI and big data analytics are transforming PII management but also amplifying risks. Key concerns include:

• Exploding data volumes — AI systems feed on massive datasets, often containing sensitive personal data. Even anonymized data can be re-identified with enough auxiliary information.
• Profiling & inferences — AI can infer sensitive information (for example, political views, health status) from seemingly innocuous data, creating new categories of “derived PII.”
• Automated decision-making — AI models influence important decisions in areas like employment, lending and healthcare. Concerns include fairness and explainability.
• Data minimization challenges — AI thrives on large datasets, which contradicts the principle of collecting only necessary data.

Core challenges will be balancing innovation with privacy, and ensuring proper oversight in AI-driven decisions involving PII

Rise of Biometric Identifiers

Biometric data — facial recognition, iris scans, fingerprints, voice prints, DNA — is increasingly used for authentication, surveillance and personalization. For example, this data is being used in smartphone security, airport clearance, workplace access and healthcare.

Risks include:

• Irrevocability — Unlike passwords, you can’t change your face or fingerprints if they are compromised.
• Mass surveillance — Government and corporate use of facial recognition has triggered civil liberties concerns.
• Data breaches — Biometric databases are prime targets due to the high value and permanence of the data.

A key challenge will be creating legal and technical safeguards for the ethical use and storage of biometrics.

Calls for Unified Global Privacy Frameworks

Many countries (as well as individual US states) are developing their own privacy laws, which increases complexity:

• Inconsistent laws hinder international data transfers and global business.
• Multinational companies face costly, redundant compliance efforts.

Efforts are underway to draft frameworks that address these concerns. They include:

• OECD and ISO efforts toward standardization
• Proposed UN conventions on digital privacy
• Discussions around a “Global Privacy Accord” or international data protection treaty

The challenge will be aligning privacy rights and enforcement mechanisms globally while respecting national sovereignty and cultural differences.

Looking Ahead

Key Emerging Trends

• Privacy by design — Integrating privacy into product development from the ground up
• Zero-Trust architectures —Moving beyond perimeter security to identity-centric models
• Synthetic data — Using AI-generated datasets to train models without using real PII
• Decentralized identity (DID) — Empowering users with control over their identity using blockchain or similar tech

Key Challenges

• Maintaining trust in a hyper-connected world
• Balancing innovation with individual rights
• Preventing surveillance capitalism and digital authoritarianism

About Netwrix Data Classification

Identifying and safeguarding PII is essential to avoid costly breaches and ensure compliance with strict data security regulations like GDPR and HIPAA. However, PII is often dispersed across various data environments, making manual identification both difficult and error-prone.

Netwrix Data Classification empowers organizations to accurately identify, categorize and secure sensitive data, including PII. This process helps them reduce data-related risks, ensure compliance and improve operational efficiency. Key capabilities related to PII include:

• Automated discovery — Uses predefined and customizable rules to detect various types of PII across on-premises file shares, SharePoint, cloud storage and more.
• Data categorization —Tags files based on sensitivity and content type (for example, financial data, health data), which helps prioritize protection efforts based on risk.
• Regulatory mapping —Supports compliance with regulations like GDPR, CCPA and HIPAA by mapping PII to legal requirements and streamlining audits and reporting.
• Risk mitigation — Identifies overexposed or mismanaged PII (for example, data stored in public folders or shared widely), and supports remediation by integrating with Netwrix Auditor and other DLP/IRM solutions.
• Process of data subject access requests (DSARs) — Accelerates DSAR handling by quickly locating all PII associated with an individual across repositories.

FAQ

What is the best definition of personally identifiable information (PII)?

PII is data that can reveal an individual’s identity. The following definition is widely accepted by privacy frameworks such as the US National Institute of Standards and Technology (NIST) and international regulations like GDPR and CCPA, though the specific terminology may vary slightly:

Any information that can be used to identify, contact, or locate a single individual, either directly or indirectly.

