Możliwość identyfikacji jest kontekstowa: ta sama wartość może identyfikować kogoś w jednym zbiorze danych lub środowisku, ale nie w innym, zależnie od dostępnych rekordów, narzędzi, dostępu i realistycznych środków powiązania.
PII jest widoczne w amerykańskich federalnych wytycznych, ale nie jest uniwersalną kategorią prawną. Europejskie rozporządzenie o ochronie danych (RODO) używa „danych osobowych" — podobnego, ale niezależnie zdefiniowanego terminu. Inne prawa używają własnych zakresów, wykluczeń, klas wrażliwości i obowiązków.
Najważniejsze punkty
Identyfikacja bezpośrednia i pośredniaImiona lub numery identyfikacyjne mogą identyfikować bezpośrednio; atrybuty urządzenia, lokalizacji, behawioralne, demograficzne lub połączone mogą umożliwiać identyfikację pośrednią lub wyodrębnienie.
Ocena kontekstowaRozważ, kto może uzyskać dostęp do danych, jakie inne zbiory i techniki są realistycznie dostępne, czy tożsamość może być wyśledzona oraz potencjalne skutki nadużycia.
Proporcjonalna ochronaMinimalizuj zbieranie, klasyfikuj i ograniczaj dostęp, oddzielaj identyfikatory tam, gdzie użyteczne, zabezpieczaj przechowywanie i transfer, zarządzaj udostępnianiem i retencją oraz ponownie oceniaj, gdy dane lub kontekst się zmieniają.
Istotne ograniczenieŻadna stała lista nie obejmuje wszystkich PII, a usunięcie oczywistych identyfikatorów nie gwarantuje anonimowości. Klasyfikacja jako nie-PII w jednym frameworku nie ustala, że dane pozostają poza prawem danych osobowych innej jurysdykcji; uzyskaj wykwalifikowany przegląd prawny.