Três definições de PII que não coincidem entre si

O que é PII?

Três textos separados definem PII, e nenhum deles cobre os mesmos identificadores. A NIST Special Publication 800-122 escreve a definição usada em todo o governo federal dos EUA, o GDPR nunca usa o termo e define "personal data" no Artigo 4(1), e a Califórnia define "personal information" na seção 1798.140(v) do Civil Code. Um campo que fica fora de uma definição cai bem dentro de outra, e é por isso que a caixa "você coleta PII?" em um questionário de segurança de fornecedor não tem resposta correta até que alguém diga de qual texto se trata.

O que a NIST SP 800-122 define como PII?

A NIST SP 800-122 define PII em duas partes, uma sobre identificação e outra sobre vínculo. A publicação, Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), saiu em abril de 2010. Seu sumário executivo afirma que PII é:

any information about an individual maintained by an agency, including (1) any information that can be used to distinguish or trace an individual's identity, such as name, social security number, date and place of birth, mother's maiden name, or biometric records; and (2) any other information that is linked or linkable to an individual, such as medical, educational, financial, and employment information.

Uma nota de rodapé registra de onde veio a redação: ela é "the GAO expression of an amalgam of the definitions of PII from OMB Memorandums 07-16 and 06-19", retirada do GAO Report 08-536 de maio de 2008. A definição técnica canônica de PII nos EUA é uma paráfrase de um órgão de auditoria sobre dois memorandos orçamentários, e não um estatuto.

A seção 2.2 lista exemplos: nome, número de identificação pessoal, informações de endereço incluindo endereço de e-mail, números de telefone, características pessoais incluindo imagem fotográfica e modelos biométricos, e dados de registro de veículo. A entrada que importa para um time de web diz: "Asset information, such as Internet Protocol (IP) or Media Access Control (MAC) address or other host-specific persistent static identifier that consistently links to a particular person or small, well-defined group of people." Leia a ressalva. Um cookie ID, um device ID e um IP dinâmico rotativo não são nomeados em lugar nenhum da seção 2.2.

A NIST então faz algo que nenhuma das duas leis faz: ela gradua a PII. A seção 3 atribui a cada acervo um nível de impacto de confidencialidade de PII baixo, moderado ou alto, usando seis fatores, que são identificabilidade, quantidade de PII, sensibilidade do campo de dados, contexto de uso, obrigações de proteger a confidencialidade, e acesso e localização da PII. Ela também aceita que parte da PII não precisa de nenhuma proteção de confidencialidade, dando como exemplo a lista telefônica pública de uma organização. Nem o GDPR nem a CCPA têm escala de graduação equivalente.

A linha de escopo importa tanto quanto a definição. As recomendações são "intended primarily for U.S. Federal government agencies and those who conduct business on behalf of the agencies". Uma empresa privada que cita a NIST SP 800-122 para um auditor está tomando emprestado um vocabulário, não invocando uma obrigação.

O que o Artigo 4(1) do GDPR cobre em vez disso?

O GDPR cobre qualquer informação relativa a uma pessoa natural identificável, e nunca usa a abreviação PII. O Artigo 4(1) diz:

'personal data' means any information relating to an identified or identifiable natural person ('data subject'); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person

"Online identifier" é a cláusula que puxa a analytics de web para dentro, e o Considerando 30 diz o que ela significa: "Natural persons may be associated with online identifiers provided by their devices, applications, tools and protocols, such as internet protocol addresses, cookie identifiers or other identifiers such as radio frequency identification tags." Nenhum qualificador de estático, nenhuma exigência de persistência.

O Considerando 26 define o teste de identificabilidade. Deve-se levar em conta "all the means reasonably likely to be used, such as singling out, either by the controller or by another person", pesados contra "the costs of and the amount of time required for identification". O mesmo considerando confirma que dados pseudonimizados continuam sendo dados pessoais, que é a diferença que separa pseudonimização de anonimização na prática.

O nível sensível do GDPR é o Artigo 9, que proíbe o tratamento de dados que revelem origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas ou filiação sindical, além de dados genéticos, dados biométricos usados para identificação única, dados de saúde e dados relativos à vida sexual ou à orientação sexual. Essa lista é o que são dados pessoais sensíveis no GDPR, e ela não inclui número de identidade nacional, senha nem localização precisa.

O que a CCPA conta como informação pessoal?

A CCPA define informação pessoal em torno de um consumidor ou de um domicílio, o que nenhum outro texto aqui faz. A seção 1798.140(v)(1), na versão em vigor desde 1 de janeiro de 2026 após a emenda AB 1170, a define como "information that identifies, relates to, describes, is reasonably capable of being associated with, or could reasonably be linked, directly or indirectly, with a particular consumer or household".

