Che cos’è la Personally Identifiable Information (PII)?

Ogni volta che apri un account, effettui un acquisto o scarichi un’app, condividi frammenti di informazioni su di te. Alcuni di questi dati possono sembrare innocui. Altri dettagli, se finiscono nelle mani sbagliate, possono essere usati per verificare la tua identità, accedere ai tuoi account o commettere frodi.

Capire quali informazioni ti espongono a rischi e come possono essere utilizzate in modo improprio è il primo passo per proteggere la tua identità digitale. Sapendo cosa tenere d’occhio, diventa più facile ridurre l’esposizione e mantenere il controllo dei tuoi dati personali.

Quello che c’è da sapere:

• PII include dettagli evidenti come il tuo nome e il numero di previdenza sociale, ma anche dati indiretti come la cronologia delle posizioni o gli identificatori del dispositivo.
• Alcune PII ti identificano direttamente, mentre altri dati diventano identificativi quando vengono collegati tra loro.
• La PII esposta può portare a furto d’identità, frode, phishing e takeover degli account.
• Ci si aspetta che le aziende trattino la PII con attenzione in base alle leggi sulla privacy e sulla protezione dei dati.
• Puoi ridurre il rischio limitando ciò che condividi e mettendo in sicurezza gli account. Molte persone monitorano anche eventuali usi impropri.

Che cos’è la personally identifiable information (PII)?

La personally identifiable information (PII) è qualsiasi informazione che può essere utilizzata per identificare una persona in modo diretto o indiretto.

I dati possono essere specifici di un individuo, come un numero di previdenza sociale, oppure “quasi-identificatori”, diversi frammenti di dati generali, come luogo e data di nascita, che possono essere combinati per identificare una persona.

La PII può spaziare da nomi e numeri ID a indirizzi email, indirizzi IP e dati sulla posizione. È importante comprendere i rischi di esposizione e come la PII dovrebbe essere protetta o rimossa da internet.

Quali sono esempi di personally identifiable information?

La PII include tutte le informazioni che possono identificarti. Alcuni punti dati possono sembrare innocui da soli. Ma insieme possono restringere rapidamente l’identità di qualcuno. Le ricerche di Kaspersky mostrano che la personally identifiable information è tra i dati più comunemente esposti nelle violazioni, comparendo in circa il 43% dei casi, il che evidenzia quanto spesso questo tipo di dati sia a rischio.

Identificatori diretti

Gli identificatori diretti puntano chiaramente a una persona specifica senza bisogno di ulteriore contesto. Includono:

• Dati della carta di credito
• Numeri di previdenza sociale
• Numeri della patente di guida
• Numeri e dettagli del passaporto
• Informazioni sul conto bancario
• Cartelle cliniche
• Dati biometrici e identificatori come impronte digitali e dati di riconoscimento facciale

Se esposte, questo tipo di informazioni può portare rapidamente a furto d’identità o frode finanziaria.

Identificatori indiretti (quasi-identificatori)

Gli identificatori indiretti o quasi-identificatori possono essere meno evidenti. Includono:

• Codici ZIP
• Etnia
• Religione
• Genere
• Date di nascita
• Luoghi di nascita
• Nome e cognome
• Informazioni ed esperienza lavorativa
• Dettagli sull’istruzione
• Indirizzo email o postale
• Numeri di telefono
• Cognome da nubile della madre
• Informazioni biografiche – come dettagli su genitori, fratelli, partner e figli
• Indirizzi IP e identificatori relativi al dispositivo raccolti online

Sebbene questi dettagli possano sembrare ordinari, collegandoli tra loro possono rivelare più del previsto e aumentare il rischio.

Che cos’è la PII in ambito sanitario?

La PII in contesti sanitari è spesso indicata come protected health information (PHI). PHI include dati medici o relativi alla salute che possono essere collegati a una persona specifica secondo leggi come HIPAA negli Stati Uniti.

PHI di solito combina la PII di base (nome o data di nascita) con dettagli medici come diagnosi, cartelle dei trattamenti, prescrizioni o informazioni assicurative. Collegare questi elementi può fornire molte informazioni su un individuo.

