מהו מידע אישי מזהה (PII)?
מהו מידע אישי מזהה (PII)? מידע זיהוי אישי (PII) הוא מידע שבשימוש לבד או עם נתונים רלוונטיים אחרים, יכול לזהות אדם. PII יכול להכיל מזהים ישירים (למשל, פרטי דרכון) שיכולים לזהות אדם באופן ייחודי, או מעין מזהים (למשל, גזע) שניתן לשלב עם מעין מזהים אחרים (למשל, תאריך לידה) כדי לזהות בהצלחה אדם.
מהו מידע אישי מזהה (PII)? – PII יכול להכיל מזהים ישירים (למשל, פרטי דרכון) שיכולים לזהות אדם באופן ייחודי, או מעין מזהים (למשל, גזע) שניתן לשלב עם מעין מזהים אחרים (למשל, תאריך לידה) כדי לזהות בהצלחה אדם.
מהו מידע אישי מזהה (PII)? – נקודות מרכזיות
הבנת מידע אישי מזהה
פלטפורמות טכנולוגיות מתקדמות שינו את הדרך שבה עסקים פועלים, ממשלות מחוקקות חקיקה ואנשים פרטיים מתייחסים. עם כלים דיגיטליים כמו טלפונים סלולריים, אינטרנט, מסחר אלקטרוני ומדיה חברתית, חל פיצוץ בהיצע של כל מיני נתונים.
ביג דאטה, כשמו כן הוא, נאסף, מנותח ומעובד על ידי עסקים ומשותף עם חברות אחרות. שפע המידע שמספק ביג דאטה אפשר לחברות לקבל תובנה כיצד לקיים אינטראקציה טובה יותר עם לקוחות.
עם זאת, הופעת הביג דאטה הגדילה גם את מספר הפרצות הנתונים והתקפות הסייבר מצד גופים שמבינים את הערך של מידע זה. כתוצאה מכך, עלו חששות לגבי האופן שבו חברות מטפלות במידע הרגיש של הצרכנים שלהן. גופים רגולטוריים מחפשים חוקים חדשים כדי להגן על הנתונים של הצרכנים, בעוד שמשתמשים מחפשים דרכים אנונימיות יותר להישאר דיגיטליים.
מידע אישי רגיש לעומת לא רגיש
PII רגיש
מידע אישי מזהה (PII) יכול להיות רגיש או לא רגיש. מידע אישי רגיש כולל סטטיסטיקות משפטיות כגון:
הרשימה שלמעלה אינה ממצה בשום פנים ואופן. חברות המשתפות נתונים על לקוחותיהן משתמשות בדרך כלל בטכניקות אנונימיזציה כדי להצפין ולטשטש את ה-PII, כך שהוא מתקבל בצורה שאינה ניתנת לזיהוי אישי. חברת ביטוח שתשתף את פרטי לקוחותיה עם חברת שיווק תסוות את ה-PII הרגיש הכלולים בנתונים ותשאיר רק מידע הקשור למטרה של החברה המשווקת.
PII לא רגיש
PII לא רגיש או עקיף נגיש בקלות ממקורות ציבוריים כמו ספרי טלפונים, אינטרנט וספריות ארגוניות. דוגמאות למידע אישי לא רגיש או עקיף כוללות:
הרשימה לעיל מכילה מעין מזהים ודוגמאות למידע לא רגיש שניתן לשחרר לציבור. לא ניתן להשתמש במידע מסוג זה לבדו כדי לקבוע את זהותו של אדם.
עם זאת, מידע לא רגיש, אם כי אינו עדין, ניתן לקישור. משמעות הדבר היא כי נתונים לא רגישים, כאשר משתמשים בהם עם מידע אישי אחר הניתן לקישור, יכולים לחשוף את זהותו של אדם. טכניקות ביטול אנונימיזציה וזיהוי מחדש נוטות להצליח כאשר מספר קבוצות של מעין-מזהים מחוברות יחד וניתן להשתמש בהן כדי להבדיל בין אדם אחד למשנהו.
הגנה על מידע אישי מזהה (PII)
חוקי הגנת מידע מרובים אומצו על ידי מדינות שונות כדי ליצור קווים מנחים לחברות שאוספות, מאחסנות ומשתפות מידע אישי של לקוחות. חלק מהעקרונות הבסיסיים המתוארים בחוקים אלה קובעים שאין לאסוף מידע רגיש, אלא אם כן מדובר במצבים קיצוניים.
כמו כן, הנחיות רגולטוריות קובעות כי יש למחוק נתונים אם אינם נחוצים עוד למטרה המוצהרת, ואין לשתף מידע אישי עם מקורות שאינם יכולים להבטיח את הגנתו.
עבירות סייבר פורצות מערכות נתונים כדי לגשת ל-PII, שנמכר לאחר מכן לקונים מוכנים בשווקים דיגיטליים תת-קרקעיים. לדוגמה, בשנת 2015, ה-IRS סבל מפרצת מידע שהובילה לגניבה של יותר ממאה אלף פרטי זיהוי של משלמי מסים.