What are some examples of PII?

Some common examples of PII are:

• Full Name: Jane Smith, Ahmed Khan
• Government IDs: Social Security Number (SSN), passport number, driver’s license scan
• Contact details: Email address, phone number, mailing address
• Biometric data: Fingerprints, facial recognition, retina scans
• Financial info: Credit card number, bank account details
• Digital identifiers: National ID, taxpayer ID number, student ID

What are the two types of PII?

• Direct identifiers can uniquely identify an individual on their own. Examples include full name, passport number, phone number and credit card number.
• Indirect identifiers do not identify an individual when used alone but can when combined with other data. Examples of indirect identifiers include demographic info, employment data and device info.

See the Types of Personally Identifiable Information section for details.

What laws protect PII?

Regulations that protect PII vary by country and industry, but they all share the goal of ensuring that individuals have control over their personal data, and that organizations handle PII responsibly. Here are some of the most well-known laws.

See the Regulations Governing Personally Identifiable Information section for details.

Can non-sensitive data become PII?

Yes, non-sensitive data can become PII when it is combined with other data in a way that allows an individual to be identified, located or contacted. For example, a zip code alone is not PII, but combining it with date of birth and gender could uniquely identify a person.

Understanding Personally Identifiable Information (PII)

Personally identifiable information (PII) is any data that can be used on its own or in combination with other information to identify, contact, or locate an individual. Examples of PII include full name, Social Security number, passport number, driver’s license number, and biometric data.

The term “personally identifiable information” gained prominence in the United States in the 1970s, as governments and organizations recognized the risks of unauthorized data use. One of the landmark moments was the 1973 report by the US Department of Health, Education, and Welfare, which outlined principles for fair information practices (FIPPs). This laid the foundation for data privacy regulation and the conceptual framework for what became known as PII.

As technology evolved, the scope of PII expanded:

• 1980 — The OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data formally addressed PII in an international context.
• 2000s — The rise of the internet and e-commerce highlighted the risks of online data exposure.
• 2010s and beyond — Regulations such as the General Data Protection Regulation (GDPR) in the EU and the California Consumer Privacy Act (CCPA) in the US redefined and broadened the understanding of what constitutes PII.
• Today — PII encompasses not just static identifiers but also dynamic data like online behavior, geolocation and device identifiers.

PII is critically important as it underpins privacy, security and trust in an increasingly connected world. The widespread collection and processing of personal data by businesses, governments and online platforms heighten the risks of identity theft, fraud and data breaches. Strong protection of PII is essential not only for regulatory compliance with laws like GDPR and CCPA but also for maintaining customer trust and safeguarding individual rights in an era of rapid technological advancement.

O que é informação pessoal identificável?

Saber o que conta como PII é o primeiro passo para controlar esse acesso, e a resposta depende do contexto, pois um código postal e uma data de nascimento podem parecer inofensivos isoladamente, mas juntos indicam uma pessoa.

PII, abreviação de informações pessoalmente identificáveis, é qualquer informação que pode distinguir ou rastrear a identidade de uma pessoa específica, sozinha ou combinada com outras informações vinculadas ou vinculáveis a essa pessoa.

As leis de privacidade de dados definem os limites em diferentes locais, de modo que um conjunto de dados pode estar sob um regime e ser isento sob outro.

A maioria das exposições de informações pessoais identificáveis (PII) começa com o acesso, pois 75% das exposições de dados sensíveis têm início em identidades comprometidas ou permissões mal configuradas, segundo o Netwrix 2026 Data and Identity Security Report.

Informações vinculadas e vinculáveis

Um único sistema geralmente contém os três. Por exemplo, um aplicativo de telemedicina armazena nomes e e-mails (PII) ao lado de registros de consultas e prescrições (PHI), e os dados de qualquer usuário da UE nele também são dados pessoais sob o GDPR.

