اطلاعات قابل‌شناسایی شخصی چیست؟

اطلاعات قابل‌شناسایی شخصی (PII) شامل هرگونه داده‌ای است که می‌تواند به‌تنهایی یا در ترکیب با اطلاعات دیگر، یک فرد را شناسایی کند. این شامل شناسه‌های مستقیم مانند اطلاعات پاسپورت است که به‌تنهایی می‌تواند یک فرد را متمایز کند، و همچنین شناسه‌های شبهه‌ای (Quasi-Identifiers) مانند نژاد یا تاریخ تولد که می‌توانند با کنار هم قرار گرفتن، هویت فرد را آشکار کنند. با گسترش چشم‌انداز دیجیتال، درک و حفاظت از PII به یک نگرانی فوری برای افراد، شرکت‌ها و دولت‌ها تبدیل شده است.

نکات کلیدی

• PII هرگونه داده‌ای است که می‌تواند به‌طور منحصربه‌فرد یک فرد را شناسایی کند و هدف اصلی برای سرقت هویت و حملات سایبری است.
• PII حساس شامل داده‌هایی مانند شماره تأمین اجتماعی و سوابق بیومتریک است، در حالی که PII غیرحساس ممکن است شامل اطلاعات اولیه مانند نام فرد باشد.
• گسترش داده‌های بزرگ (Big Data) خطر نقض داده‌ها را افزایش داده و نهادهای نظارتی در سراسر جهان را وادار به اجرای قوانین برای حفاظت از PII کرده است.
• تکنیک‌هایی مانند ناشناس‌سازی (Anonymization) و رمزنگاری (Encryption) برای شرکت‌هایی که داده‌های مشتریان خود را با نهادهای دیگر به اشتراک می‌گذارند، حیاتی هستند.
• نقض‌های داده‌ای برجسته، مانند رسوایی فیس‌بوک-کمبریج آنالیتیکا، پیامدهای قانونی و شهرتی قابل‌توجهی را برای شرکت‌هایی که در حفاظت از PII شکست می‌خورند، نشان می‌دهد.

انواع اطلاعات قابل‌شناسایی شخصی

PII می‌تواند مستقیم و حساس یا غیرمستقیم و غیرحساس باشد. انواع PII شامل موارد زیر است، اما محدود به آنها نیست:

• اطلاعات کارت اعتباری
• تاریخ تولد
• گواهینامه رانندگی
• اطلاعات مالی
• نام کامل
• جنسیت
• آدرس پستی
• سوابق پزشکی
• اطلاعات پاسپورت
• محل تولد
• نژاد
• دین
• شماره تأمین اجتماعی (SSN)
• کد پستی

نقش PII در عصر دیجیتال

پلتفرم‌های فناوری پیشرفته نحوه عملکرد کسب‌وکارها، قانون‌گذاری دولت‌ها و تعاملات افراد را تغییر داده‌اند. با ابزارهای دیجیتال مانند تلفن‌های همراه، اینترنت، تجارت الکترونیک و رسانه‌های اجتماعی، انفجاری در عرضه انواع داده‌ها رخ داده است.

داده‌های بزرگ، همان‌طور که نامیده می‌شوند، توسط کسب‌وکارها جمع‌آوری، تجزیه‌وتحلیل و پردازش شده و با شرکت‌های دیگر به اشتراک گذاشته می‌شوند. این حجم عظیم اطلاعات به شرکت‌ها امکان داده است تا بینش بهتری در مورد نحوه تعامل بهتر با مشتریان به دست آورند.

با این حال، ظهور داده‌های بزرگ تعداد نقض‌های داده‌ای و حملات سایبری توسط نهادهایی که ارزش این اطلاعات را درک می‌کنند، افزایش داده است. در نتیجه، نگرانی‌هایی در مورد نحوه مدیریت اطلاعات حساس مشتریان توسط شرکت‌ها مطرح شده است. نهادهای نظارتی به دنبال قوانین جدیدی برای حفاظت از داده‌های مشتریان هستند، در حالی که کاربران به دنبال راه‌های ناشناس‌تری برای باقی ماندن در فضای دیجیتال هستند.

