TL;DR: qué es el PII
- La Información de Identificación Personal (PII) es cualquier dato que puede identificar a una persona concreta, directamente (nombre, email, número de la Seguridad Social, tarjeta de crédito) o indirectamente (dirección IP, huella digital del dispositivo, historial de navegación combinados).
- El PII se ha convertido en una superficie de cumplimiento normativo en GDPR (UE), CCPA/CPRA (California), PIPEDA (Canadá) y PCI DSS (específicamente para datos de titulares de tarjeta). Los distintos marcos normativos clasifican el PII de forma ligeramente distinta, pero la intersección es lo que tus controles deben cubrir.
- En el navegador, el PII se filtra con más frecuencia a través de scripts de terceros que leen campos de formulario, cookies o local storage. Los controles de PII del lado del servidor no detectan en absoluto esta clase de ataque.
La Información de Identificación Personal (PII) es cualquier dato que se puede usar para identificar a una persona, ya sea por sí solo o en combinación con otro dato. Esto incluye identificadores obvios como nombres completos, números de Seguro Social, licencias de conducir, fechas de nacimiento, códigos postales o números de teléfono. Aunque toda la PII es sensible, datos como los de salud o biométricos pueden suponer un riesgo grave de uso en un ataque de fraude o robo de identidad si se exponen.
Compruébalo en tu propio sitio
La protección del PII empieza por saber dónde entra en contacto con el navegador. cside monitoriza cada script de terceros que lee campos de formulario en tu sitio y señala la exfiltración no autorizada de PII en tiempo real. Nivel gratuito disponible.
Por qué es importante proteger el PII
Hoy en día, la mayoría de las organizaciones recopilan y gestionan enormes cantidades de PII. Desde tu perfil de usuario en Instagram hasta tu historial médico en la consulta de tu doctor: ambos requieren protección, y no proteger esta información puede tener consecuencias graves para un negocio.
Problemas de legalidad y cumplimiento normativo
Las leyes de privacidad de datos de todo el mundo exigen la protección de la información personal. En la UE, el Reglamento General de Protección de Datos (GDPR) define los datos personales como «cualquier información relativa a una persona física identificada o identificable» e impone requisitos de cumplimiento estrictos a todas las organizaciones, respaldados por multas cuantiosas. Por ejemplo, Amazon fue multada con 888 millones de dólares en 2021 por violaciones de privacidad de datos según el GDPR, tras no proteger los datos de sus usuarios.
En EE. UU., la regulación es menos exhaustiva. Estados como California promulgaron la Ley de Privacidad del Consumidor (CCPA), que otorga a los consumidores derechos sobre su información personal y traslada a las empresas la obligación de proteger esos datos.
Un ejemplo de mercado clandestino que vende una base de datos de 277 GB de información de clientes.
Riesgos de seguridad y robo de identidad
El PII es un objetivo principal para los ciberdelincuentes, por lo que las empresas deben tener cuidado al tratar tus datos personales. Los hackers que roban PII pueden llegar a suplantar por completo a las personas, tomar el control de cuentas financieras o cometer fraude fiscal. Los datos robados también se venden ampliamente en la dark web y en mercados clandestinos, donde alcanzan precios altos para quien pueda ofrecer la mayor cantidad de datos.
Confianza del cliente y reputación
El impacto más inmediato para una empresa tras una filtración de PII es la pérdida de confianza del cliente, que a menudo puede amplificarse por la cobertura mediática de la filtración. El daño reputacional se traduce en pérdida de negocio, caída del precio de las acciones e incluso quiebra, según la gravedad de la filtración. La privacidad es ahora un factor diferenciador competitivo para los negocios digitales, y las empresas que no puedan protegerla pueden tener dificultades para retener a sus clientes.
