Tres definiciones de PII que no encajan entre sí

¿Qué es la PII?

Tres textos distintos definen la PII, y ninguno de ellos cubre los mismos identificadores. La Special Publication 800-122 del NIST escribe la definición que se usa en toda la administración federal estadounidense, el GDPR nunca emplea el término y en su lugar define los "datos personales" en el artículo 4(1), y California define "personal information" en la sección 1798.140(v) de su Civil Code. Un campo que queda fuera de una definición cae de lleno dentro de otra, y por eso la casilla de "¿recopilas PII?" de un cuestionario de seguridad de proveedores no tiene respuesta correcta hasta que alguien dice a qué texto se refiere.

¿Qué define NIST SP 800-122 como PII?

NIST SP 800-122 define la PII en dos partes, una sobre identificación y otra sobre vinculación. La publicación, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), se publicó en abril de 2010. Su resumen ejecutivo afirma que la PII es:

any information about an individual maintained by an agency, including (1) any information that can be used to distinguish or trace an individual's identity, such as name, social security number, date and place of birth, mother's maiden name, or biometric records; and (2) any other information that is linked or linkable to an individual, such as medical, educational, financial, and employment information.

Una nota al pie deja constancia de dónde salió la redacción: es "the GAO expression of an amalgam of the definitions of PII from OMB Memorandums 07-16 and 06-19", tomada del informe 08-536 de la GAO de mayo de 2008. La definición técnica canónica de PII en Estados Unidos es la paráfrasis de una oficina de auditoría sobre dos memorandos presupuestarios, no una ley.

La sección 2.2 enumera ejemplos: nombre, número de identificación personal, información de dirección incluida la dirección de correo electrónico, números de teléfono, características personales incluidas la imagen fotográfica y las plantillas biométricas, y los datos de matriculación de vehículos. La entrada que importa para un equipo web dice: "Asset information, such as Internet Protocol (IP) or Media Access Control (MAC) address or other host-specific persistent static identifier that consistently links to a particular person or small, well-defined group of people." Lee el matiz. Un ID de cookie, un ID de dispositivo y una IP dinámica rotatoria no aparecen nombrados en ninguna parte de la sección 2.2.

El NIST hace entonces algo que ninguna de las dos leyes hace: gradúa la PII. La sección 3 asigna a cada conjunto de datos un nivel de impacto en la confidencialidad de la PII de bajo, moderado o alto, usando seis factores, que son la identificabilidad, la cantidad de PII, la sensibilidad de los campos, el contexto de uso, las obligaciones de proteger la confidencialidad, y el acceso a la PII y su ubicación. También acepta que parte de la PII no necesita ninguna protección de confidencialidad, y pone como ejemplo el directorio telefónico público de una organización. Ni el GDPR ni la CCPA tienen una escala de graduación equivalente.

La línea sobre el alcance importa tanto como la definición. Las recomendaciones están "intended primarily for U.S. Federal government agencies and those who conduct business on behalf of the agencies". Una empresa privada que le cita NIST SP 800-122 a un auditor está tomando prestado un vocabulario, no invocando una obligación.

¿Qué cubre en su lugar el artículo 4(1) del GDPR?

El GDPR cubre cualquier información relativa a una persona física identificable, y nunca usa la abreviatura PII. El artículo 4(1) dice:

"datos personales": toda información sobre una persona física identificada o identificable ("el interesado"); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona

"Identificador en línea" es la cláusula que arrastra a la analítica web, y el considerando 30 dice qué significa: "Las personas físicas pueden ser asociadas a identificadores en línea facilitados por sus dispositivos, aplicaciones, herramientas y protocolos, como direcciones de los protocolos de internet, identificadores de sesión en forma de cookies u otros identificadores, como etiquetas de identificación por radiofrecuencia". Sin matiz de estático, sin requisito de persistencia.

El considerando 26 fija la prueba de identificabilidad. Deben tenerse en cuenta "todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona", ponderados frente a "los costes y el tiempo necesarios para la identificación". El mismo considerando confirma que los datos seudonimizados siguen siendo datos personales, que es la diferencia que separa en la práctica la seudonimización de la anonimización.

El nivel sensible del GDPR es el artículo 9, que prohíbe el tratamiento de datos que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, además de los datos genéticos, los datos biométricos usados para la identificación unívoca, los datos de salud y los datos relativos a la vida sexual o la orientación sexual. Esa lista es lo que significan los datos personales sensibles según el RGPD, y no incluye un número de identidad nacional, una contraseña ni una ubicación precisa.

¿Qué considera la CCPA información personal?