تمایز بین PII حساس و غیرحساس

PII حساس

اطلاعات قابل‌شناسایی شخصی می‌تواند حساس یا غیرحساس باشد. اطلاعات شخصی حساس شامل آمارهای قانونی مانند:

• نام کامل
• شماره تأمین اجتماعی (SSN)
• گواهینامه رانندگی
• آدرس پستی
• اطلاعات کارت اعتباری
• اطلاعات پاسپورت
• اطلاعات مالی
• سوابق پزشکی

این فهرست به هیچ وجه جامع نیست. شرکت‌ها اغلب PII را با رمزنگاری ناشناس می‌کنند تا قابل‌شناسایی نباشد. شرکت‌های بیمه اغلب PII حساس را مخفی می‌کنند و فقط داده‌های مرتبط با بازاریابی را به اشتراک می‌گذارند.

PII غیرحساس

PII غیرحساس یا غیرمستقیم به‌راحتی از منابع عمومی مانند کتاب‌های تلفن، اینترنت و دایرکتوری‌های شرکتی قابل‌دسترسی است. نمونه‌های PII غیرحساس یا غیرمستقیم شامل:

• کد پستی
• نژاد
• جنسیت
• تاریخ تولد
• محل تولد
• دین

این فهرست شامل شبهه‌شناسه‌ها و نمونه‌هایی از اطلاعات غیرحساس است که می‌توانند به‌صورت عمومی منتشر شوند. این اطلاعات به‌تنهایی نمی‌توانند فردی را شناسایی کنند. با این حال، اطلاعات غیرحساس قابل‌پیوند هستند، به این معنا که داده‌های غیرحساس، هنگامی که با سایر اطلاعات قابل‌پیوند شخصی استفاده شوند، می‌توانند هویت یک فرد را آشکار کنند. ناشناس‌سازی معکوس (De-anonymization) زمانی ممکن است که چندین شبهه‌شناسه با هم ترکیب شوند تا فردی را شناسایی کنند.

مهم : حفاظت از PII یک نگرانی عمده برای افراد، شرکت‌ها و دولت‌ها است.

چگونه از اطلاعات قابل‌شناسایی شخصی محافظت کنیم

قوانین حفاظت از داده‌های متعددی توسط کشورهای مختلف برای ایجاد دستورالعمل‌هایی برای شرکت‌هایی که اطلاعات شخصی مشتریان را جمع‌آوری، ذخیره و به اشتراک می‌گذارند، اتخاذ شده است. این قوانین اغلب جمع‌آوری داده‌های حساس را مگر در موارد ضروری ممنوع می‌کنند.

مقررات要求 حذف داده‌های غیرضروری و اجتناب از به اشتراک گذاشتن آن با منابع غیرقابل‌اعتماد است.

مجرمان سایبری سیستم‌های داده را نقض می‌کنند تا به PII دسترسی پیدا کنند و سپس آن را در بازارهای دیجیتال زیرزمینی به خریداران مایل بفروشند. به‌عنوان مثال، در سال 2015، سازمان امور مالیاتی ایالات متحده (IRS) دچار نقض داده‌ای شد که منجر به سرقت PII بیش از 100,000 مالیات‌دهنده شد.

با استفاده از اطلاعات شبهه‌ای که از منابع متعدد سرقت شده بود، مرتکبان توانستند با پاسخ دادن به سؤالات تأیید هویت شخصی که فقط باید در دسترس مالیات‌دهندگان بود، به یک برنامه وب‌سایت IRS دسترسی پیدا کنند.

نکته سریع : حفاظت از PII همیشه تنها مسئولیت ارائه‌دهنده خدمات نیست. در برخی موارد، ممکن است با فرد به اشتراک گذاشته شود.

روش‌های رایج سرقت PII

دزدان اغلب با جستجو در زباله‌ها برای یافتن نامه‌های بازنشده، PII را پیدا می‌کنند. این می‌تواند نام، آدرس، اطلاعات شغلی، جزئیات بانکی یا شماره‌های تأمین اجتماعی فرد را به دست آورد.

امروزه، اینترنت به یک بردار اصلی برای سرقت هویت تبدیل شده است. حملات فیشینگ و مهندسی اجتماعی از وب‌سایت‌ها یا ایمیل‌های فریبنده برای فریب دادن افراد به افشای اطلاعات کلیدی مانند نام، شماره‌های حساب بانکی، رمزهای عبور یا شماره تأمین اجتماعی استفاده می‌کنند. همچنین ممکن است این اطلاعات از طریق تماس‌های تلفنی یا پیام‌های متنی فریبنده سرقت شوند.