Um nome, um número de Social Security ou um registro biométrico podem identificar uma pessoa sozinhos, enquanto uma data de nascimento ou um código postal identificam uma pessoa apenas quando combinados com outros dados. Como a identificabilidade depende do conjunto de dados ao redor, o mesmo campo pode ser PII em um contexto e inofensivo em outro.

O Escritório de Gestão e Orçamento dos EUA usou esta definição em um memorando de 2007, e o National Institute of Standards and Technology (NIST) a mantém em SP 800-122, seu guia para proteger a PII.

SP 800-122 define PII em duas partes, sendo que a primeira abrange informações que podem distinguir ou rastrear uma identidade, como nome, número de Seguro Social ou registro biométrico. A segunda abrange qualquer outra informação vinculada ou vinculável a um indivíduo, como informações médicas, educacionais, financeiras e de emprego.

Dados não PII e quando se tornam PII

O guia também relaciona o rótulo à facilidade com que os dados identificam alguém. Nomes, impressões digitais e números de Seguro Social identificam indivíduos de forma única e direta, enquanto códigos postais e datas de nascimento podem identificar indivíduos indiretamente ou ajudar a restringir grandes conjuntos de dados.

A informação deixa de ser PII quando não pode mais distinguir ou rastrear um indivíduo, sozinha ou combinada com outras informações. O NIST define informação anonimizada como informação previamente identificável que foi desidentificada e para a qual não resta nenhum código ou outra associação para reidentificação.

O contexto muda as apostas, como mostra o próprio exemplo do NIST ao comparar duas listas com os mesmos campos, como nome, endereço e número de telefone. Uma lista contém assinantes da newsletter e a outra pessoas que trabalham disfarçadas na polícia, então uma violação de cada uma tem consequências muito diferentes para os indivíduos e para a organização.

A anonimização tem limites, pois o NIST observa que informações desidentificadas podem ser reidentificadas. Combinar conjuntos de dados também pode desfazê-la, já que um código postal e uma data de nascimento que parecem inofensivos em sistemas separados podem identificar uma pessoa quando combinados.

PII, dados pessoais e PHI comparados

Em 1980, a Organization for Economic Co-operation and Development adotou diretrizes para proteger a privacidade e os fluxos transfronteiriços de personal data, usando o termo mais amplo personal data.

O termo informações pessoalmente identificáveis aparece nas orientações federais desde 2007, no memorando citado acima e no NIST SP 800-122, publicado em abril de 2010.

Exemplos e tipos de PII

PHI é informação de saúde identificável individualmente sobre o estado de saúde, cuidados ou pagamento por cuidados de uma pessoa, mantida por uma entidade coberta ou seu associado comercial, e é regulada pela HIPAA. Um nome sozinho é PII, mas um nome combinado com um diagnóstico ou número de seguro é PHI quando mantido por uma entidade coberta ou associado comercial.

De acordo com o GDPR, dados pessoais abrangem qualquer informação relacionada a uma pessoa identificada ou identificável, e o Artigo 4(1) lista identificadores online entre aqueles que podem tornar uma pessoa identificável. Portanto, um conjunto de dados que passa em um teste restrito de PII dos EUA ainda pode ser considerado dados pessoais regulados na UE.

PII é o termo dos EUA, e sua história explica por que as três definições diferem. O relatório de 1973 do Departamento de Saúde, Educação e Bem-Estar dos EUA, Records, Computers, and the Rights of Citizens, propôs um código de práticas justas de informação, e o Congresso o usou para redigir o Privacy Act of 1974.

Cinco exemplos comuns de PII são nome completo, número de Seguro Social, número de passaporte, número da carteira de motorista e dados biométricos como impressões digitais, todos presentes nos próprios exemplos do NIST.

Cada campo na tabela é classificado de acordo com a forma como identifica uma pessoa e o quanto a sua exposição pode causar de dano, e as classificações variam conforme a organização e jurisdição.