Per i pazienti, questo riguarda potenzialmente portali online, richieste all’assicurazione, sistemi di prenotazione e registri di fatturazione. Poiché i dati sanitari sono personali e duraturi, proteggere la PHI è fondamentale per prevenire furto d’identità o uso improprio delle cartelle cliniche.

Qual è la differenza tra PII sensibile e non sensibile?

La differenza riguarda l’impatto. La sensibilità dipende da quanto danno potrebbe verificarsi se l’informazione viene esposta.

La PII sensibile può portare direttamente a furto d’identità o frode finanziaria. La PII non sensibile può sembrare innocua da sola e dipende da altri dati per fornire un’identificazione precisa.

I numeri di passaporto o della patente di guida sono considerati sensibili. Possono essere dannosi già da soli, se esposti. La tua storia lavorativa o formativa sono esempi non sensibili di PII.

Anche i dati “non sensibili” possono diventare pericolosi quando collegati tra loro. Ad esempio, un nome più data di nascita e località possono restringere rapidamente l’identità. In alternativa, un indirizzo IP da solo potrebbe non indicare chiaramente una persona. Ma quando è collegato ai registri di accesso e all’impronta digitale del dispositivo può puntare a un utente specifico.

Perché i criminali prendono di mira la personally identifiable information?

I criminali prendono di mira la PII perché può essere utilizzata per molte forme di frode e per appropriarsi degli account.

Le informazioni rubate possono essere utilizzate direttamente per accedere ai conti finanziari o reimpostare le password. Possono anche essere raggruppate e vendute o scambiate sul dark web ad altri che mettono in atto truffe. La PII è molto preziosa per i truffatori.

Per le vittime, il risultato può includere perdite finanziarie e problemi a lungo termine, come il danneggiamento del punteggio di credito. Recuperare account e identità può essere un processo lungo e difficile.

Come viene rubata la PII?

La PII di solito viene rubata tramite canali quotidiani piuttosto che con attacchi informatici complessi.

Il percorso più comune è il phishing o lo smishing. Un’email o un SMS falsi ti chiedono di cliccare un link o confermare dettagli, ma in realtà servono per rubare i tuoi dati da usare o rivendere. Le truffe di social engineering funzionano allo stesso modo, usando pressione e urgenza percepita per spingerti a condividere direttamente informazioni.

Le violazioni dei dati e gli attacchi malware sono un’altra fonte importante. Quando le aziende vengono violate, i dati importanti degli account dei loro clienti possono essere esposti in massa. Questo può accadere anche a società riconosciute a livello globale. Ad esempio, un recente errore nella codifica di un’app per prestiti di PayPal ha lasciato alcuni dati dei clienti esposti per molti mesi.

La PII può anche essere esposta a causa di dispositivi smarriti o Wi-Fi pubblici non sicuri. Una connessione non sicura può dare agli aggressori accesso ad account archiviati e credenziali salvate.

Campanelli d’allarme a cui prestare attenzione:

• Messaggi che richiedono conferme urgenti di dettagli dell’account o di pagamento
• Richieste di condividere codici monouso o password
• Reti Wi‑Fi pubbliche non protette e senza password
• Addebiti imprevisti o notifiche di accesso

Dovresti anche prestare attenzione a notizie (da fonti affidabili) su violazioni di dati che coinvolgono servizi che utilizzi.

Quali leggi proteggono la personally identifiable information?

Diverse leggi in tutto il mondo sono progettate per proteggere i dati personali e dare agli individui determinati diritti sulle proprie informazioni. I Paesi adottano le proprie leggi su questi dati, ma possono utilizzare gli stessi quadri normativi.

