¿Qué es la Información de Identificación Personal o PII?

La protección adecuada de nuestros datos personales se ha vuelto crucial en esta era digital, ya que los delincuentes cibernéticos buscan constantemente obtener acceso a estos datos para cometer un sin fin de delitos.

Por lo tanto, es fundamental entender qué es la información personal de identificación (PII) y cómo protegerla. A continuación, exploraremos los conceptos claves, los riesgos asociados y las mejores prácticas para mantener tu privacidad a salvo.

¿Qué significa PII?

La información de identificación personal o Personally Identifiable Information (PII) hace referencia a cualquier dato personal que puede utilizarse (de forma aislada o combinado con otro tipo de datos) para identificar o rastrear a una persona. Son considerados sensibles y pueden incluir una gran variedad de información, como el nombre completo, la dirección, el número de identificación, datos de tarjetas de crédito, entre otros.

Estos datos pueden estar expuestos cuando navegamos en internet y los ciberdelincuentes pueden usarlos para robos o suplantación de identidad, fraudes financieros, entre otros.

Ejemplos de PII: ¿Cuáles son los datos de identificación?

Los datos de identificación son aquellos que se emplean para distinguir y reconocer de manera única a un individuo específico. Estos son algunos de los más comunes:

• Nombre completo
• Fecha y lugar de nacimiento
• Número de teléfono
• Número de la seguridad social
• Número de pasaporte
• Número de cuenta bancaria
• Dirección de vivienda
• Dirección de correo electrónico
• Datos de tarjetas de crédito

Tipos de información de identificación personal (PII)

Es fundamental comprender los diferentes tipos de información de identificación personal para tomar las precauciones necesarias y proteger nuestra privacidad. Existen la PII confidencial y la PII no confidencial.

PII confidencial

La PII confidencial no está disponible para el público y, al ser datos altamente sensibles, si se revelan sin autorización pueden causar daños significativos, tales como robo de identidad o violación de datos.

De acuerdo a las leyes de privacidad, las organizaciones están obligadas a proteger estos datos confidenciales mediante cifrado y otras medidas de ciberseguridad.

Algunos ejemplos de PII confidencial son:

• Número de identificación: pasaporte, licencia de conducir o DNI. 
• Datos biométricos: huellas dactilares, reconocimiento facial o patrones de voz.
• Información financiera: cuentas bancarias, tarjetas de crédito o informe de transacciones.
• Información médica: historial clínico, diagnósticos médicos o medicamentos recetados.

PII no confidencial

La PII está disponible para el público y aunque son identificadores personales, no representan un riesgo significativo si son revelados sin autorización.

Algunos ejemplos de PII no confidencial son:

• Nombre completo
• Nombre de usuario de redes sociales
• Número de teléfono
• Lugar y fecha de nacimiento
• Datos geográficos (país, ciudad, código postal, etc.)
• Dirección IP
• Dirección de correo electrónico
• Información laboral
• Religión
• Origen étnico

Fuentes de recopilación de PII

Conocer todas las formas en las que tu empresa recopila datos de tus clientes y usuarios es importante para cumplir con las leyes de privacidad, generar confianza en los clientes y mejorar la seguridad de la información. Las principales fuentes de recopilación de PII son:

Registro en sitios web y aplicaciones

Cuando los usuarios se registran en sitios web o aplicaciones, proporcionan información personal como el nombre, dirección de correo electrónico, número de teléfono, edad, entre otros, como parte del proceso de creación de una cuenta.

Herramientas de análisis y gestión de clientes

Este tipo de herramientas se utiliza para obtener información sobre los clientes, tanto de fuentes internas, como externas. Incluye datos demográficos, preferencias de compra, historial de interacciones, comportamiento en línea, entre otros.

Transacciones comerciales

Durante la compra de productos o servicios, se recopila información como la dirección de envío, datos de pago, número de identificación, entre otros.

Servicios de atención al cliente

Las interacciones que se dan dentro de la atención al cliente, ya sea por teléfono, chat en línea o correo electrónico, puede implicar la recopilación de información necesaria para resolver consultas y problemas.

Encuestas y formularios

Al recopilar información directamente de los participantes, las empresas pueden obtener datos precisos y relevantes sobre sus necesidades específicas. Desde datos básicos como el nombre y la edad, hasta sus preferencias y opiniones.

Robos y filtraciones de PII

Lamentablemente, muchas empresas y organizaciones han experimentado robos y filtraciones de datos que han expuesto la información de identificación personal de sus clientes y usuarios. Estos ciberataques representan un grave riesgo, ya que la PII robada puede ser utilizada para llevar a cabo suplantaciones de identidad y cometer fraudes, así como afectar la reputación de la empresa.