Identificadores diretos e indiretos

Um número de Seguro Social é considerado PII mesmo sem nome porque o NIST diz que identifica indivíduos de forma única e direta, tornando-o mais sensível do que um número de telefone ou código postal.

Um nome e sobrenome contam segundo a definição do NIST porque distinguem um indivíduo, embora o exemplo da lista de resposta a incidentes do NIST mostre o pouco risco adicional que nomes e detalhes de contato de trabalho disponíveis publicamente representam. Uma data de nascimento sozinha não identifica uma pessoa, mas combinada com um código postal pode.

Identificadores diretos apontam para uma pessoa sem dados de suporte. O NIST cita nomes, impressões digitais e números de Seguro Social como exemplos de informações que identificam indivíduos de forma única e direta.

PII sensível e não sensível

Identificadores indiretos apontam para uma pessoa apenas quando combinados com outros dados. O NIST cita códigos postais e datas de nascimento como exemplos, pois podem identificar indivíduos indiretamente ou ajudar a restringir grandes conjuntos de dados. Cada campo adicional restringe ainda mais a população, portanto, um programa de classificação deve avaliar quais campos identificam juntos.

PII sensível é PII cuja exposição pode causar sérios danos à privacidade, financeiros ou legais. O guia do NIST formaliza essa ideia com níveis de impacto de confidencialidade baixo, moderado ou alto, indicando o potencial dano a indivíduos e à organização se a PII for acessada, usada ou divulgada de forma inadequada.

Observa-se que um número de Seguro Social, histórico médico ou informações de conta financeira são geralmente mais sensíveis do que um número de telefone ou código postal.

Leis e regulamentos que regem a PII

NIST recomenda uma abordagem baseada em riscos, portanto, PII de maior impacto requer salvaguardas mais fortes. As recomendações incluem aplicação de acesso, criptografia das informações armazenadas e monitoramento de eventos que afetam a confidencialidade da PII.

Netwrix Access Analyzer resolve grupos AD aninhados e herança do SharePoint para revelar dados sensíveis superexpostos. Solicite uma demonstração.

PII de menor impacto, como os nomes e detalhes de contato de trabalho no exemplo da lista do NIST, ainda precisam de proteção contra a combinação com outros campos, pois campos combinados podem tornar dados sensíveis identificáveis.

Os dados de cartão de pagamento também estão sujeitos ao Payment Card Industry Data Security Standard (PCI DSS), que se aplica a entidades que armazenam, processam ou transmitem dados do titular do cartão.

Lei de Privacidade de 1974

Nenhuma lei única define o PII para todos os fins. A regulamentação dos EUA é setorial, com leis separadas para agências federais, saúde, finanças, educação e consumidores sob a lei estadual, enquanto a UE e a Austrália aplicam estruturas nacionais às informações pessoais.

A Privacy Act concede aos indivíduos o direito de acessar registros sobre eles e corrigir registros incorretos, e exige que agências federais coletem registros apenas para fins legais e autorizados e os protejam. Cobre apenas agências federais.

California Consumer Privacy Act e California Privacy Rights Act

HIPAA

A CPRA alterou a lei, adicionou direitos dos consumidores e deveres empresariais, e entrou em vigor em 1º de janeiro de 2023.

A CCPA concede aos consumidores da Califórnia o direito de saber quais informações pessoais as empresas coletam sobre eles, excluí-las, corrigir informações incorretas e optar por não vender ou compartilhar.

Aplica-se a empresas com fins lucrativos que fazem negócios na Califórnia e atendem a pelo menos um limite baseado na receita, no número de consumidores da Califórnia cujos dados manipulam ou na receita obtida com a venda ou compartilhamento de informações pessoais.

Lei Gramm-Leach-Bliley

HIPAA aplica-se a entidades abrangidas, ou seja, planos de saúde, clearinghouses de saúde e prestadores de serviços de saúde que transmitem informações de saúde eletronicamente em transações padrão, bem como seus associados comerciais.