באמצעות מידע מעין שנגנב ממספר מקורות, יכלו העבריינים לגשת לאפליקציה של אתר מס הכנסה על ידי מענה לשאלות אימות אישיות שהיו אמורות להיות גלויות לנישומים בלבד.
כיצד נגנב PII
גנבים רבים מוצאים פרטים אישיים מזהים של קורבנות תמימים על ידי חפירה באשפה שלהם לאיתור דואר שלא נפתח. זה יכול לספק להם את השם והכתובת של אדם. במקרים מסוימים, הוא יכול גם לחשוף מידע על העסקתם, יחסים בנקאיים, או אפילו מספרי תעודת זהות שלהם.
כיום, האינטרנט הפך לוקטור מרכזי לגניבת זהות. התקפות דיוג והנדסה חברתית משתמשות באתר אינטרנט או דוא"ל בעלי מראה מטעה כדי להערים על מישהו לחשוף מידע מפתח, כגון שמו, מספרי חשבון בנק, סיסמאות או מספר תעודת זהות. אפשר גם לגנוב מידע זה באמצעות שיחות טלפון מטעות או הודעות SMS.
טיפים להגנה על PII
למרות שלא ניתן להגן על עצמך באופן מלא, אתה יכול להפוך את עצמך למטרה קטנה יותר על ידי צמצום ההזדמנויות לגנוב את ה-PII שלך. Experian, אחת משלוש סוכנויות האשראי המובילות, מפרטת מספר צעדים שתוכל לנקוט כדי לצמצם את שטח הפנים שלך.
לדוגמה, תיבת דואר נעולה או תיבת דואר מקשה על גנבים לגנוב את הדואר שלך והסרת זיהוי אישי מדואר זבל ומסמכים אחרים מקשה על גנבי זהות לשייך שם לכתובת. כמו כן, הימנע מלשאת יותר PII ממה שאתה צריך – אין סיבה לשמור את כרטיס הביטוח הלאומי שלך בארנק.
כמו כן, ישנם כמה צעדים שתוכל לנקוט כדי למנוע גניבת זהות מקוונת. דליפות נתונים הן מקור עיקרי לגניבת זהות, לכן חשוב להשתמש בסיסמה שונה ומורכבת עבור כל חשבון מקוון. הצפין תמיד את הנתונים החשובים שלך, והשתמש בסיסמה עבור כל טלפון או מכשיר. זה גם רעיון טוב לאתחל מחדש את הכונן הקשיח בכל פעם שאתה מוכר או תורם מחשב.
מידע אישי מזהה ברחבי העולם
ההגדרה של מה שמכיל PII שונה בהתאם למקום שבו אתה גר בעולם. להלן משטרי הפרטיות בתחומי שיפוט ספציפיים:
ארצות הברית
בארצות הברית, הממשלה הגדירה ב-2020 "ניתן לזיהוי אישי" ככל דבר שניתן "לשמש כדי להבחין או להתחקות אחר זהותו של אדם" כגון שם, SSN ומידע ביומטרי; לבד או עם מזהים אחרים כגון תאריך לידה או מקום לידה.
אֵירוֹפָּה
באיחוד האירופי(EU), ההגדרה מתרחבת וכוללת מעין מזהים כמתואר בתקנת הגנת המידע הכללית (GDPR) שנכנסה לתוקף במאי 2018. ה-GDPR היא מסגרת משפטית הקובעת כללים לאיסוף ועיבוד מידע אישי עבור אלה מתגוררים באיחוד האירופי.
אוֹסטְרַלִיָה
מידע אישי מוגן על ידי חוק הפרטיות 1988. חוק זה מסדיר איסוף, אחסון, שימוש וחשיפת מידע אישי, בין אם על ידי הממשל הפדרלי או גופים פרטיים. תיקונים מאוחרים יותר מסדירים את השימוש במזהי שירותי בריאות ומקבעים את החובות של ישויות הסובלים מפרצת מידע.
קנדה
חוק הגנת מידע אישי ומסמכים אלקטרוניים מסדיר את השימוש במידע אישי לשימוש מסחרי. זה מוגדר כמידע כשלעצמו או בשילוב עם נתונים אחרים, יכול לזהות אותך כאדם פרטי.
מידע אישי מזהה לעומת נתונים אישיים
נתונים אישיים כוללים מגוון רחב יותר של הקשרים מאשר PII. לדוגמה, כתובת ה-IP שלך, מספרי מזהה המכשירים, קובצי Cookie של הדפדפן, כינויים מקוונים או נתונים גנטיים. מאפיינים מסוימים כגון דת, מוצא אתני, נטייה מינית או היסטוריה רפואית עשויים להיות מסווגים כנתונים אישיים אך לא מידע אישי מזהה.