La CCPA define la información personal en torno a un consumidor o un hogar, cosa que ningún otro marco de aquí hace. La sección 1798.140(v)(1), en la versión en vigor desde el 1 de enero de 2026 tras la modificación introducida por la AB 1170, la define como "information that identifies, relates to, describes, is reasonably capable of being associated with, or could reasonably be linked, directly or indirectly, with a particular consumer or household".

La ley enumera después doce categorías, de la (A) a la (L). El subapartado (A) nombra sin más "Internet Protocol address", junto al nombre real, el alias, la dirección postal, el identificador personal único, el identificador en línea, la dirección de correo electrónico, el nombre de cuenta, el número de la seguridad social, el número de permiso de conducir y el número de pasaporte. El subapartado (F) nombra "browsing history, search history, and information regarding a consumer's interaction with an internet website application, or advertisement". El subapartado (K) nombra las inferencias "drawn from any of the information identified in this subdivision to create a profile about a consumer".

Por separado, el apartado (aj) define un identificador personal único de modo que incluya "cookies, beacons, pixel tags, mobile ad identifiers, or similar technology". El stack de tracking aparece nombrado por categoría de producto en la propia ley.

Dos exclusiones vuelven a sacar datos del perímetro. El apartado (v)(2) excluye la información disponible públicamente, definida de forma que cubre los registros públicos y la información que el consumidor puso a disposición del público general sin restringir la audiencia. El apartado (v)(3) excluye la información desidentificada y la información agregada de consumidores. El apartado (ae) define luego un nivel sensible aparte que cubre el número de la seguridad social, las credenciales de acceso a cuentas, la geolocalización precisa, los datos genéticos y los datos neuronales, donde la geolocalización precisa lleva un número asociado: cualquier dato usado para situar a un consumidor dentro de "a circle with a radius of 1,850 feet".

La CCPA además solo se aplica a una empresa que supere uno de los tres umbrales del apartado (d)(1): ingresos brutos superiores a $25,000,000, comprar, vender o compartir la información personal de 100,000 consumidores u hogares o más, o obtener el 50 por ciento o más de los ingresos anuales de vender o compartir información personal. El GDPR no tiene ningún suelo de ingresos. Una comparación más completa de ambos regímenes está en la comparación entre la CCPA y el GDPR.

¿En qué discrepan las tres definiciones?

Discrepan en el sujeto, en los identificadores y en lo que vuelve a quedar fuera. Esta tabla lee cada identificador frente al texto que lo nombra.

De esa rejilla se siguen tres desajustes estructurales. El sujeto difiere: el NIST protege a un individuo, el GDPR protege a una persona física y solo la CCPA protege a un hogar como unidad, así que los datos de dispositivos y direcciones compartidas están regulados en California y sin regular en el resto. La información disponible públicamente sigue siendo dato personal bajo el GDPR y deja de ser información personal bajo la CCPA. Y los niveles sensibles apenas se solapan: el artículo 9 cubre las opiniones políticas, que la lista de la CCPA no nombra, mientras que la CCPA cubre las credenciales de cuenta, la geolocalización precisa y los datos neuronales, ninguno de los cuales aparece en el artículo 9.

¿Es una dirección IP un dato PII?

Una dirección IP es un dato personal bajo el GDPR cuando la parte que la posee tiene una vía lícita para identificar a la persona que hay detrás. El Tribunal de Justicia zanjó esto en el asunto C-582/14, Patrick Breyer contra Bundesrepublik Deutschland, resuelto el 19 de octubre de 2016. El fallo sostiene que una dirección IP dinámica registrada por un proveedor de servicios de medios en línea

constituye respecto a dicho proveedor un dato personal en el sentido de la referida disposición, cuando este disponga de medios legales que le permitan identificar a la persona interesada gracias a la información adicional de que dispone el proveedor de acceso a internet de dicha persona.

El apartado 43 concluye que "no se requiere que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona". El apartado 46 marca el límite, excluyendo la identificación que estuviera "prohibida por la ley o fuera prácticamente irrealizable" porque exigiría un tiempo, unos costes y una mano de obra desmesurados.

Bajo la CCPA no hace falta ese análisis, porque la dirección IP aparece listada por su nombre. Bajo NIST SP 800-122 el ejemplo cubre un identificador estático persistente, así que una IP residencial rotatoria queda fuera de la ilustración aunque la mitad de la definición sobre lo vinculado o vinculable todavía pueda alcanzarla. Toda la divergencia cabe en un solo campo, desarrollado más a fondo en si una dirección IP es un dato personal.

La analítica que prioriza la privacidad informa del tráfico y las conversiones sin cookies ni recogida de datos personales, lo que elimina la pregunta del identificador de la capa de informes en lugar de responderla, y el enmascarado en session replay es donde la misma pregunta reaparece a nivel del DOM.