استراتژی‌های مؤثر برای حفاظت از PII

اگرچه محافظت کامل از خود ممکن نیست، می‌توانید با کاهش فرصت‌های سرقت PII خود را به هدفی کوچکتر تبدیل کنید. اکسپریان راه‌هایی برای به حداقل رساندن ریسک قرار گرفتن در معرض پیشنهاد می‌دهد.

برای مثال، یک صندوق پستی قفل‌شده یا صندوق پستی (P.O. Box) سرقت نامه‌های شما را برای دزدان دشوارتر می‌کند، و حذف شناسایی شخصی از نامه‌های ناخواسته و سایر اسناد، ارتباط دادن نام با آدرس را برای دزدان هویت سخت‌تر می‌کند. کارت تأمین اجتماعی خود را در کیف پول خود حمل نکنید.

به همین ترتیب، اقداماتی برای جلوگیری از سرقت هویت آنلاین وجود دارد. نشت داده‌ها منبع اصلی سرقت هویت هستند، بنابراین استفاده از رمزهای عبور مختلف و پیچیده برای هر حساب آنلاین مهم است. همیشه داده‌های مهم خود را رمزنگاری کنید و برای هر تلفن یا دستگاه رمز عبور استفاده کنید. همچنین ایده خوبی است که هارد دیسک خود را هر زمان که کامپیوتری را می‌فروشید یا اهدا می‌کنید، فرمت کنید.

دیدگاه‌های جهانی در مورد مقررات PII

تعریف آنچه که PII را تشکیل می‌دهد بسته به اینکه در کجای جهان زندگی می‌کنید متفاوت است. در ادامه نحوه مدیریت حریم خصوصی در مناطق مختلف آمده است:

ایالات متحده

در ایالات متحده، دولت در سال 2020 "قابل‌شناسایی شخصی" را به‌عنوان هر چیزی که می‌تواند "برای تمایز یا ردیابی هویت یک فرد استفاده شود"، مانند نام، شماره تأمین اجتماعی و اطلاعات بیومتریک، چه به‌تنهایی یا با سایر شناسه‌ها مانند تاریخ تولد یا محل تولد تعریف کرد.

اروپا

در اتحادیه اروپا (EU)، تعریف شامل شبهه‌شناسه‌ها به‌صورتی که در مقررات عمومی حفاظت از داده‌ها (GDPR) که در می 2018 اجرایی شد، گسترش می‌یابد. GDPR یک چارچوب قانونی است که قوانینی را برای جمع‌آوری و پردازش اطلاعات شخصی برای ساکنان اتحادیه اروپا تعیین می‌کند.

استرالیا

اطلاعات شخصی توسط قانون حریم خصوصی 1988 محافظت می‌شود. این قانون جمع‌آوری، ذخیره، استفاده و افشای اطلاعات شخصی را، چه توسط دولت فدرال و چه نهادهای خصوصی، تنظیم می‌کند. اصلاحات بعدی استفاده از شناسه‌های مراقبت‌های بهداشتی را تنظیم کرده و تعهدات نهادهایی که دچار نقض داده می‌شوند را تعیین می‌کند.

کانادا

قانون حفاظت از اطلاعات شخصی و اسناد الکترونیکی استفاده از اطلاعات شخصی برای مقاصد تجاری را تنظیم می‌کند. این به‌عنوان اطلاعاتی تعریف می‌شود که به‌تنهایی یا در ترکیب با داده‌های دیگر می‌تواند شما را به‌عنوان یک فرد شناسایی کند.

اطلاعات قابل‌شناسایی شخصی در مقابل داده‌های شخصی

داده‌های شخصی طیف وسیع‌تری از زمینه‌ها را نسبت به PII در بر می‌گیرد—برای مثال، آدرس IP، شماره‌های شناسایی دستگاه، کوکی‌های مرورگر، نام‌های مستعار آنلاین یا داده‌های ژنتیکی. ویژگی‌های خاصی مانند دین، قومیت، گرایش جنسی یا سابقه پزشکی ممکن است به‌عنوان داده‌های شخصی طبقه‌بندی شوند، اما اطلاعات قابل‌شناسایی شخصی نیستند.

