Tre definizioni di PII che non coincidono

Che cos'è il PII?

Tre testi diversi definiscono il PII e nessuno di loro copre gli stessi identificatori. Il NIST Special Publication 800-122 scrive la definizione usata in tutto il governo federale degli Stati Uniti, il GDPR non usa mai il termine e definisce invece i "dati personali" all'articolo 4, paragrafo 1, mentre la California definisce le "informazioni personali" nel Civil Code, sezione 1798.140(v). Un campo escluso da una definizione rientra in pieno in un'altra, ed è per questo che la casella "raccogli PII?" in un questionario di sicurezza per fornitori non ha una risposta corretta finché qualcuno non dice a quale testo si fa riferimento.

Come definisce il PII il NIST SP 800-122?

Il NIST SP 800-122 definisce il PII in due parti, una sull'identificazione e una sul collegamento. La pubblicazione, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), è uscita nell'aprile 2010. Il suo riepilogo esecutivo afferma che il PII è:

qualsiasi informazione su un individuo conservata da un'agenzia, comprese (1) tutte le informazioni che possono servire a distinguere o rintracciare l'identità di una persona, come nome, numero di previdenza sociale, data e luogo di nascita, cognome da nubile della madre o dati biometrici; e (2) qualsiasi altra informazione collegata o collegabile a un individuo, come le informazioni mediche, scolastiche, finanziarie e lavorative.

Una nota a piè di pagina indica da dove viene la formulazione: è "l'espressione del GAO come amalgama delle definizioni di PII dei Memorandum OMB 07-16 e 06-19", ripresa dal rapporto GAO 08-536 del maggio 2008. La definizione tecnica statunitense di riferimento per il PII è quindi una parafrasi, scritta da un ufficio di controllo, di due memorandum dell'ufficio del bilancio. Non è una legge.

La sezione 2.2 elenca alcuni esempi: nome, numero di identificazione personale, dati di indirizzo compreso l'indirizzo email, numeri di telefono, caratteristiche personali tra cui immagine fotografica e modelli biometrici, dati di immatricolazione del veicolo. La voce che conta per un team web recita: "Informazioni sulle risorse, come l'indirizzo Internet Protocol (IP) o Media Access Control (MAC) o altro identificatore statico persistente specifico dell'host che si collega in modo costante a una determinata persona o a un piccolo gruppo ben definito di persone." Leggi bene il requisito. Un ID cookie, un ID dispositivo e un IP dinamico che cambia non sono nominati da nessuna parte nella sezione 2.2.

Poi il NIST fa quello che nessuna delle due leggi fa: classifica il PII. La sezione 3 assegna a ogni insieme di dati un livello di impatto sulla riservatezza del PII, basso, moderato o alto, in base a sei fattori: identificabilità, quantità di PII, sensibilità dei campi, contesto d'uso, obblighi di tutela della riservatezza, accesso e posizione del PII. Ammette anche che certo PII non richiede alcuna protezione della riservatezza, e porta come esempio la rubrica telefonica pubblica di un'organizzazione. Né il GDPR né il CCPA hanno una scala di classificazione equivalente.

La riga sull'ambito di applicazione pesa quanto la definizione. Le raccomandazioni sono "pensate principalmente per le agenzie del governo federale degli Stati Uniti e per chi opera per conto delle agenzie". Un'azienda privata che cita il NIST SP 800-122 a un auditor prende in prestito un vocabolario, non invoca un obbligo.

Cosa copre invece l'articolo 4(1) del GDPR?

Il GDPR copre qualsiasi informazione riguardante una persona fisica identificabile e non usa mai la sigla PII. L'articolo 4, paragrafo 1, recita:

"dato personale": qualsiasi informazione riguardante una persona fisica identificata o identificabile ("interessato"); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale

"Identificativo online" è la clausola che porta dentro le analytics web, e il considerando 30 ne spiega il significato: "Le persone fisiche possono essere associate a identificativi online prodotti dai dispositivi, dalle applicazioni, dagli strumenti e dai protocolli, quali gli indirizzi IP, marcatori temporanei (cookies) o identificativi di altro tipo, come i tag di identificazione a radiofrequenza." Nessun requisito di staticità, nessun obbligo di persistenza.

