Wat zijn PII, niet-PII en persoonsgegevens? [BIJGEWERKT]

Persoonlijk identificeerbare informatie (PII) en persoonsgegevens zijn twee classificaties van gegevens die vaak voor verwarring zorgen bij organisaties die dergelijke gegevens verzamelen, opslaan en analyseren. Beide termen hebben een gemeenschappelijke basis, namelijk het classificeren van informatie die de identiteit van een persoon direct of indirect kan onthullen.

PII wordt gebruikt in de VS, maar wordt in geen specifiek rechtsdocument gedefinieerd. Het rechtssysteem in de Verenigde Staten is een mengeling van talrijke federale en staatswetten en sectorspecifieke regelgeving, die allemaal verschillende stukken informatie beschrijven en classificeren onder de paraplu van PII.

Anderzijds hebben persoonsgegevens één juridische definitie, die is vastgelegd in de Algemene Verordening Gegevensbescherming (AVG), die in de hele Europese Unie (EU) als wet is aanvaard.

Maar waarom is dat zo belangrijk? Als websitebeheerder, app-maker of producteigenaar moet u zich ervan bewust zijn dat bezoekers en gebruikers gevoelige informatie met u kunnen delen. Deze sporen kunnen u helpen om individuen te identificeren, dus u moet zorgvuldig met dergelijke gegevens omgaan. Vanuit juridisch oogpunt kan er sprake zijn van inbreuken en overtredingen met ernstige gevolgen. Het grotere geheel begrijpen is cruciaal voor de beveiliging van uw organisatie en de naleving van de wetgeving.

Wat is persoonlijk identificeerbare informatie (PII)?

Persoonlijk identificeerbare informatie (PII) wordt vaak gebruikt door Amerikaanse overheidsinstanties en niet-gouvernementele organisaties. Omdat er in de VS echter niet één overheersende wet over PII bestaat, kan de juridische definitie van de term per jurisdictie en per staat verschillen.

De meest gebruikelijke definitie wordt gegeven door het National Institute of Standards and Technology (NIST), waarin het volgende staat:

De grens tussen PII en andere soorten informatie is echter vaag. Zoals benadrukt door de US General Services Administrationis de “definitie van PII niet verankerd aan één enkele categorie van informatie of technologie. Het vereist veeleer een beoordeling per geval van het specifieke risico dat voor een persoon kan worden vastgesteld“.

Welke gegevens worden als PII beschouwd?

Volgens NIST kan PII worden onderverdeeld in gekoppelde en koppelbare informatie.

Gekoppelde informatie

Gekoppelde informatie kan ook worden gedefinieerd als directe identificatoren.

Directe identificatoren zijn uniek voor een persoon en kunnen worden gebruikt om een individu te identificeren. Een enkele directe identificatie is meestal genoeg om iemands identiteit vast te stellen.

Hier zijn voorbeelden van gekoppelde informatie:

Koppelbare informatie

Koppelbare informatie betreft indirecte identificatoren of quasi-identificatoren. Ze kunnen een persoon misschien niet op zichzelf identificeren, maar identificatie wordt mogelijk in combinatie met andere informatie. Onderzoek toont bijvoorbeeld aan dat 87% van de Amerikaanse burgers geïdentificeerd kan worden op basis van alleen hun geslacht, postcode en geboortedatum. Technieken voor de-anonimisering en heridentificatie werken doorgaans goed wanneer meerdere sets quasi-identificatoren met elkaar zijn verbonden en kunnen worden gebruikt om de ene persoon van de andere te onderscheiden.

Hier volgen enkele voorbeelden van PII die als koppelbare informatie kan worden beschouwd:

Gevoelige versus niet-gevoelige PII

Hoewel dit eerder een gebruikelijk dan een wettelijk onderscheid is, kunnen we ook onderscheid maken tussen gevoelige en niet-gevoelige voorbeelden van PII.

Gevoelige PII

Gevoelige PII is informatie waarmee een individu direct kan worden geïdentificeerd en die tot schade kan leiden als er een datalek plaatsvindt.

Gevoelige PII is meestal niet openbaar beschikbaar. Veel privacywetten verplichten organisaties om deze gegevens te beveiligen door ze te versleutelen, te controleren wie er toegang toe heeft en andere beveiligingsmaatregelen te nemen.