حوادث عمده نقض PII

موارد متعددی وجود داشته است که PII مشتریان از شرکت‌ها سرقت شده است، که اغلب منجر به جریمه‌های سنگین شده است.

بزرگ‌ترین جریمه ثبت‌شده تا اکتبر 2023 به دیدی گلوبال تعلق گرفت. این شرکت خدمات اشتراک سواری چینی توسط اداره فضای سایبری چین به دلیل نقض قانون امنیت شبکه، قانون امنیت داده‌ها و قانون حفاظت از اطلاعات شخصی این کشور، 8.026 میلیارد یوان (1.1 میلیارد دلار) جریمه شد. سایر دریافت‌کنندگان جریمه‌های بزرگ برای عدم حفاظت کافی از اطلاعات قابل‌شناسایی شخصی شامل Equifax ، Amazon و Meta هستند.

رسوایی داده‌ای فیس‌بوک-کمبریج آنالیتیکا

یکی از شناخته‌شده‌ترین موارد به متا ، که در آن زمان به‌عنوان فیس‌بوک شناخته می‌شد، مربوط است. در دهه 2010، پروفایل‌های 30 میلیون کاربر فیس‌بوک بدون رضایت آنها توسط شرکتی خارجی به نام کمبریج آنالیتیکا جمع‌آوری شد. کمبریج آنالیتیکا داده‌های خود را از فیس‌بوک از طریق یک محقق که در دانشگاه کمبریج کار می‌کرد به دست آورد. این محقق یک اپلیکیشن فیس‌بوک ساخت که یک آزمون شخصیت بود.

این اپلیکیشن برای گرفتن اطلاعات از افرادی طراحی شده بود که داوطلبانه به داده‌های خود برای آزمون دسترسی می‌دادند. متأسفانه، این اپلیکیشن نه‌تنها داده‌های شرکت‌کنندگان در آزمون، بلکه به دلیل یک نقص در سیستم فیس‌بوک، داده‌های دوستان و اعضای خانواده شرکت‌کنندگان را نیز جمع‌آوری کرد.

بنابراین، داده‌های بیش از 50 میلیون کاربر فیس‌بوک بدون رضایت آنها افشا شد. اگرچه فیس‌بوک فروش داده‌های خود را ممنوع کرده بود، کمبریج آنالیتیکا این داده‌ها را برای استفاده در مشاوره سیاسی فروخت.

این نقض داده نه‌تنها کاربران فیس‌بوک بلکه سرمایه‌گذاران را نیز تحت تأثیر قرار داد. در گزارش سه‌ماهه اول سال 2019، فیس‌بوک اعلام کرد که 3 میلیارد دلار هزینه‌های قانونی متحمل شده است که حاشیه عملیاتی آن را 20 درصد کاهش داد و سود هر سهم را 1.04 دلار پایین آورد. این تنها آغاز بود؛ شرکت بعداً با میلیاردها دلار جریمه مواجه شد. نقض داده همچنین به شهرت آن آسیب رساند و باعث شد برخی کاربران استفاده از وب‌سایت شبکه اجتماعی را متوقف کنند.

چه چیزی به‌عنوان PII شناخته می‌شود؟

اطلاعات قابل‌شناسایی شخصی توسط دولت ایالات متحده به‌صورت زیر تعریف شده است:

"اطلاعاتی که می‌توانند برای تمایز یا ردیابی هویت یک فرد استفاده شوند، مانند نام، شماره تأمین اجتماعی، سوابق بیومتریک و غیره، چه به‌تنهایی یا در ترکیب با سایر اطلاعات شخصی یا شناسایی‌کننده که به یک فرد خاص مرتبط یا قابل‌پیوند هستند، مانند تاریخ و محل تولد، نام خانوادگی مادر و غیره."

چه چیزی PII نیست؟

داده‌های شخصی به‌عنوان PII طبقه‌بندی نمی‌شوند و داده‌های غیرشخصی مانند شرکتی که برای آن کار می‌کنید، داده‌های به اشتراک گذاشته‌شده یا داده‌های ناشناس‌شده.

نقض PII چیست؟

نقض‌های PII غیرقانونی هستند و اغلب شامل کلاهبرداری‌هایی مانند سرقت هویت می‌شوند. نقض‌ها همچنین ممکن است از دسترسی، استفاده یا افشای غیرمجاز PII ناشی شوند. عدم گزارش نقض PII نیز می‌تواند یک تخلف باشد.