דוגמה למידע אישי מזהה
בתחילת 2018, FacebookInc. (META), כיום Meta, הסתבכה בפרצת נתונים גדולה. הפרופילים של 30 מיליון משתמשי פייסבוק נאספו ללא הסכמתם על ידי חברה חיצונית בשם Cambridge Analytica.Cambridge Analytica קיבלה את הנתונים שלה מפייסבוק דרך חוקר שעבד באוניברסיטת קיימברידג'. החוקר בנה אפליקציית פייסבוק שהייתה חידון אישיות. אפליקציה היא אפליקציית תוכנה המשמשת במכשירים ניידים ובאתרים.
האפליקציה תוכננה לקחת את המידע מאלה שהתנדבו לתת גישה לנתונים שלהם עבור החידון. למרבה הצער, האפליקציה אספה לא רק את הנתונים של המשתתפים בחידונים אלא, בגלל פרצה במערכת של פייסבוק, הצליחה גם לאסוף נתונים מחברים ובני משפחה של המשתתפים בחידונים.
כתוצאה מכך, למעל 50 מיליון משתמשי פייסבוק הנתונים שלהם נחשפו לקיימברידג' אנליטיקה ללא הסכמתם. למרות שפייסבוק אסרה על מכירת הנתונים שלהם, קיימברידג' אנליטיקה הסתובבה ומכרה את הנתונים שישמשו לייעוץ פוליטי. מארק צוקרברג, מייסד פייסבוק מנכ"ל, פרסם הצהרה במסגרת פרסום הרווחים של החברה ברבעון הראשון של 2019:
אנו מתמקדים בבניית החזון הממוקד בפרטיות שלנו לעתיד הרשתות החברתיות ועובדים בשיתוף פעולה כדי לטפל בבעיות חשובות ברחבי האינטרנט.
הפרת הנתונים לא השפיעה רק על משתמשי פייסבוק אלא גם על משקיעים. הרווחים של פייסבוק ירדו ב-50% ברבעון הראשון של 2019 לעומת התקופה המקבילה אשתקד. החברה צברה הוצאות משפט של 3 מיליארד דולר והייתה מקבלת רווח למניה של 1.04 דולר גבוה יותר ללא ההוצאות, תוך ציון:
אנו מעריכים שטווח ההפסד בעניין זה הוא 3.0 עד 5.0 מיליארד דולר. העניין נותר ללא פתרון, ואין כל ביטחון לגבי העיתוי או התנאים של כל תוצאה סופית.
למחרת, ב-25 באפריל 2019, הודיעה Meta שהיא אוסרת על חידוני אישיות מהפלטפורמה שלה.
חברות ללא ספק ישקיעו בדרכים לאסוף נתונים, כמו מידע אישי מזהה (PII), כדי להציע מוצרים לצרכנים ולמקסם את הרווחים. ובכל זאת, הם יעמדו בתקנות מחמירות יותר בשנים הבאות.
מה מתאים כ-PII?
מידע המאפשר זיהוי אישי מוגדר על ידי ממשלת ארה"ב כ: "מידע שניתן להשתמש בו כדי להבחין או להתחקות אחר זהותו של אדם, כגון שמו, מספר תעודת זהות, רשומות ביומטריות וכו' בלבד, או בשילוב עם מידע אישי או מזהה אחר. אשר מקושר או ניתן לקישור לאדם מסוים, כגון תאריך ומקום לידה, שם נעוריה של האם וכו'."
מה זה לא PII?
נתונים אישיים אינם מסווגים כ-PII ונתונים לא אישיים כגון החברה בה אתה עובד, נתונים משותפים או נתונים אנונימיים.
מהי הפרת PII?
הפרות של PII אינן חוקיות, ולעתים קרובות כרוכות בהונאות כגון גניבת זהות. הפרות עשויות לנבוע גם מגישה, שימוש או חשיפה לא מורשית של PII. אי דיווח על הפרת PII יכול גם להיות הפרה.
מה עליך לעשות בעת שליחת דוא"ל PII?
מכיוון שדוא"ל לא תמיד מאובטח, נסה להימנע משליחת פרטים אישיים מזהים בדוא"ל. אם תצטרך, השתמש בהצפנה או בטכניקות אימות מאובטחות.
אילו חוקים מגנים על PII?
חוקים פדרליים ומדינתיים שונים להגנת הצרכן מגנים על PII ומענישים את השימוש הבלתי מורשה בו; למשל, חוק ועדת הסחר הפדרלית וחוק הפרטיות משנת 1974.
סיכום ומסקנות
מידע מזהה אישי (PII) הוא כל סוג של מידע שניתן להשתמש בו כדי לזהות מישהו, החל משמו וכתובתו ועד למספר הטלפון, פרטי הדרכון ומספרי הביטוח הלאומי שלו. מידע זה מהווה לעתים קרובות יעד לגנבי זהות, במיוחד דרך האינטרנט. מסיבה זו, חיוני לחברות וסוכנויות ממשלתיות לשמור על אבטחת מסדי הנתונים שלהם.