Il considerando 26 stabilisce il criterio di identificabilità. Si deve tenere conto di "tutti i mezzi, come l'individuazione, di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi", valutati in base ai "costi e [al] tempo necessari per l'identificazione". Lo stesso considerando conferma che i dati pseudonimizzati restano dati personali, ed è la differenza che separa pseudonimizzazione e anonimizzazione nella pratica.

Il livello sensibile del GDPR è l'articolo 9, che vieta il trattamento di dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale, oltre ai dati genetici, ai dati biometrici usati per identificare una persona in modo univoco, ai dati sulla salute e ai dati relativi alla vita sessuale o all'orientamento sessuale. Quell'elenco è ciò che si intende per dati personali sensibili nel GDPR e non comprende un numero di documento d'identità nazionale, una password o una posizione precisa.

Cosa considera informazione personale il CCPA?

Il CCPA definisce le informazioni personali intorno a un consumatore o a un nucleo familiare, cosa che nessun altro quadro normativo qui citato fa. La sezione 1798.140(v)(1), nella versione in vigore dal 1° gennaio 2026 dopo la modifica introdotta dall'AB 1170, le definisce come "informazioni che identificano, riguardano, descrivono, sono ragionevolmente associabili o potrebbero ragionevolmente essere collegate, direttamente o indirettamente, a un determinato consumatore o nucleo familiare".

La legge elenca poi dodici categorie, indicate con le lettere da (A) a (L). Il sottoparagrafo (A) cita senza giri di parole l'"indirizzo Internet Protocol", insieme a nome reale, alias, indirizzo postale, identificatore personale univoco, identificatore online, indirizzo email, nome dell'account, numero di previdenza sociale, numero della patente di guida e numero di passaporto. Il sottoparagrafo (F) cita la "cronologia di navigazione, la cronologia delle ricerche e le informazioni sull'interazione di un consumatore con un sito web, un'applicazione o una pubblicità". Il sottoparagrafo (K) cita le inferenze "tratte da qualsiasi informazione indicata in questa suddivisione per creare un profilo di un consumatore".

A parte, la suddivisione (aj) stabilisce che un identificatore personale univoco comprende "cookie, beacon, pixel tag, identificatori pubblicitari mobili o tecnologie simili". Lo stack di tracciamento è dunque nominato per categoria di prodotto nel testo di legge stesso.

Due esclusioni riportano alcuni dati fuori dall'ambito di applicazione. La suddivisione (v)(2) esclude le informazioni pubblicamente disponibili, definite in modo da includere i registri pubblici e le informazioni che il consumatore ha reso disponibili al pubblico generale senza limitarne i destinatari. La suddivisione (v)(3) esclude le informazioni sui consumatori deidentificate e aggregate. La suddivisione (ae) definisce poi un livello distinto di dati sensibili, che comprende numero di previdenza sociale, credenziali di accesso all'account, geolocalizzazione precisa, dati genetici e dati neurali. Per la geolocalizzazione precisa la norma indica un numero: qualsiasi dato usato per localizzare un consumatore entro "un cerchio con un raggio di 1.850 piedi".

Il CCPA, inoltre, si applica solo a un'impresa che supera una delle tre soglie previste dalla suddivisione (d)(1): ricavi lordi superiori a 25.000.000 $, acquisto, vendita o condivisione delle informazioni personali di 100.000 o più consumatori o nuclei familiari, oppure almeno il 50 per cento dei ricavi annuali derivante dalla vendita o dalla condivisione di informazioni personali. Il GDPR non prevede alcuna soglia di fatturato. Un confronto più completo tra i due regimi si trova nel confronto tra CCPA e GDPR.

Dove divergono le tre definizioni?

Divergono sul soggetto, sugli identificatori e su ciò che resta escluso. Questa tabella legge ogni identificatore alla luce del testo che lo nomina.

