Informação Pessoalmente Identificável (PII) e sua importância para as empresas.

Vivemos em uma era altamente digital, onde quase todas as nossas interações online deixam rastros.

Seja uma compra online, acesso a um serviço bancário ou simplesmente navegar em redes sociais: estamos constantemente compartilhando informações pessoais. E proteger a Informação Pessoalmente Identificável (PII, do inglês Personally Identifiable Information) acabou tornando-se uma prioridade – não só a nível individual, mas principalmente para as empresas. 

Afinal, a PII engloba qualquer dado que possa ser utilizado para identificar uma pessoa, seja direta ou indiretamente – das informações mais básicas como nome e CPF, até dados sensíveis, como histórico de navegação e IP de dispositivos. 

Neste sentido, a forma como esses dados são coletados, armazenados e utilizados têm impacto direto na segurança e privacidade e também na credibilidade das organizações que lidam com essas informações.

Quer entender melhor os impactos e boas práticas em relação ao PII? Leia o artigo completo e entenda o que a Lei diz sobre o assunto, quais os riscos do uso indevido da PII e como proteger a Informação Pessoalmente Identificável.

Boa leitura!

O que é Informação Pessoalmente Identificável (PII)?

Como falamos em nossa introdução, a Informação Pessoalmente Identificável (PII) refere-se a qualquer dado que possa ser usado para identificar, direta ou indiretamente, uma pessoa. 

Desde informações básicas, como nome e CPF, até detalhes mais específicos, como endereço IP e dados biométricos, tudo é PII. Essa definição pode variar de acordo com a legislação de cada país, mas, de modo geral, os dados são divididos em duas categorias principais:

• PII Direta

Dados que, por si só, identificam um indivíduo, como o nome completo, CPF, RG, número de passaporte, e-mail pessoal, telefone.

• PII Indireta 

Dados que, combinados com outras informações, podem levar à identificação de uma pessoa, como data de nascimento, endereço residencial, IP de um dispositivo e hábitos de consumo.

Para entendermos melhor essa classificação, imagine seu e-mail pessoal: ele pode não significar muito se olharmos apenas o endereço de e-mail, mas ao combinar dados como o IP do seu dispositivo, histórico de compras e localização, já temos detalhes mais importantes sobre a sua vida. 

PII e a legislação: o que dizem as Leis?

A proteção de dados pessoais deixou de ser apenas uma preocupação ética, mas sim uma obrigação legal em várias partes do mundo. 

No Brasil, a Lei Geral de Proteção de Dados (LGPD) trouxe regras específicas para o tratamento de dados pessoais no Brasil. Segundo a Lei: 

• Dado pessoal é qualquer informação que identifique ou possa identificar um indivíduo.
• Dado sensível (subcategoria de PII) envolve origem racial ou étnica, saúde, orientação sexual, entre outros.
• Empresas devem garantir transparência, segurança e consentimento adequado ao coletar e tratar PII.

Na União Europeia, o Regulamento Geral de Proteção de Dados (GDPR) é uma das legislações mais rigorosas do mundo em proteção de dados, com exigências como:

• Consentimento explícito do usuário para o tratamento de PII.
• Direito ao esquecimento (exclusão dos dados quando solicitado).
• Notificação obrigatória de vazamentos às autoridades.

Um grande exemplo da severidade da GDPR, é o caso da British Airways, que foi multada em £20 milhões pelo vazamento de dados pessoais de 400 mil clientes – dada por uma falha que resultou na exposição de nomes, endereços e informações de cartão de crédito.

Já nos Estados Unidos, a CCPA, lei de proteção de dados da Califórnia, dá aos consumidores o direito de saber quais informações estão sendo coletadas sobre eles, além de permitir que optem pela não venda de seus dados.

E a CCPA também já aplicou multas bilionárias, um grande exemplo foi o escândalo da Cambridge Analytica, no qual informações de milhões de usuários do Facebook foram indevidamente utilizadas para influenciar processos eleitorais.

Além de derrubar o valor do Facebook em 2018, também serviu de alerta global sobre os perigos do uso indiscriminado da PII.