De acordo com 45 CFR 164.306, eles devem garantir a confidencialidade, integridade e disponibilidade das informações eletrônicas de saúde protegidas que criam, recebem, mantêm ou transmitem. De acordo com 45 CFR 164.404, uma entidade coberta deve notificar os indivíduos afetados sobre uma violação de PHI não segura sem atraso injustificado e no máximo 60 dias corridos após a descoberta.

GLBA abrange empresas que oferecem aos consumidores produtos ou serviços financeiros, como empréstimos, aconselhamento financeiro ou de investimento, ou seguros. Sua Regra de Privacidade exige que informem os clientes sobre suas práticas de compartilhamento de informações e sobre o direito de optar por não compartilhar com certos terceiros. A Regra de Salvaguardas exige um programa de segurança da informação para proteger as informações dos clientes.

Lei de Direitos Educacionais e Privacidade Familiar

Regulamento Geral de Proteção de Dados

Lei de Privacidade Australiana de 1988

FERPA aplica-se a agências e instituições educacionais que recebem fundos sob um programa do Departamento de Educação dos EUA. Protege registros educacionais diretamente relacionados a um estudante e mantidos pela instituição ou por uma parte que atue em seu nome.

De acordo com o Office of the Australian Information Commissioner, a Privacy Act 1988 regula como as agências do Governo australiano, organizações com faturamento anual superior a 3 milhões de AUD e algumas outras organizações lidam com informações pessoais.

Como os dados pessoais identificáveis são expostos

Seus 13 Princípios de Privacidade Australianos abrangem a coleta, uso e divulgação de informações pessoais; a integridade e correção dessas informações; e os direitos dos indivíduos de acessá-las.

Incidentes documentados seguem três rotas recorrentes: mensagens enganosas, sistemas sem patch e acesso de terceiros.

GDPR tem um âmbito territorial, definido no Artigo 3, que cobre o tratamento de dados pessoais de pessoas na UE. Concede aos indivíduos direitos de acesso, retificação, apagamento e portabilidade de dados, e o Artigo 37 cobre a nomeação de responsáveis pela proteção de dados.

Phishing

Os sinais de alerta incluem linguagem urgente ou emocional, pedidos de informações pessoais e financeiras, URLs encurtadas não confiáveis e endereços de e-mail ou links incorretos.

Phishing acontece quando criminosos tentam fazer as pessoas abrirem links, e-mails ou anexos nocivos. A isca pode chegar por e-mail, mensagem de texto, mensagem direta ou ligação telefônica, e é projetada para parecer que vem de uma pessoa ou organização confiável.

Software sem patch

Acesso de terceiros

A violação da Equifax em 2017 mostra o custo de um patch perdido. O projeto Apache Struts anunciou a entrada Common Vulnerabilities and Exposures (CVE) CVE-2017-5638 e lançou um patch em 7 de março de 2017, e o Departamento de Segurança Interna alertou a Equifax no dia seguinte, mas a Equifax não aplicou completamente o patch em seus sistemas.

De acordo com o relatório do House Oversight Committee, os invasores permaneceram na rede por 76 dias e acessaram informações pessoais de cerca de 148 milhões de pessoas, incluindo nomes, números de Social Security, datas de nascimento, endereços e números de carteira de motorista.

A Equifax concordou posteriormente em pagar pelo menos 575 milhões de dólares, e potencialmente até 700 milhões de dólares, em um acordo com reguladores federais e estaduais.

O caso Facebook e Cambridge Analytica mostra como o acesso de terceiros expõe PII. A Federal Trade Commission (FTC) alegou que um aplicativo do Facebook criado pelo desenvolvedor Aleksandr Kogan fazia perguntas sobre personalidade e outras questões aos usuários e também coletava informações sobre seus amigos no Facebook.