Da questa griglia emergono tre disallineamenti strutturali. Il soggetto cambia: il NIST protegge un individuo, il GDPR protegge una persona fisica e solo il CCPA protegge un nucleo familiare come unità, quindi i dati di dispositivi e indirizzi condivisi sono regolati in California e non regolati altrove. Le informazioni pubblicamente disponibili restano dati personali per il GDPR e smettono di essere informazioni personali per il CCPA. Infine, i livelli sensibili si sovrappongono poco: l'Articolo 9 copre le opinioni politiche, che l'elenco del CCPA non nomina, mentre il CCPA copre credenziali di accesso, geolocalizzazione precisa e dati neurali, nessuno dei quali compare nell'Articolo 9.

Un indirizzo IP è un dato PII?

Un indirizzo IP è un dato personale ai sensi del GDPR quando chi lo detiene ha una via legittima per identificare la persona che vi sta dietro. La Corte di giustizia ha chiarito la questione nella causa C-582/14, Patrick Breyer contro Bundesrepublik Deutschland, decisa il 19 ottobre 2016. La statuizione operativa stabilisce che un indirizzo IP dinamico registrato da un fornitore di servizi di media online

costituisce un dato personale ai sensi di tale disposizione, nei confronti di detto fornitore, qualora quest'ultimo disponga di mezzi legali che gli consentano di identificare la persona interessata grazie ad altre informazioni che il fornitore di accesso a Internet detiene su tale persona.

Il paragrafo 43 conclude che "non è necessario che tutte le informazioni che consentono di identificare la persona interessata si trovino nelle mani di un'unica persona". Il paragrafo 46 fissa il limite, escludendo l'identificazione "vietata dalla legge o praticamente impossibile" perché richiederebbe tempo, costi e personale sproporzionati.

Con il CCPA non serve alcuna analisi del genere, perché l'indirizzo IP è elencato per nome. Con il NIST SP 800-122 l'esempio riguarda un identificatore statico persistente, quindi un IP residenziale che cambia resta fuori dall'illustrazione, anche se la metà della definizione sul "collegato o collegabile" può comunque comprenderlo. L'intera divergenza sta in un solo campo, approfondito in un indirizzo IP è un dato personale?.

Privacy first analytics riporta traffico e conversioni senza cookie e senza raccolta di dati personali, il che toglie la questione dell'identificatore dal livello di reportistica invece di risolverla, e il masking nel session replay è il punto in cui la stessa questione riemerge a livello di DOM.

Domande frequenti

Il GDPR usa il termine PII?

No. Il GDPR parla sempre di "dati personali" e non usa mai la sigla PII. L'articolo 4(1) contiene la definizione, mentre i considerando 26 e 30 forniscono il test di identificabilità e gli esempi di identificativi online. Trattare i due termini come sinonimi sottostima l'ambito del GDPR, perché i dati personali comprendono inferenze, record pseudonimizzati e identificativi online che l'elenco di esempi del NIST non nomina.

Un dato sottoposto ad hashing è ancora PII?

L'hashing è pseudonimizzazione, non anonimizzazione, ogni volta che l'hash può essere associato a informazioni aggiuntive. Il considerando 26 del GDPR afferma che i dati che "could be attributed to a natural person by the use of additional information should be considered to be information on an identifiable natural person", cioè i dati attribuibili a una persona fisica mediante l'uso di informazioni aggiuntive vanno considerati informazioni su una persona fisica identificabile. Il CCPA definisce la pseudonimizzazione alla lettera (aa) ed esclude solo le informazioni di consumatori deidentificate e aggregate alla lettera (v)(3), quindi un hash reversibile resta un'informazione personale.

Il CCPA si applica a ogni azienda?

No. La sezione 1798.140(d)(1) fissa tre soglie e un'azienda deve superarne almeno una: ricavi lordi superiori a $25.000.000 nell'anno solare precedente, acquisto, vendita o condivisione delle informazioni personali di 100.000 o più consumatori o nuclei familiari, oppure almeno il 50 per cento dei ricavi annui derivato dalla vendita o dalla condivisione di informazioni personali.