Alguna de las posibles consecuencias que pueden tener las personas cuyo PII ha sido comprometida son:

• Problemas financieros: si los delincuentes obtienen información financiera robada y realizan cualquier tipo de transacción, las víctimas pueden enfrentar graves problemas financieros.
• Riesgo de seguridad personal: la PII filtrada, como la dirección de vivienda o el número de teléfono, puede exponer a la víctima ante amenazas físicas o acosos.
• Daño a la reputación: la información sensible, como correos electrónicos privados o fotografías comprometedoras, puede utilizarse para chantajear o difamar a las víctimas.

En cuanto a las empresas, si no posee las políticas de seguridad adecuadas, las filtraciones de PII podrían traer consecuencias como:

• Pérdida de clientes y disminución de ingresos: la falta de confianza en la seguridad de la empresa puede llevar a los clientes a buscar alternativas más seguras y ocasionar una disminución de los ingresos.
• Demandas legales: las empresas que sufren violaciones de datos pueden enfrentar acciones legales por parte de los clientes afectados o de las autoridades reguladoras.
• Daño a la imagen de la marca: las filtraciones de datos pueden tener un impacto duradero en la reputación de una empresa, afectando su imagen y la percepción de su ética empresarial.

Legislación y regulaciones relacionadas con la protección de la PII

Existen varios marcos legislativos y regulaciones que tienen como objetivo proteger la información de identificación personal en diferentes jurisdicciones. Algunos de estos son:

Reglamento General de Protección de Datos de la Unión Europea (RGPD)

También conocida en inglés como General Data Protection Regulation (GDPR), es una regulación de la Unión Europea (UE) que exige a las entidades de la UE y a las que ofrecen servicios en Europa, la protección de todos los datos personales que puedan utilizarse para distinguir la identidad de un individuo, ya sean clasificadas como confidenciales o no confidenciales. 

Regulaciones de privacidad de EE. UU.

En los Estados Unidos, los organismos gubernamentales están sujetos a la Ley de Privacidad de 1974, la cual establece cómo deben utilizar y compartir la PII. Sin embargo, algunos estados tienen sus propias normativas, como la del estado de California, la cual se rige por la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act o CCPA). 

Regulaciones de privacidad según la industria

Existen sectores que tienen sus propias regulaciones de privacidad:

• Ley de portabilidad y responsabilidad de seguros de salud (Health Insurance Portability and Accountability Act o HIPAA): establece la forma en la que las entidades médicas deben recopilar y proteger los datos médicos y personales de los pacientes.
• Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (Payment Card Industry Data Security Standard o PCI DSS): explica cómo las entidades financieras deben manejar los datos confidenciales de los titulares y de las tarjetas o medios de pago.

Buenas prácticas al trabajar con PII

Cuando se maneja información de identificación personal, es necesario seguir buenas prácticas para garantizar la privacidad y la seguridad de los datos. Algunas de las recomendaciones del Instituto Nacional de Estándares y Tecnología (NIST) son:

1. Identifica qué sistemas recopilan y almacenan PII en tu empresa u organización: es necesario tener un conocimiento completo de los sistemas y procesos que reúnen información de identificación personal para conocer qué datos se están recopilando, cómo se utilizan y dónde se almacenan.
2. Reduce la recopilación y el uso de PII: evita recopilar datos innecesarios o excesivos, utiliza únicamente la información indispensable para cumplir con los propósitos específicos.
3. Evalúa el nivel de confidencialidad de la PII que recopilas: clasifica los datos recopilados según su nivel de confidencialidad. Determina qué información es más sensible y cuál requiere un nivel más alto de protección.
4. Aplica políticas y controles para salvaguardar los datos según el nivel de confidencialidad: implementa políticas y controles acordes al nivel de confidencialidad, esto puede incluir medidas como la encriptación de datos, autenticación de dos factores, control de accesos, entre otros.
5. Desarrolla un plan de respuesta a incidentes relacionados con PII: prepara y mantén actualizado un plan de respuesta a incidentes como la violación o filtración de datos. Esto incluye pasos como la mitigación del impacto, la notificación a los afectados, la colaboración con las autoridades reguladores pertinentes y otros aspectos que consideres necesarios.

Es primordial que las empresas implementen medidas sólidas de seguridad cibernética y cumplan con las leyes de privacidad para evitar riesgos innecesarios. Por eso, Delta Protect podemos ayudarte a fortalecer la ciberseguridad de tu empresa y protegerte de posibles filtraciones de datos de identificación personal.

Agenda una demo de Apolo con nuestro equipo que está preparado para brindarte soluciones y asesoramiento personalizado.