هنگام ایمیل کردن PII چه باید کرد؟

از آنجا که ایمیل همیشه امن نیست، سعی کنید از ایمیل کردن PII خودداری کنید. اگر باید این کار را انجام دهید، از رمزنگاری یا تکنیک‌های تأیید امن استفاده کنید.

کدام قوانین از PII محافظت می‌کنند؟

قوانین مختلف حفاظت از مصرف‌کننده فدرال و ایالتی از PII محافظت می‌کنند و استفاده غیرمجاز آن را جریمه می‌کنند—برای مثال، قانون کمیسیون تجارت فدرال و قانون حریم خصوصی 1974 .

تحولات اخیر (تا اوت 2025)

بر اساس اطلاعات موجود و پست‌های X:

• افزایش نقض‌های داده‌ای : گزارش بلومبرگ در سال 2024 نشان می‌دهد که نقض‌های داده‌ای هدفمند PII در بخش‌های فناوری و مراقبت‌های بهداشتی افزایش یافته است، که منجر به جریمه‌های سنگین‌تر و الزامات سخت‌گیرانه‌تر برای گزارش نقض توسط نهادهای نظارتی مانند SEC و مقامات GDPR شده است.
• پیشرفت در فناوری حفاظت از داده‌ها : پست‌های X در سال 2025 نشان می‌دهند که شرکت‌ها به‌طور فزاینده‌ای از تکنیک‌های پیشرفته مانند رمزنگاری کوانتومی و ناشناس‌سازی مبتنی بر هوش مصنوعی برای حفاظت از PII استفاده می‌کنند، به‌ویژه در پاسخ به افزایش حملات سایبری پیچیده.
• تمرکز جهانی بر حریم خصوصی : مقاله‌ای از رویترز در سال 2024 اشاره می‌کند که کشورهای بیشتری، از جمله در آسیا و آفریقا، قوانین حفاظت از داده‌ها مشابه GDPR را معرفی کرده‌اند، که تعریف PII را گسترش داده و شرکت‌ها را ملزم به سرمایه‌گذاری در سیستم‌های امنیتی قوی‌تر کرده است.
• هشدارهای سرمایه‌گذاری : پست‌های X به افراد و شرکت‌ها توصیه می‌کنند که از خطرات مرتبط با مدیریت نادرست PII، از جمله جریمه‌های قانونی و آسیب‌های شهرتی، آگاه باشند. مشورت با متخصصان امنیت سایبری و استفاده از ابزارهای رمزنگاری برای ایمن‌سازی PII توصیه می‌شود. برای سرمایه‌گذاران، ارزیابی شیوه‌های حفاظت از داده‌های یک شرکت هنگام تجزیه‌وتحلیل فرصت‌های سرمایه‌گذاری، به‌ویژه در بخش‌های فناوری و مراقبت‌های بهداشتی، حیاتی است.

نتیجه‌گیری

اطلاعات قابل‌شناسایی شخصی (PII) هر نوع داده‌ای است که می‌تواند برای شناسایی یک فرد استفاده شود، از نام و آدرس آنها گرفته تا شماره تلفن، اطلاعات پاسپورت و شماره‌های تأمین اجتماعی. این اطلاعات اغلب هدف دزدان هویت، به‌ویژه در اینترنت، هستند. به همین دلیل، برای شرکت‌ها و سازمان‌های دولتی ضروری است که پایگاه‌های داده خود را ایمن نگه دارند. با افزایش نقض‌های داده‌ای و پیشرفت‌های فناوری تا سال 2025، حفاظت از PII اهمیت بیشتری پیدا کرده است. افراد باید اقدامات پیشگیرانه‌ای مانند استفاده از رمزهای عبور قوی و رمزنگاری داده‌ها را انجام دهند، در حالی که شرکت‌ها باید با قوانین حفاظت از داده‌ها مطابقت داشته باشند تا از جریمه‌ها و آسیب‌های شهرتی جلوگیری کنند. مشورت با متخصصان امنیت سایبری و استفاده از استراتژی‌های مدیریت ریسک برای محافظت از PII و کاهش خطرات نقض داده‌ها ضروری است.