Che differenza c'è tra PII e informazioni personali sensibili?

Le informazioni personali sensibili sono un sottoinsieme definito che fa scattare obblighi aggiuntivi. Il CCPA le definisce alla lettera (ae): numero di previdenza sociale, credenziali di accesso agli account, geolocalizzazione precisa, origine razziale o etnica, dati genetici e dati neurali. L'equivalente nel GDPR è l'articolo 9, costruito attorno a origine razziale o etnica, opinioni politiche, religione, appartenenza sindacale, dati genetici, dati biometrici per l'identificazione, salute e vita sessuale.

I dati di analytics aggregati sono PII?

Non secondo il CCPA, che esclude le informazioni aggregate sui consumatori alla lettera (v)(3) e le definisce alla lettera (b) come informazioni "from which individual consumer identities have been removed, that is not linked or reasonably linkable to any consumer or household", cioè da cui sono state rimosse le identità dei singoli consumatori e che non sono collegate né ragionevolmente collegabili a un consumatore o a un nucleo familiare. Il GDPR arriva allo stesso risultato attraverso il considerando 26, ma solo se nessun mezzo ragionevolmente utilizzabile potrebbe permettere di individuare di nuovo una persona.

Quanto deve essere precisa la posizione perché il CCPA la consideri sensibile?

La lettera (w) definisce la geolocalizzazione precisa come i dati usati per localizzare un consumatore entro "a geographic area that is equal to or less than the area of a circle with a radius of 1,850 feet", cioè un'area geografica uguale o inferiore a quella di un cerchio con raggio di 1.850 piedi. La posizione a livello di città ricavata da un indirizzo IP è molto al di fuori di quel raggio e per la legge non è geolocalizzazione precisa.

Il NIST SP 800-122 si applica alle aziende private?

Il NIST SP 800-122 è scritto soprattutto per le agenzie federali degli Stati Uniti e per i contraenti che lavorano con loro, non per le aziende private in generale. Un fornitore che lo cita in un questionario di sicurezza sta prendendo in prestito un vocabolario federale, non indicando una legge che lo vincola. La pubblicazione non crea alcun obbligo nel modo in cui lo fanno l'articolo 4(1) del GDPR o la sezione 1798.140(v) del CCPA per i soggetti che rientrano nel loro ambito.

La cronologia di navigazione è PII?

Il CCPA nomina espressamente la cronologia di navigazione e la cronologia delle ricerche al sottoparagrafo (v)(1)(F), quindi conta come informazione personale senza discussioni. Il GDPR arriva allo stesso risultato con la definizione generale dell'articolo 4(1), perché l'attività di navigazione riguarda una persona identificabile. Gli esempi della sezione 2.2 del NIST SP 800-122 non menzionano affatto la cronologia di navigazione.

Il GDPR classifica le PII per livello di rischio come fa il NIST?

La classificazione per livello di rischio è una caratteristica specifica del NIST che né il GDPR né il CCPA replicano. Il NIST SP 800-122 assegna a ogni insieme di PII un livello di impatto sulla riservatezza basso, moderato o alto, in base a sei fattori, tra cui identificabilità e sensibilità dei campi di dati. Il GDPR e il CCPA stabiliscono invece gli obblighi per categoria di dati, attraverso livelli come l'articolo 9 e la lettera (ae) del CCPA, e non con una scala a punteggio.

I dati del nucleo familiare sono coperti come PII?

Solo dal CCPA, che protegge il nucleo familiare oltre al singolo consumatore e lo definisce alla lettera (q). Il NIST SP 800-122 e l'articolo 4(1) del GDPR si fermano entrambi al singolo individuo, quindi i dati di dispositivi e indirizzi condivisi sono regolati in California e non regolati negli altri due quadri. Questa differenza è uno dei tre squilibri strutturali che le definizioni producono.