O estatuto então enumera doze categorias, de (A) a (L). A alínea (A) nomeia "Internet Protocol address" de forma direta, ao lado de nome real, pseudônimo, endereço postal, identificador pessoal único, identificador online, endereço de e-mail, nome de conta, número de seguro social, número de carteira de motorista e número de passaporte. A alínea (F) nomeia "browsing history, search history, and information regarding a consumer's interaction with an internet website application, or advertisement". A alínea (K) nomeia inferências "drawn from any of the information identified in this subdivision to create a profile about a consumer".

Em separado, a subdivisão (aj) define identificador pessoal único de modo a incluir "cookies, beacons, pixel tags, mobile ad identifiers, or similar technology". A pilha de rastreamento é nomeada por categoria de produto dentro do próprio estatuto.

Duas exclusões puxam dados de volta para fora. A subdivisão (v)(2) exclui informação publicamente disponível, definida de modo a cobrir registros do governo e informação que o consumidor tornou disponível ao público geral sem restringir a audiência. A subdivisão (v)(3) exclui informação desidentificada e informação agregada de consumidores. A subdivisão (ae) então define um nível sensível separado cobrindo número de seguro social, credenciais de acesso a conta, geolocalização precisa, dados genéticos e dados neurais, onde a geolocalização precisa tem um número anexado: qualquer dado usado para localizar um consumidor dentro de "a circle with a radius of 1,850 feet".

A CCPA também só se aplica a uma empresa que atinja um de três limiares na subdivisão (d)(1): receita bruta acima de $25,000,000, compra, venda ou compartilhamento da informação pessoal de 100.000 ou mais consumidores ou domicílios, ou obtenção de 50 por cento ou mais da receita anual com a venda ou o compartilhamento de informação pessoal. O GDPR não tem piso de receita. Um confronto mais completo dos dois regimes está na comparação entre CCPA e GDPR.

Onde as três definições divergem?

Elas divergem quanto ao sujeito, quanto aos identificadores e quanto ao que fica de fora. Esta tabela lê cada identificador contra o texto que o nomeia.

Três descompassos estruturais decorrem dessa grade. O sujeito difere: a NIST protege um indivíduo, o GDPR protege uma pessoa natural, e só a CCPA protege o domicílio como unidade, então dados de dispositivo compartilhado e de endereço compartilhado são regulados na Califórnia e não regulados em outros lugares. Informação publicamente disponível continua sendo dado pessoal sob o GDPR e deixa de ser informação pessoal sob a CCPA. E os níveis sensíveis mal se sobrepõem: o Artigo 9 cobre opiniões políticas, que a lista da CCPA não nomeia, enquanto a CCPA cobre credenciais de conta, geolocalização precisa e dados neurais, nenhum dos quais aparece no Artigo 9.

Um endereço IP é PII?

Um endereço IP é dado pessoal sob o GDPR quando a parte que o detém tem uma via legal para identificar a pessoa por trás dele. O Tribunal de Justiça resolveu isso no Caso C-582/14, Patrick Breyer v Bundesrepublik Deutschland, decidido em 19 de outubro de 2016. A parte dispositiva sustenta que um endereço IP dinâmico registrado por um provedor de serviços de mídia online

constitutes personal data within the meaning of that provision, in relation to that provider, where the latter has the legal means which enable it to identify the data subject with additional data which the internet service provider has about that person.

O parágrafo 43 conclui que "it is not required that all the information enabling the identification of the data subject must be in the hands of one person". O parágrafo 46 estabelece o limite, excluindo a identificação que seja "prohibited by law or practically impossible" por exigir tempo, custo e pessoal desproporcionais.

Sob a CCPA nenhuma dessa análise é necessária, porque o endereço IP está listado pelo nome. Sob a NIST SP 800-122 o exemplo cobre um identificador estático persistente, então um IP residencial rotativo fica fora da ilustração ainda que a metade da definição sobre vínculo possa alcançá-lo mesmo assim. Toda a divergência cabe em um único campo, destrinchado melhor em se um endereço IP é dado pessoal.

O analytics com privacidade em primeiro lugar reporta tráfego e conversões sem cookies nem coleta de dados pessoais, o que remove a questão do identificador da camada de relatórios em vez de respondê-la, e o mascaramento em session replay é onde a mesma pergunta ressurge no nível do DOM.