• GDPR (General Data Protection Regulation) conferisce alle persone nello EU il diritto di accedere, correggere e richiedere la cancellazione dei propri dati personali.
• CCPA/CPRA (California Consumer Privacy Act e California Privacy Rights Act) consentono ai residenti della California di sapere quali dati vengono raccolti su di loro e di chiederne la cancellazione o la non vendita.
• Il Privacy Act del 1974 regola come le agenzie federali statunitensi raccolgono e utilizzano le informazioni personali.
• HIPAA (Health Insurance Portability and Accountability Act) protegge le informazioni relative alla salute trattate da fornitori medici e assicuratori.
• PCI DSS (Payment Card Industry Data Security Standard) stabilisce requisiti di sicurezza per le aziende che gestiscono dati delle carte di pagamento.
• PDPA (Singapore Personal Data Protection Act) stabilisce regole per la raccolta, l’uso e la divulgazione dei dati a Singapore.
• POPIA (Protection of Personal Information Act del Sudafrica) stabilisce le condizioni per il trattamento lecito dei dati personali.
• PDPL (Personal Data Protection Law dell’Arabia Saudita) è entrata pienamente in vigore nel 2024. Fornisce diritti e obblighi in materia di protezione dei dati all’interno del Regno dell’Arabia Saudita.

Come puoi proteggere la tua personally identifiable information?

Proteggere la tua PII significa ridurre quanto di essa è esposto e rendere più difficile per gli aggressori usare ciò che trovano. Esistono diversi metodi semplici che puoi implementare per contrastare l’appropriazione degli account e l’uso improprio dell’identità.

Rafforza la sicurezza degli account

Usa password robuste e uniche per ogni account e conservale in un password manager per maggiore sicurezza. Attiva l’autenticazione a più fattori ovunque possibile per aggiungere un ulteriore livello di protezione.

Assicurati anche di verificare la presenza di credenziali trapelate tramite avvisi sulle violazioni e cambia rapidamente le password esposte.

Limita ciò che condividi online

Rivedi le impostazioni di privacy dei social media e rimuovi i dettagli pubblici non necessari: pensa a ciò che vuoi davvero rendere pubblico. Evita di pubblicare la tua data completa di nascita, l’indirizzo di casa o la posizione in tempo reale.

Fai attenzione a tutto ciò che ti incoraggia a condividere informazioni. Questo può includere quiz o post che assomigliano a domande di sicurezza. Possono essere truffe, create appositamente per raccogliere le tue informazioni.

Proteggi dispositivi e connessioni

Usa impostazioni e tecnologie di sicurezza per assicurarti di essere il più protetto possibile. È una buona idea mantenere i dispositivi aggiornati e usare blocchi schermo e cifratura integrata.

Raccomandiamo anche di usare una VPN su Wi‑Fi pubblici per ridurre i rischi di intercettazione. Le connessioni pubbliche comportano rischi.

Riduci il tracciamento e la raccolta dei dati

Il tracciamento è un’altra minaccia per le tue informazioni. Regola le impostazioni sulla privacy e limita i cookie di terze parti per ridurre il modo in cui la tua connessione internet e i dettagli del dispositivo vengono tracciati. Rivedi le autorizzazioni delle app e disabilita funzionalità di tracciamento o sorveglianza non necessarie che potrebbero compromettere i tuoi dati.

Limita, ad esempio, l’accesso alla posizione per le app che non ne hanno bisogno, per ridurre la possibilità che i tuoi dati vengano tracciati e utilizzati per identificarti.

Gli esperti raccomandano anche di ottimizzare le impostazioni di privacy del browser: disabilitare i cookie di terze parti, impedire il tracciamento dei siti, limitare gli annunci, cancellare regolarmente la cronologia di navigazione (inclusi cookie e cache) ed eliminare le estensioni non necessarie.

Monitora l’uso improprio dell’identità

Spesso conviene essere vigili e impostare avvisi per i tuoi account. Abilita gli avvisi sulle transazioni su conti bancari e carte di credito per vedere quando vengono spesi soldi. È una buona idea controllare regolarmente i report sul credito per attività sconosciute. Nello US, le “tre grandi” agenzie di credito, Experian, TransUnion ed Equifax, forniscono report gratuiti.

I servizi di monitoraggio dell’identità o di pulizia possono offrire ulteriore visibilità se desideri una supervisione continuativa delle tue informazioni.