Voorbeelden van gevoelige PII zijn:

• Unieke identificatienummers, zoals rijbewijsnummers, burgerservicenummers (BSN), paspoortnummers en andere door de overheid uitgegeven ID-nummers.
• Biometrische gegevens, zoals vingerafdrukken en netvliesscans.
• Financiële informatie, waaronder bankrekeningnummers en creditcardnummers.
• Medische gegevens.
• Elektronische en digitale accountgegevens, zoals e-mailadressen en online accountnummers.
• Personeelsgegevens van werknemers.
• Wachtwoordinformatie.
• Schoolidentificatienummers.

Niet-gevoelige PII

Niet-gevoelige PII is informatie die al dan niet uniek is voor een individuele persoon. Dit soort gegevens kan worden verzonden zonder te worden versleuteld en openbaarmaking ervan zal geen schade veroorzaken aan de personen op wie de gegevens betrekking hebben.

Niet-gevoelige PII is meestal publiekelijk beschikbaar – telefoonnummers kunnen bijvoorbeeld in een telefoonboek staan.

Sommige regels voor gegevensprivacy vereisen geen bescherming van niet-gevoelige PII, maar bedrijven moeten nog steeds voorzorgsmaatregelen nemen om de risico’s voor individuen te beperken.

Voorbeelden van niet-gevoelige PII zijn:

• De volledige naam van een persoon.
• Meisjesnaam van de moeder.
• Bijnaam op sociale media.
• Telefoonnummer.
• IP-adres.
• Geboorteplaats.
• Geboortedatum.
• Geografische gegevens (postcode, stad, staat, land, enz.).
• Werkgelegenheidsinformatie.
• E-mailadres of postadres.
• Ras of etniciteit.
• Religie.

Hoe PII verschilt van PHI

Beschermde gezondheidsinformatie (PHI) omvat informatie die in een medische context wordt gebruikt en waarmee patiënten kunnen worden geïdentificeerd. PHI is een subset van PII die expliciet verwijst naar informatie die wordt verwerkt door entiteiten die onder de HIPAA vallen. Wanneer gezondheidsinformatie wordt gecombineerd met een persoonlijke identificator, worden de gegevens PHI.

Identificatoren die door HIPAA worden erkend, zijn onder andere:

Hoewel het beschermen van PII slechts in sommige gevallen verplicht is, gelden voor PHI strikte vertrouwelijkheidseisen die niet van toepassing zijn op de meeste andere bedrijfstakken om de privacy van patiënten te beschermen.

De HIPAA-privacyregelgeving zorgt ervoor dat PHI alleen wordt gedeeld en gebruikt met toestemming van de patiënt of om patiëntenzorg en -diensten tussen betrokken instanties te coördineren. Organisaties die onder de HIPAA vallen, zoals zorgverleners, ziekenhuizen, verzekeraars en hun zakenpartners, moeten zich houden aan strikte regels die bepalen welke soorten PHI ze van individuen mogen verzamelen, met anderen mogen delen of voor marketingdoeleinden mogen gebruiken.

Wat is niet-PII?

Niet-persoonlijk identificeerbare informatie (niet-PII) zijn gegevens die op zichzelf niet kunnen worden gebruikt om een persoon te traceren of te identificeren.

Voorbeelden van niet-PII zijn onder andere:

• Geaggregeerde statistieken over het gebruik van product/dienst
• Gedeeltelijk of volledig gemaskeerde IP-adressen

De indeling van PII en niet-PII is echter vaag. Bovendien verwijst NIST niet naar cookie-ID’s en apparaat-ID’s, zodat veel AdTech-bedrijven, adverteerders en uitgevers deze als niet-PII beschouwen. Zoals we zullen zien, staat dit in contrast met de definitie van persoonsgegevens, die dergelijke digitale trackers behandelt als informatie waarmee een persoon kan worden geïdentificeerd.

Wat zijn persoonsgegevens?

Persoonsgegevens is een juridische term die de AVG definieert als het volgende:

Deze definitie is van toepassing op de naam en achternaam van een persoon, maar ook op details waarmee die persoon geïdentificeerd kan worden. Dat is bijvoorbeeld het geval wanneer u een bezoeker die terugkeert op uw website kunt identificeren met behulp van een cookie of inloggegevens.

Onder de AVG kunt u cookies als persoonsgegevens zien, omdat volgens

De definitie van persoonsgegevens omvat verschillende onderdelen van informatie zoals:

• Transactiegeschiedenis
• IP-adressen
• Browsergeschiedenis
• Berichten op sociale media

Het gaat in principe om alle informatie die direct of indirect betrekking heeft op een individu of een identificeerbare persoon.