Perguntas frequentes

O GDPR usa o termo PII?

Não. O GDPR usa "personal data" do começo ao fim e nunca usa a abreviação PII. O Artigo 4(1) é a definição, e os Considerandos 26 e 30 fornecem o teste de identificabilidade e os exemplos de identificador online. Tratar os dois como sinônimos subestima o alcance do GDPR, porque dado pessoal alcança inferências, registros pseudonimizados e identificadores online que a lista de exemplos da NIST não nomeia.

Dado com hash continua sendo PII?

Hashing é pseudonimização, não anonimização, sempre que o hash pode ser cruzado com informação adicional. O Considerando 26 do GDPR afirma que dados que "could be attributed to a natural person by the use of additional information should be considered to be information on an identifiable natural person". A CCPA define pseudonimização na subdivisão (aa) e exclui apenas informação desidentificada e informação agregada de consumidores em (v)(3), então um hash reversível continua sendo informação pessoal.

A CCPA se aplica a toda empresa?

Não. A seção 1798.140(d)(1) define três limiares e a empresa precisa atender a pelo menos um: receita bruta acima de $25,000,000 no ano civil anterior, compra, venda ou compartilhamento da informação pessoal de 100.000 ou mais consumidores ou domicílios, ou obtenção de 50 por cento ou mais da receita anual com a venda ou o compartilhamento de informação pessoal.

Qual é a diferença entre PII e informação pessoal sensível?

Informação pessoal sensível é um subconjunto nomeado que dispara obrigações extras. A CCPA a define na subdivisão (ae): número de seguro social, credenciais de acesso a conta, geolocalização precisa, origem racial ou étnica, dados genéticos e dados neurais. O equivalente no GDPR é o Artigo 9, construído em torno de origem racial ou étnica, opiniões políticas, religião, filiação sindical, genética, biometria para identificação, saúde e vida sexual.

Dados agregados de analytics são PII?

Não sob a CCPA, que exclui informação agregada de consumidores na subdivisão (v)(3) e a define na subdivisão (b) como informação "from which individual consumer identities have been removed, that is not linked or reasonably linkable to any consumer or household". O GDPR chega ao mesmo resultado pelo Considerando 26, mas só se nenhum meio razoavelmente provável de ser usado puder isolar uma pessoa de novo.

Quão precisa a localização precisa ser para a CCPA chamá-la de sensível?

A subdivisão (w) define geolocalização precisa como dado usado para localizar um consumidor dentro de "a geographic area that is equal to or less than the area of a circle with a radius of 1,850 feet". Localização em nível de cidade derivada de um endereço IP fica bem fora desse raio e não é geolocalização precisa segundo o estatuto.

A NIST SP 800-122 se aplica a empresas privadas?

A NIST SP 800-122 é escrita principalmente para agências federais dos EUA e para os contratados que atuam em nome delas, não para empresas privadas em geral. Um fornecedor que cita a publicação em um questionário de segurança está tomando de empréstimo um vocabulário federal, não apontando para uma obrigação que o vincule. A publicação não cria obrigação alguma, diferente do Artigo 4(1) do GDPR ou da CCPA 1798.140(v) para as entidades que cobrem.

Histórico de navegação é PII?

A CCPA nomeia histórico de navegação e de busca diretamente no subitem (v)(1)(F), então ele conta como informação pessoal sem discussão. O GDPR chega ao mesmo resultado pela definição geral do Artigo 4(1), já que a atividade de navegação se relaciona a uma pessoa identificável. Os exemplos da seção 2.2 da NIST SP 800-122 nunca mencionam histórico de navegação.

O GDPR classifica PII por nível de risco como a NIST?

Classificar por nível de risco é uma característica própria da NIST, que nem o GDPR nem a CCPA reproduzem. A NIST SP 800-122 atribui a cada conjunto de PII um nível de impacto de confidencialidade baixo, moderado ou alto, com base em seis fatores que incluem identificabilidade e sensibilidade dos campos de dados. O GDPR e a CCPA definem suas obrigações por categoria de dado, por meio de níveis como o Artigo 9 e a subdivisão (ae) da CCPA, em vez de uma escala pontuada.

Dados de um domicílio contam como PII?

Só sob a CCPA, que protege um domicílio além de um consumidor específico e define domicílio na subdivisão (q). A NIST SP 800-122 e o Artigo 4(1) do GDPR param no indivíduo, então dados de um dispositivo ou endereço compartilhado ficam regulados na Califórnia e não regulados nos outros dois marcos. Essa é uma das três incompatibilidades estruturais que as três definições produzem.