Come puoi rimuovere le tue informazioni personali da internet?

Rimuovere la PII online è possibile, ma potrebbe essere un processo piuttosto che una soluzione una tantum. L’obiettivo è ridurre l’esposizione nei luoghi che contano di più.

I consigli principali includono:

• Elimina o disattiva gli account inutilizzati. Vecchi forum e app spesso memorizzano dettagli personali di cui non hai più bisogno online. I social network possono archiviare molte informazioni. Rimuovi i tuoi dati da questi, quando possibile.
• Rafforza le impostazioni di privacy dei social. Limita chi può vedere il tuo profilo e quali informazioni sono pubbliche. Rimuovi dettagli personali come numeri di telefono o date di nascita complete.
• Richiedi la rimozione. Chiedi ai proprietari dei siti web di eliminare informazioni obsolete o non necessarie su di te. Puoi anche richiedere la rimozione di determinati dati personali dai risultati dei motori di ricerca, ove applicabile.
• Disattiva i data broker. Molte aziende raccolgono e rivendono dati personali. Puoi inviare richieste di opt-out direttamente o utilizzare un servizio di rimozione affidabile se le tue informazioni sono ampiamente elencate.
• Rivaluta la tua PII online. Le informazioni personali possono riemergere nel tempo. È fondamentale rivedere e ripulire periodicamente, piuttosto che trattare la rimozione come un’attività da svolgere una sola volta.

Cosa dovresti fare se la tua PII è esposta?

Se la tua PII è esposta, cerca di evitare il panico. Dai priorità ai passaggi che limitano l’accesso ulteriore e riducono i danni finanziari.

• Metti in sicurezza prima di tutto i tuoi account. Cambia le password, soprattutto per l’email. Abilita l’autenticazione a più fattori (MFA) dove possibile.
• Controlla attività non autorizzate. Esamina gli accessi all’account e le transazioni recenti, oltre a eventuali modifiche alle impostazioni di sicurezza.
• Contatta la tua banca o l’emittente della carta. Segnala addebiti sospetti e chiedi ulteriori protezioni.
• Congela il credito se necessario. Un blocco del credito può impedire l’apertura di nuovi account a tuo nome finché non metti al sicuro i tuoi dati.
• Monitora estratti conto e avvisi. Tieni d’occhio l’attività finanziaria e degli account per eventuali usi impropri continui.
• Segnala il furto d’identità. Nello UK, ad esempio, è semplice sporgere denuncia presso la sezione Prevent Fraud della polizia o chiamarli allo 0300 123 2040.

Fai attenzione alle truffe successive. Talvolta gli aggressori si spacciano per servizi di “recupero” o team di sicurezza dopo una violazione. Verifica sempre in modo indipendente prima di condividere ulteriori informazioni.

Articoli correlati:

• Quali sono i rischi associati alla Data Leakage?
• Come puoi proteggere al meglio la privacy dalle minacce online?
• Quali sono le principali cause di una Data Breach?
• In che modo internet influisce sulla privacy individuale e sulla protezione dei dati?

Prodotti consigliati:

• Kaspersky Premium
• Scarica una prova gratuita di 30 giorni del nostro piano premium

FAQ

Un indirizzo IP è considerato PII?

Di per sé, un indirizzo IP potrebbe non identificare direttamente una persona, ma quando è collegato ad altri dati o ai registri di un account, può diventare identificabile.

Qual è la differenza tra PII e dati personali?

PII è un termine comunemente usato per descrivere informazioni identificabili. “Dati personali” è un termine più ampio utilizzato in normative come GDPR e può includere ulteriori tipi di dati.

Qual è la differenza tra PII e PHI?

PII copre informazioni identificative generali. PHI si riferisce specificamente a informazioni relative alla salute collegate a una persona ed è protetto da leggi come HIPAA.

È possibile rimuovere completamente la propria PII da internet?

Una rimozione totale è rara. Un monitoraggio continuo e pulizie periodiche sono approcci spesso più realistici.