O que são Dados PII (Informação Pessoal Identificável)?

PII (Personally Identifiable Information) ou Informação Pessoal Identificável são dados que, por si só ou combinados com outros, podem identificar uma pessoa singular concreta. Isto inclui identificadores diretos como nome completo, NIF/BI, número de passaporte, e-mail, telefone, morada postal e endereço IP, bem como identificadores indiretos que, em combinação, permitem a identificação: data de nascimento, código postal, género e cargo profissional.

A regulamentação europeia (RGPD) utiliza o termo "dados pessoais" com um âmbito ainda mais alargado do que o conceito americano de PII. Ao abrigo do RGPD, qualquer informação relativa a uma pessoa singular identificada ou identificável é considerada dado pessoal, incluindo cookies, identificadores de dispositivo e dados de geolocalização.

A gestão de PII é um dos pilares fundamentais do governo de dados porque requer controlos específicos de acesso, retenção, cifragem e rastreabilidade. Cada campo que contenha PII deve ser identificado, documentado e protegido de acordo com a regulamentação aplicável.

As coimas por incumprimento do RGPD podem atingir os 20 milhões de euros ou 4% da faturação global anual (o que for maior). Em 2023, a Meta recebeu uma coima de 1.200 milhões de euros por transferência ilegal de dados pessoais. Mas para além das coimas, uma violação de dados PII destrói a confiança dos clientes e gera custos operacionais significativos em notificações, investigações e remediação.

O principal problema é que muitas organizações não sabem exatamente onde reside a sua PII. Os dados pessoais copiam-se, transformam-se e propagam-se através de sistemas sem controlo. Um campo de e-mail pode existir em 30 tabelas diferentes sem que ninguém o saiba.

A gestão de PII segue um processo de quatro etapas. Em primeiro lugar, descoberta: identificar em que tabelas e colunas existem dados pessoais. Isto pode fazer-se manualmente (revisão campo a campo) ou automaticamente através de deteção baseada em padrões e machine learning. Em segundo lugar, classificação: etiquetar cada campo de acordo com o seu tipo de PII e nível de sensibilidade. Em terceiro lugar, proteção: aplicar controlos de acesso, cifragem e anonimização de acordo com a classificação. Em quarto lugar, monitorização: verificar continuamente que os controlos se mantêm e que não surge PII nova sem classificar.

As ferramentas de deteção automática de PII analisam nomes de colunas, padrões de dados (regex para e-mails, NIFs, telefones) e utilizam modelos de IA para detetar campos que contêm dados pessoais com nomes não óbvios.

A Linedat deteta automaticamente 16 tipos de PII ao nível da coluna através da análise de padrões e nomes de campos. Cada campo detetado é classificado e etiquetado, permitindo às equipas de compliance ter visibilidade imediata sobre onde reside a informação pessoal em toda a organização e aplicar as políticas de proteção adequadas.