O que acontece quando informações pessoais são mal gerenciadas

Multas e sanções regulatórias

Foi ainda alegado que a Cambridge Analytica combinou as pontuações de personalidade resultantes com os registros de eleitores dos EUA para criação de perfis e publicidade direcionada.

As consequências recaem sobre a organização que detinha os dados e sobre as pessoas que identifica.

Custos de remediação e operação

As penalidades civis do HIPAA começam em $145 por violação e aumentam com a culpabilidade, com um mínimo de $73.011 para negligência intencional não corrigida, segundo o ajuste de inflação de janeiro de 2026.

De acordo com o Artigo 83 do GDPR, as multas podem chegar a 20 milhões de euros ou 4% do faturamento anual mundial total, o que for maior. O CCPA permite multas administrativas de até 2.663 dólares por violação e 7.988 dólares por violação intencional, conforme definido no ajuste de 2025.

O Facebook disse que pode ter compartilhado informações de forma inadequada sobre até 87 milhões de pessoas com a Cambridge Analytica. Em 2019, a FTC impôs uma multa de 5 bilhões de dólares ao Facebook, a maior já imposta a qualquer empresa por violar a privacidade dos consumidores.

Os acordos podem chegar a centenas de milhões de dólares, como foi o caso da Equifax. Sob a CCPA, os consumidores podem processar por certas violações de dados e recuperar danos estatutários de US$ 107 a US$ 799 por consumidor e incidente, ou danos reais se forem maiores.

Perda da confiança pública e do valor de mercado

Roubo de identidade e fraude financeira

O Cost of a Data Breach Report 2026 da IBM coloca o custo médio global de uma violação em um recorde de 4,99 milhões de dólares. O guia do NIST lista custos de remediação, encargos administrativos e perdas financeiras entre os danos que uma organização pode sofrer.

O NIST lista a perda de confiança pública e a responsabilidade legal entre os danos organizacionais. Após a Equifax anunciar sua violação, o preço das ações caiu 35% na primeira semana, eliminando US$ 6 bilhões em valor de mercado, segundo o relatório do Comitê de Supervisão da Câmara.

Chantagem e outros danos a indivíduos

De acordo com a FTC, ladrões podem usar informações pessoais roubadas para obter novos cartões de crédito em nome da vítima, solicitar empréstimos, apresentar declarações fiscais fraudulentas para receber reembolsos e obter atendimento médico ou benefícios do Medicare. O NIST aponta o roubo de identidade como o principal dano às pessoas.

Como proteger informações pessoais identificáveis

O NIST recomenda uma abordagem baseada em riscos, portanto, cada controle abaixo deve estar vinculado a um repositório específico e ao nível de impacto das PII que ele contém.

O NIST lista chantagem, constrangimento, danos físicos, discriminação e angústia emocional entre os potenciais danos de uma violação de PII. Expor detalhes sensíveis pode causar danos muito além da perda financeira.

Descubra e classifique PII

Você não pode proteger PII que não conhece, então comece inventariando onde ela é armazenada, processada e transmitida. Inclua compartilhamentos de arquivos, bancos de dados, aplicativos em nuvem, backups e as planilhas que as pessoas exportam deles.

Limite quem pode acessar PII

Colete menos e exclua conforme o cronograma

Então classifique os dados pelo dano que sua exposição causaria, que o NIST chama de nível de impacto na confidencialidade, portanto, uma tabela de números de Seguro Social recebe proteções mais fortes do que um diretório de funcionários. Repita o inventário periodicamente, pois cópias e exportações espalham PII mais rápido do que uma auditoria única pode rastrear.

Cada campo que você coleta é um campo que precisa proteger, então pergunte qual decisão cada um apoia e pare de coletar os que não apoiam nenhuma. Defina um período de retenção para cada categoria de PII e execute a exclusão como um trabalho agendado em vez de um projeto de limpeza ocasional.