Wat zijn niet-persoonlijke gegevens?

Volgens de AVG-bepalingen gaat het bij niet-persoonlijke gegevens om gegevens waarmee je een individu niet kunt identificeren. Het beste voorbeeld zijn anonieme gegevens. Volgens

Andere voorbeelden van niet-persoonlijke gegevens omvatten, maar zijn niet beperkt tot:

• Gegeneraliseerde gegevens, zoals leeftijdsbereik.
• Door overheidsinstanties of gemeenten verzamelde informatie, zoals volkstellingsgegevens of belastingopbrengsten voor door de overheid gefinancierde werken.
• Geaggregeerde statistieken over het gebruik van een product of dienst.
• Gedeeltelijk of volledig gemaskeerde IP-adressen.

Hoe PII verschilt van persoonsgegevens

Persoonsgegevens omvatten een breder scala aan contexten dan PII. In het algemeen wordt alle PII beschouwd als persoonsgegevens, maar niet alle persoonsgegevens zijn PII. Kenmerken zoals religie, etniciteit, seksuele geaardheid of medische geschiedenis kunnen bijvoorbeeld worden gecategoriseerd als persoonsgegevens, maar niet als PII.

	Persoonlijk identificeerbare informatie (PII)	Persoonsgegevens
Identificatie van individuen	Vaak gebruikt om het ene individu van het andere te onderscheiden.	Omvat alle informatie met betrekking tot een levend individu, ongeacht of het hem of haar onderscheidt van een ander individu.
Type term	Geen juridische term, maar vaak gebruikt in het bedrijfsleven.	Wettelijke term gedefinieerd door de AVG.
Wettelijke dekking	Uitgelicht in diverse wetten op verschillende overheids- en organisatieniveaus.	Valt onder een enkele reeks wetten die zijn gemaakt en worden beheerd door een bestuursorgaan.
Gereglementeerde informatie	Kan alleen specifieke vormen van informatieprivacy en gegevenstoegang reguleren, afhankelijk van de branche, het overheidsdepartement, enz.	Regelt alle facetten van informatieprivacy en -gebruik, van medisch tot commercieel tot persoonlijk.
Territoriale toepassing	Het meest toegepast in de US.	Het meest toegepast in de EU.
Juridisch kenmerk	Elke organisatie of overheid zorgt voor specifieke wetten en de handhaving ervan.	De term biedt een uniforme aanpak voor de handhaving van gegevensbeveiliging en privacy.
Benadering van de rechten van individuen	Rechten van individuen variëren afhankelijk van de regelgeving. Dekt mogelijk wel of niet alle potentiële rechten van individuen met betrekking tot gegevens.	Onder de AVG hebben personen een aantal rechten met betrekking tot hun persoonsgegevens, zoals: – Het recht op informatie. – Het recht op toegang. – Het recht op rectificatie. – Het recht op wissen/vergeten worden. – Het recht om de verwerking te beperken. – Het recht op dataportabiliteit.

Persoonlijke informatie (PI) en de CCPA

Persoonlijke informatie (PI) wordt gebruikt in de context van de California Consumer Privacy Act (CCPA). De CCPA geeft een zeer brede definitie van persoonlijke informatie, die nog steeds geldt in de California Privacy Rights Act (CPRA).

De Californische wet definieert PI als volgt:

“Informatie die een bepaalde consument of een bepaald huishouden identificeert, daarmee verband houdt, beschrijft, daarmee kan worden geassocieerd of redelijkerwijs, direct of indirect, daarmee in verband kan worden gebracht.”

Dit omvat echter geen informatie die openbaar is gemaakt door de lokale, staats- of federale overheid.

Voorbeelden van persoonlijke informatie onder CCPA zijn:

Zoals u kunt zien classificeert Californië gegevens zoals apparaat-ID’s, cookies IP-adressen en zelfs aliassen en accountnamen als persoonlijke informatie.

Waarom u PII en persoonsgegevens moet beschermen

Toegang tot PII geeft bedrijven de mogelijkheid om product- of inhoudsaanbevelingen af te stemmen op de voorkeuren van hun klanten. De groeiende hoeveelheid PII die organisaties verzamelen, trekt echter de aandacht van cybercriminelen. Als de gegevens van gebruikers niet worden beschermd, worden organisaties blootgesteld aan aanvallen en lopen ze risico.