Preguntas frecuentes

¿El GDPR usa el término PII?

No. El GDPR usa "datos personales" en todo su texto y nunca emplea la abreviatura PII. El artículo 4(1) es la definición, y los considerandos 26 y 30 aportan la prueba de identificabilidad y los ejemplos de identificadores en línea. Tratar ambos como sinónimos subestima el alcance del GDPR, porque los datos personales llegan a inferencias, registros seudonimizados e identificadores en línea que la lista de ejemplos del NIST no nombra.

¿Los datos con hash siguen siendo PII?

El hash es seudonimización, no anonimización, siempre que el hash pueda cruzarse con información adicional. El considerando 26 del GDPR afirma que los datos que "cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable". La CCPA define la seudonimización en el apartado (aa) y solo excluye la información desidentificada y la información agregada de consumidores en el apartado (v)(3), así que un hash reversible sigue siendo información personal.

¿La CCPA se aplica a todas las empresas?

No. La sección 1798.140(d)(1) fija tres umbrales y una empresa debe cumplir al menos uno: ingresos brutos superiores a $25,000,000 en el año natural anterior, comprar, vender o compartir la información personal de 100,000 consumidores u hogares o más, u obtener el 50 por ciento o más de los ingresos anuales de vender o compartir información personal.

¿Cuál es la diferencia entre PII e información personal sensible?

La información personal sensible es un subconjunto nombrado que activa obligaciones adicionales. La CCPA la define en el apartado (ae): número de la seguridad social, credenciales de acceso a cuentas, geolocalización precisa, origen racial o étnico, datos genéticos y datos neuronales. El equivalente del GDPR es el artículo 9, construido alrededor del origen racial o étnico, las opiniones políticas, la religión, la afiliación sindical, la genética, la biometría para identificación, la salud y la vida sexual.

¿Los datos analíticos agregados son PII?

No bajo la CCPA, que excluye la información agregada de consumidores en el apartado (v)(3) y la define en el apartado (b) como información "from which individual consumer identities have been removed, that is not linked or reasonably linkable to any consumer or household". El GDPR llega al mismo resultado a través del considerando 26, pero solo si ningún medio que razonablemente sea probable que se utilice pudiera volver a singularizar a una persona.

¿Cuánta precisión necesita una ubicación para que la CCPA la considere sensible?

El apartado (w) define la geolocalización precisa como los datos usados para situar a un consumidor dentro de "a geographic area that is equal to or less than the area of a circle with a radius of 1,850 feet". La ubicación a nivel de ciudad derivada de una dirección IP queda muy por fuera de ese radio y no es geolocalización precisa según la ley.

¿Se aplica la NIST SP 800-122 a empresas privadas?

La NIST SP 800-122 está escrita principalmente para agencias federales de EE. UU. y para los contratistas que trabajan en su nombre, no para empresas privadas en general. Un proveedor que cita la publicación en un cuestionario de seguridad toma prestado un vocabulario federal, no señala una obligación que le vincule. La publicación no crea una obligación como sí lo hacen el artículo 4(1) del GDPR o la CCPA 1798.140(v) para las entidades que cubren.

¿El historial de navegación es PII?

La CCPA nombra el historial de navegación y de búsqueda directamente en el subapartado (v)(1)(F), por lo que cuenta como información personal sin discusión. El GDPR llega al mismo resultado a través de la definición general del artículo 4(1), ya que la actividad de navegación se relaciona con una persona identificable. Los ejemplos de la sección 2.2 de la NIST SP 800-122 nunca mencionan el historial de navegación.

¿El GDPR clasifica la PII por nivel de riesgo como la NIST?

Clasificar por nivel de riesgo es una característica propia de la NIST que ni el GDPR ni la CCPA reproducen. La NIST SP 800-122 asigna a cada conjunto de PII un nivel de impacto de confidencialidad bajo, moderado o alto, según seis factores que incluyen la identificabilidad y la sensibilidad de los campos de datos. El GDPR y la CCPA fijan sus obligaciones por categoría de dato, mediante niveles como el artículo 9 y la subdivisión (ae) de la CCPA, en lugar de una escala puntuada.

¿Los datos de un hogar cuentan como PII?

Solo bajo la CCPA, que protege a un hogar además de a un consumidor particular y define hogar en la subdivisión (q). La NIST SP 800-122 y el artículo 4(1) del GDPR se detienen en el individuo, así que los datos de un dispositivo o una dirección compartidos quedan regulados en California y sin regular en los otros dos marcos. Esa es una de las tres discrepancias estructurales que producen las tres definiciones.