Atribua o acesso por meio de grupos baseados em funções, em vez de a indivíduos, para que uma alteração de função atualize o acesso em um único lugar. Sempre que possível, permita que os usuários acessem PII por meio de um aplicativo que limite quais registros e campos eles veem, mantendo-os fora dos bancos de dados e arquivos brutos que a contêm.

Conceda a cada pessoa apenas o acesso que seu papel necessita, sob o princípio do menor privilégio, e revise-o periodicamente. O acesso correto na contratação acumula-se em acesso incorreto após duas funções.

Criptografe e monitore PII

Corrija os sistemas prontamente

Dados que ninguém usa ainda contam como expostos em uma violação. Armazenar menos reduz tanto a probabilidade quanto a escala do dano, tornando a minimização uma parte central da gestão do ciclo de vida dos dados.

Alerta sobre padrões como uma conta lendo muito mais arquivos do que o habitual ou PII sendo transferida para mídia removível, e investigue cada alerta antes que os dados saiam.O monitoramento de acesso a arquivos fornece esse registro para compartilhamentos de arquivos.

Criptografe PII em repouso em servidores, laptops e backups, e em trânsito entre sistemas, para que um disco roubado ou uma conexão interceptada não revele nada legível. A criptografia não impede que uma conta autorizada leia os dados, portanto combine-a com monitoramento de quem abre, copia e move a PII.

Treine a equipe antes que obtenha acesso

O patch protege a PII apenas se você souber o que está executando e puder confirmar que cada correção foi aplicada. Mantenha um inventário do software exposto à internet, incluindo frameworks e bibliotecas open-source dentro de suas próprias aplicações, pois você não pode agendar um patch para um componente que não conhece.

Defina prazos conforme a gravidade e se os atacantes já estão explorando a falha, com os mais curtos para esses casos. A CISA diz que as organizações devem usar seu Known Exploited Vulnerabilities catalog como base para essa priorização.

Torne o treinamento uma condição para o acesso, em vez de uma tarefa do primeiro mês, vinculando a conclusão à etapa que concede acesso aos sistemas que contêm PII. Explique o que as pessoas fazem com a PII em seus trabalhos, incluindo como reconhecê-la, onde pode ser armazenada e compartilhada, como descartá-la, qual é o cronograma de retenção e quais sanções se aplicam ao uso indevido.

Prepare um plano de resposta a incidentes

Depois, verifique com uma varredura e confira também a varredura. Após o alerta do Struts, a varredura de componentes open-source da Equifax perdeu a versão vulnerável porque foi executada contra um diretório raiz em vez do subdiretório onde o Struts estava listado, e um segundo scanner verificou 958 endereços IP externos e não encontrou nada.

Processos judiciais e acordos

Uma violação de PII adiciona decisões que um plano padrão de incidentes de segurança ignora, e você deve tomá-las antes de um incidente. Decida quem pode declarar uma violação de PII, quem faz parte da equipe de resposta e quem fala com reguladores, pessoas afetadas e a imprensa.

Adicione treinamento baseado em função para as pessoas que lidam com as PII mais sensíveis, como as equipes de HR, folha de pagamento e suporte que acessam registros de clientes. Ensine-as a reconhecer um incidente de PII e onde reportá-lo a qualquer hora, e atualize o treinamento em uma programação definida usando golpes atuais e violações recentes como exemplos.

Ofereça à equipe um único canal de reporte que funcione a qualquer hora e colete sempre os mesmos dados, incluindo o que foi perdido, de qual sistema e meio de armazenamento, quantas pessoas foram afetadas e se as autoridades foram contatadas.

As práticas básicas da CISA também se aplicam a indivíduos.

Proteja seus próprios PII

• Use senhas fortes e únicas e mantenha-as em um gerenciador de senhas.