Gestolen gegevens die PII bevatten, kunnen grote schade toebrengen aan individuen. Met maar een beperkt aantal persoonlijke gegevens van een persoon kunnen dieven valse rekeningen aanmaken op naam van die persoon, leningen afsluiten, een vervalst paspoort maken of iemands identiteit verkopen aan een crimineel.

Als organisaties PII verzamelen, verwerken en opslaan, moeten ze ook de verantwoordelijkheid nemen voor het beschermen van deze gevoelige gegevens.  Datalekken kunnen immers voorkomen bij organisaties van alle groottes en industrieën – van grote kredietinformatiebureaus tot kleine banken – en de gevolgen voor de organisatie zijn vaak hetzelfde.

Een datalek kan het vertrouwen van gebruikers in een organisatie ernstig schaden, wat uiteindelijk de reputatie van de organisatie kan ruïneren en de bedrijfsresultaten kan belemmeren. En dan hebben we het nog niet eens over het risico dat de privacyregels niet worden nageleefd, wat bovendien tot hoge boetes kan leiden.

Volgens het rapport van IBM uit 2023 over de kosten van een datalek bedroegen de gemiddelde kosten van een datalek veroorzaakt door een ransomware-aanval 5,13 miljoen dollar. Zoals het rapport van ESG stelt, wordt aangenomen dat de hoeveelheid gevoelige gegevens in de periode tussen 2021 en 2024 is verdubbeld. Bovendien is ongeveer de helft van de organisaties van mening dat deze gegevens niet voldoende beveiligd zijn.

Gezien de vele risico’s die verbonden zijn aan datalekken, is het beschermen van PII en persoonsgegevens van essentieel belang. Bedrijven moeten door een complex IT- en juridisch landschap navigeren om toekomstige aanvallen te voorkomen en schaalbare kaders voor gegevensbescherming te onderhouden.

Naast het voorkomen van inbreuken, helpt het benadrukken van gegevensbeveiliging en -privacy om de loyaliteit en het vertrouwen van klanten te vergroten en om investeringen in technologie in de toekomst aan te passen aan veranderende eisen.

Hoe PII beschermen

De belangrijkste bron van richtlijnen over manieren om PII te beveiligen, is de NIST-gids voor het beschermen van de vertrouwelijkheid van persoonlijk identificeerbare informatie.

De methoden voor de bescherming van PII lijken in de eerste plaats op de methoden die in de AVG worden genoemd voor persoonsgegevens, zoals:

• Dataminimalisatie.
• Beoordeling van de gevolgen voor de privacy.
• Gegevensencryptie.
• Anonimisering van gegevens.

Niet alle PII hoeft even goed beschermd te worden. Welke waarborgen moeten worden toegepast, hangt af van de volgende factoren:

• Hoe gemakkelijk de PII kan worden gekoppeld aan specifieke individuen.
• Het aantal personen waarvan PII in het systeem is opgeslagen.
• De gevoeligheid van de gegevens.
• De context waarin de gegevens worden gebruikt, opgeslagen, verzameld of openbaar gemaakt.
• Wettelijke verplichtingen om de gegevens te beschermen.
• De locatie van de gegevens en de mate van geautoriseerde toegang ertoe.

NIST legt verder uit dat de bescherming van PII een combinatie van maatregelen vereist zoals “operationele waarborgen, veiligheidscontroles en waarborgen met betrekking tot privacy”

Hier volgt een overzicht van de aanbevolen maatregelen:

Operationele waarborgen

De bescherming van PII begint op het operationele niveau van een organisatie. Het gaat om het maken en vaststellen van gedetailleerd beleid en procedures voor het beheren van PII. Sommige beveiligingen bestaan uit het trainen van werknemers over de risico’s van datalekken en de beste werkwijzen voor het omgaan met en beschermen van PII.

Privacygerelateerde waarborgen

Privacyspecifieke waarborgen helpen bedrijven om het principe van dataminimalisatie te volgen en laten hen gegevens gebruiken en onderhouden zonder de vertrouwelijkheid ervan in gevaar te brengen. Om de vertrouwelijkheid van PII te beschermen, zijn bepaalde mechanismen nodig, zoals gegevensanonimisering en het de-identificeren van informatie (versleuteling).