Riscos do vazamento de dados 

A partir dos exemplos acima, conseguimos entender que o vazamento de informações pessoais pode trazer consequências bastante severas, tanto a nível individual quanto para as empresas envolvidas – ocasionando até crises financeiras. 

Mas, qual o impacto da exposição desses dados? Essas informações podem ser utilizadas para roubo de identidade, fraudes financeiras e ataques cibernéticos direcionados. 

Os hackers, por exemplo, frequentemente utilizam essas informações para aplicar golpes como o phishing, onde e-mails forjados (normalmente, usando nome de uma grande companhia confiável) enganam as vítimas para que revelem ainda mais dados sensíveis.

Além disso, a falta de controle sobre a PII pode levar a práticas discriminatórias e abusivas, afinal, empresas que manipulam dados de forma irresponsável podem acabar restringindo serviços ou ajustando preços com base no perfil de consumo dos usuários, fomentando a desigualdade digital.

Como proteger a Informação Pessoalmente Identificável?

Diante dos riscos envolvidos mencionados acima, é preciso adotar uma postura proativa para proteção da PII – tanto os indivíduos quanto as empresas.

Desde a implementação de tecnologias de segurança avançadas até a criação de uma cultura organizacional voltada para a privacidade, existem algumas medidas que são consideradas fundamentais para garantir a segurança dos dados. 

Para as empresa, selecionamos as principais:

• Criptografia de dados

A codificação das informações impede que terceiros não autorizados tenham acesso aos dados, mesmo em caso de vazamento.

• Acessos restritos

Nem todos os funcionários devem ter acesso irrestrito a informações sensíveis. Implementar uma política de acessos com base em hierarquia e necessidade é essencial para minimizar riscos.

• Treinamento da equipe

Apresentar as boas práticas de segurança da informação aos colaboradores reduz a chance de erros humanos, que são uma das principais causas de vazamento de dados.

• Monitoramento contínuo e auditorias

Assim como qualquer outro tipo de implementação, a proteção de dados também exige monitoramento contínuo da proteção da PII e auditorias em PPD (privacidade e proteção de dados) que vão garantir a identificação de vulnerabilidades e o cumprimento das regulamentações.

• Anonimização de dados

Quando possível, informações pessoais devem ser anonimizadas, ou seja, armazenadas de forma que não possam ser diretamente vinculadas a um indivíduo.

Agora que falamos das medidas empresariais, a nível pessoal, os usuários também podem se proteger do roubo de dados com:

• Uso de senhas fortes e autenticação de dois fatores (2FA);
• Não compartilhar dados pessoais em redes sociais;
• Verificação de e-mails e ligações suspeitas pedindo informações sensíveis;
• Análise da permissão de aplicativos, sempre evitando conceder acesso desnecessário a dados pessoais;
• Uso de VPNs e redes seguras ao acessar a internet, especialmente para transações bancárias.

O papel do compliance na proteção da PII

Toda proteção é bem-vinda quando o assunto é ambiente digital, mas mesmo com as ações elencadas acima, garantir a segurança da PII vai além de boas práticas tecnológicas. 

Não há como fugir: a proteção de dados deve fazer parte do DNA da sua empresa e a implementação de um programa de compliance, com diretrizes sobre a coleta, armazenamento e compartilhamento de dados pessoais, com certeza, evita os riscos de não conformidade com a lei. 

Com frequência de auditorias internas, relatórios de conformidade com a LGPD e GDPR e a nomeação de um encarregado de proteção de dados, o DPO, a implementação do compliance atua de maneira completa para que sua empresa seja mais transparente, ética e segura. 

Quer saber como implementar o compliance e fortalecer a segurança da informação da sua organização? Conheça a GEP – Soluções em Compliance.

Com nossos especialistas, sua empresa conta com soluções personalizadas para ficar em conformidade com a legislação, através de consultorias, auditorias e assessorias tanto em compliance, quanto em privacidade e proteção de dados. 

Acesse o site e escolha a opção que mais se encaixa no seu negócio!