Preserve as evidências antes de excluir PII da mídia, pois o NIST aconselha a não sanitizá-la até que você decida se deve mantê-la como evidência. Teste o plano com um exercício simulado de violação e atualize-o com cada lição aprendida.

• Ative a autenticação multifator (MFA) onde quer que seja oferecida.

Plane a notificação com antecedência, incluindo se é obrigatória, com que rapidez, quem a envia, o que diz e se oferece ajuda, como monitoramento de crédito. Sob GDPR Article 33, um controlador deve notificar a autoridade supervisora dentro de 72 horas após tomar conhecimento de uma violação, quando possível, para que essas decisões não possam esperar até depois do incidente.

• Reconheça e reporte phishing antes de compartilhar informações pessoais.
• Instale as atualizações de software prontamente.

Como a Netwrix ajuda a proteger a PII

Encontre PII em servidores de arquivos, SharePoint e bancos de dados

Os produtos Netwrix realizam quatro tarefas com PII: localizá-la, mapear para regulamentações, revisar quem pode acessá-la e bloqueá-la no endpoint.

Mapeie PII classificada para GDPR, HIPAA e PCI DSS

Netwrix Access Analyzer escaneia servidores de arquivos, SharePoint, bancos de dados e Amazon S3 em busca de PII, PHI e dados de cartão de pagamento, usando regras baseadas em padrões e contexto, além de regras personalizadas para dados específicos da organização.

Revise quem pode abrir PII e quem é o proprietário

A detecção de PII baseada em regras corresponde a padrões predefinidos em dados estruturados e não estruturados, e o Access Analyzer adiciona contexto a esses padrões. As equipes podem ajustar as regras de classificação de diferentes maneiras para identificar dados sensíveis com mais precisão.

No Forreston State Bank, Auditor mantém o banco continuamente em conformidade com os requisitos do Federal Financial Institutions Examination Council (FFIEC) e GLBA, economizando 8 horas por semana na preparação de auditorias.

Bloqueie a saída de PII por USB e uploads na web

Access Analyzer mapeia PII classificada para GDPR, HIPAA, PCI DSS e outros frameworks.Netwrix Auditor audita a atividade e inclui mapeamentos de conformidade pré-construídos para GDPR, HIPAA, PCI DSS, SOX e a Cybersecurity Maturity Model Certification (CMMC).

Comece com as PII que causariam mais danos

Access Analyzer analisa permissões, identifica dados superexpostos, determina proprietários dos dados e suporta fluxos de trabalho de revisão de direitos de acesso. Seu Effective Access Report calcula o acesso efetivo a partir da associação a grupos, incluindo grupos aninhados, e sinaliza contas de trustees obsoletas.

Netwrix Endpoint Protector aplica políticas de prevenção de perda de dados conscientes do conteúdo no endpoint. Controla dispositivos de armazenamento USB, monitora transferências no navegador e bloqueia uploads de dados sensíveis para armazenamento em nuvem e ferramentas de IA como ChatGPT e Microsoft Copilot.

As orientações do NIST definem uma ordem clara de trabalho. Identifique todos os PII no ambiente, avalie cada repositório pelo dano que sua exposição pode causar e aplique as salvaguardas mais rigorosas onde a classificação for mais alta. Como falhas de acesso causam a maioria das exposições, restrinja primeiro quem pode acessar esses repositórios.

Equipes que tratam cada nova combinação como um evento de reclassificação mantêm seus controles alinhados aos dados que possuem.

As classificações mudam com o tempo porque o NIST pede às organizações que avaliem a sensibilidade dos campos PII em combinação. Um conjunto de dados que parecia ter baixo impacto por si só precisa de uma nova classificação no momento em que é combinado com outro, como quando um código postal se junta a uma data de nascimento.

Solicite uma demonstração para ver como Netwrix Access Analyzer encontra PII em compartilhamentos de arquivos, SharePoint e bancos de dados e mostra quem pode acessá-los.