Veiligheidscontroles

NIST biedt aanbevelingen voor veiligheidscontroles om PII te beschermen. Deze omvatten het volgende:

• Toegang afdwingen – zoals toegang verlenen tot de gegevens op basis van de rol van de gebruiker.
• Toegang op afstand – toegang tot PII verbieden of beperken en wanneer een gebruiker toegang op afstand heeft en ervoor zorgen dat de communicatie versleuteld is.
• Scheiding van taken – gebruikers die bijvoorbeeld met geanonimiseerde PII werken, moeten niet ook nog in functies werken die hen toegang verlenen tot de informatie die nodig is om de gegevens opnieuw te identificeren.
• Monitoren van informatiesystemen – controleren van PII op ongebruikelijke of verdachte overdrachten of gebeurtenissen.
• Minimale privilege – ervoor zorgen dat gebruikers alleen toegang hebben tot de gegevens die ze nodig hebben.
• Controle, analyse en rapportage na de controle van het informatiesysteem regelmatig gegevens controleren en analyseren om ongebruikelijke activiteiten met betrekking tot PII op te sporen.

Beschermen van persoonsgegevens

De AVG geeft richtlijnen voor het beschermen van persoonsgegevens. De belangrijkste zijn:

Het principe van rechtmatigheid

Het belangrijkste is dat AVG vereist dat er een duidelijke en geldige reden is voor het verzamelen en gebruiken van persoonsgegevens. De reden voor het verwerken van gegevens moet gebaseerd zijn op noodzaak. Het kan dan bijvoorbeeld gaan om het voldoen aan een contractvereiste of het leveren van een dienst.

Het principe van integriteit en vertrouwelijkheid

Een van de belangrijkste manieren om gegevens te beschermen is de beveiliging ervan, hoewel de AVG niet precies zegt hoe deze beveiliging er in de praktijk moet uitzien. De keuze van beveiliging zal per organisatie verschillen. Een ziekenhuis met gevoelige informatie over zijn patiënten zal bijvoorbeeld andere stappen ondernemen dan een blogger met een nieuwsbrief.

Gegevensbescherming door ontwerp

Gegevensbescherming door ontwerp betekent dat er in de eerste ontwerpfasen van verwerkingsactiviteiten technische en organisatorische maatregelen worden genomen.

Voorbeelden van deze maatregelen zijn:

• Pseudonimisering – het vervangen of verwijderen van informatie binnen een gegevensset die de identificatie van een specifieke persoon mogelijk maakt, met behulp van methoden zoals versleuteling scrambling of maskering.
• Anonimiseren – persoonlijke informatie uit een gegevensverzameling verwijderen om het onmogelijk te maken om een bepaalde persoon te identificeren.
• Toezicht op gegevensverwerking.
• Nieuwe privacyfuncties toevoegen en bestaande functies verbeteren.

Onder de AVG zijn technieken voor het pseudonimiseren van gegevens niet voldoende om volledige gegevensanonimiteit te bieden.

Standaard gegevensbescherming

Standaard gegevensbescherming is gebaseerd op de principes van dataminimalisatie en doelbeperking.

Volgens het principe van dataminimalisatie moeten gegevens “adequaat, relevant en beperkt tot wat nodig is” zijn.

Doelbeperking houdt in dat u het doel van uw verwerking specificeert, dit documenteert en betrokkenen informeert over dit doel voordat de verwerking begint.

Organisaties die volgens deze principes handelen, verzamelen alleen de minimaal mogelijke hoeveelheid gegevens en bewaren deze alleen zolang als nodig is om het doel te bereiken waarvoor ze zijn verzameld.

Gegevensbeschermingseffectbeoordeling

De AVG raadt aan om een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren wanneer de verwerking een hoog risico kan vormen voor personen. DPIA’s helpen organisaties om risico’s te verminderen door mogelijke bedreigingen te herkennen en te beperken.

Overweeg een DPIA uit te voeren als u:

• Een nieuwe technologie gaat gebruiken.
• Gevoelige gegevens op grote schaal verwerkt.
• Systematische controles van openbare ruimten uitvoert.

PII, niet-PII en persoonsgegevens: Op de hoogte blijven van de regelgeving inzake gegevensprivacy

De brede definities van PII en persoonsgegevens evolueren en omvatten steeds meer soorten gegevens. De verschillen tussen beide worden ook minder groot. De wettelijke eisen worden aan beide zijden van de Atlantische Oceaan steeds strenger.

Die veranderingen brengen nieuwe uitdagingen met zich mee. Voor alle soorten organisaties betekent dit dat zij beter moeten kijken naar de gegevens die zij verzamelen en dat zij het veranderende juridische landschap moeten volgen om aan de regels te blijven voldoen.

Als u meer wil weten over hoe Piwik PRO u helpt bij het veilig verzamelen en analyseren van PII en persoonsgegevens, neem dan contact met ons op: