Qu'est-ce qu'une information personnellement identifiable (PII)?
Les informations personnelles identifiables (PII) sont des informations qui, lorsqu'elles sont utilisées seules ou avec d'autres données pertinentes, peuvent identifier une personne. Les PII peuvent contenir des identifiants directs (par exemple, les informations de passeport) qui peuvent identifier une personne de manière unique, ou des quasi-identifiants (par exemple, la race) qui peuvent être combinés avec d'autres quasi-identifiants (par exemple, la date de naissance) pour reconnaître avec succès un individu.
Comprendre les informations personnelles identifiables (PII)
Les plates-formes technologiques avancées ont changé la façon dont les entreprises fonctionnent, les gouvernements légifèrent et les individus interagissent. Avec les outils numériques comme les téléphones portables, Internet, le commerce électronique et les médias sociaux, il y a eu une explosion de la fourniture de toutes sortes de données.
Les mégadonnées, comme on l'appelle, sont collectées, analysées et traitées par les entreprises et partagées avec d'autres entreprises. La richesse des informations fournies par les mégadonnées a permis aux entreprises de mieux comprendre comment mieux interagir avec les clients.
Cependant, l'émergence des mégadonnées a également augmenté le nombre de violations de données et de cyberattaques par des entités qui réalisent la valeur de ces informations. En conséquence, des inquiétudes ont été exprimées quant à la manière dont les entreprises traitent les informations sensibles de leurs consommateurs. Les organismes de réglementation recherchent de nouvelles lois pour protéger les données des consommateurs, tandis que les utilisateurs recherchent des moyens plus anonymes pour rester numériques.
Points clés à retenir
- Les informations personnelles identifiables (PII) sont des informations qui, lorsqu'elles sont utilisées seules ou avec d'autres données pertinentes, peuvent identifier une personne.Les informations personnelles identifiables sensibles peuvent inclure votre nom complet, votre numéro de sécurité sociale, votre permis de conduire, vos informations financières et vos dossiers médicaux. les informations personnelles identifiables sensibles sont facilement accessibles à partir de sources publiques et peuvent inclure votre code postal, votre race, votre sexe et votre date de naissance.
PII sensibles vs non sensibles
Les informations personnelles identifiables (PII) peuvent être sensibles ou non sensibles. Les informations personnelles sensibles comprennent des statistiques juridiques telles que:
- Nom complet Informations sur la carte de crédit Informations sur le passeport
La liste ci-dessus n'est nullement exhaustive. Les entreprises qui partagent des données sur leurs clients utilisent normalement des techniques d'anonymisation pour crypter et obscurcir les PII, elles sont donc reçues sous une forme non personnellement identifiable. Une compagnie d'assurance qui partage les informations de ses clients avec une société de marketing masquera les PII sensibles incluses dans les données et ne laissera que des informations liées à l'objectif de la société de marketing.
Les informations personnelles non sensibles ou indirectes sont facilement accessibles à partir de sources publiques telles que les répertoires téléphoniques, Internet et les répertoires d'entreprises. Des exemples de PII non sensibles ou indirects comprennent:
- Code postalRaceGenreDate de naissanceLieu de naissanceReligion
La liste ci-dessus contient des quasi-identifiants et des exemples d'informations non sensibles qui peuvent être rendues publiques. Ce type d'information ne peut être utilisé seul pour déterminer l'identité d'une personne.
Cependant, les informations non sensibles, bien que non délicates, peuvent être liées. Cela signifie que les données non sensibles, lorsqu'elles sont utilisées avec d'autres informations personnelles pouvant être liées, peuvent révéler l'identité d'une personne. Les techniques de désanonymisation et de ré-identification ont tendance à réussir lorsque plusieurs ensembles de quasi-identificateurs sont reconstitués et peuvent être utilisés pour distinguer une personne d'une autre.
Sauvegarde des informations personnelles
Plusieurs lois sur la protection des données ont été adoptées par divers pays afin de créer des lignes directrices pour les entreprises qui collectent, stockent et partagent les informations personnelles des clients. Certains des principes de base énoncés par ces lois stipulent que certaines informations sensibles ne doivent pas être collectées, sauf dans des situations extrêmes.
De plus, les directives réglementaires stipulent que les données doivent être supprimées si elles ne sont plus nécessaires à la finalité déclarée, et les informations personnelles ne doivent pas être partagées avec des sources qui ne peuvent garantir leur protection.
Les cybercriminels violent les systèmes de données pour accéder aux PII, qui sont ensuite vendus à des acheteurs consentants sur les marchés numériques souterrains. Par exemple, en 2015, l'IRS a subi une violation de données entraînant le vol de plus de cent mille PII de contribuables. À l'aide de quasi-informations volées à partir de plusieurs sources, les auteurs ont pu accéder à une application de site Web de l'IRS en répondant à des questions de vérification personnelle qui auraient dû être réservées aux contribuables uniquement.
La réglementation et la protection des informations personnelles identifiables seront probablement un problème dominant pour les particuliers, les sociétés et les gouvernements dans les années à venir.
PII dans le monde
La définition de ce qui comprend les informations personnelles diffère selon l'endroit où vous vivez dans le monde. Aux États-Unis, le gouvernement a défini "personnellement identifiable" en 2007 comme tout ce qui peut "être utilisé pour distinguer ou tracer l'identité d'un individu", comme le nom, le SSN, les informations biométriques, soit seul, soit avec d'autres identifiants tels que la date de naissance, ou lieu de naissance.
Dans l'Union européenne (UE), la définition s'étend pour inclure les quasi-identifiants tels que décrits dans le Règlement général sur la protection des données (RGPD) entré en vigueur en mai 2018. Le RGPD est un cadre juridique qui établit des règles pour la collecte et le traitement des informations personnelles pour ceux qui résident dans l'UE.
Exemple de PII
Début 2018, Facebook Inc. (FB) a été impliqué dans une importante violation de données. Les profils de 50 millions d'utilisateurs de Facebook ont été collectés sans leur consentement par une société extérieure appelée Cambridge Analytica, comme le rapporte The Guardian.
Cambridge Analytica a obtenu ses données de Facebook par l'intermédiaire d'un chercheur qui a travaillé à l'Université de Cambridge. Le chercheur a créé une application Facebook qui était un quiz sur la personnalité. Une application est une application logicielle utilisée sur les appareils mobiles et les sites Web.
L'application a été conçue pour prendre les informations de ceux qui se sont portés volontaires pour donner accès à leurs données pour le quiz. Malheureusement, l'application a collecté non seulement les données des preneurs de quiz mais, en raison d'une faille dans le système de Facebook, a également pu collecter des données auprès des amis et des membres de la famille des preneurs de quiz.
En conséquence, plus de 50 millions d'utilisateurs de Facebook ont vu leurs données exposées à Cambridge Analytica sans leur consentement. Bien que Facebook ait interdit la vente de leurs données, Cambridge Analytica s'est retournée et a vendu les données pour être utilisées pour des consultations politiques.
Mark Zuckerberg, fondateur et PDG de Facebook, a publié une déclaration dans le communiqué de presse du premier trimestre 2019:
Nous nous concentrons sur la construction de notre vision axée sur la confidentialité pour l'avenir des réseaux sociaux et en travaillant en collaboration pour résoudre les problèmes importants liés à Internet.
La violation de données n'a pas seulement affecté les utilisateurs de Facebook, mais aussi les investisseurs. Les bénéfices de Facebook ont diminué de 50% au T1-2019 par rapport à la même période un an plus tôt. La société a accumulé 3 milliards de dollars de frais juridiques et aurait eu un bénéfice par action de 1, 04 $ de plus sans les frais, déclarant:
Nous estimons que la fourchette de pertes dans cette affaire se situe entre 3, 0 et 5, 0 milliards de dollars. La question n'est toujours pas résolue et rien ne garantit le calendrier ou les modalités de tout résultat final.
Les entreprises investiront sans aucun doute dans les moyens de récolter des données telles que des informations personnellement identifiables pour proposer des produits aux consommateurs et maximiser les profits. Cependant, la réglementation et la sauvegarde des PII seront probablement un problème dominant dans les années à venir.
