Informations personnelles identifiables (IPI)
Les informations personnellement identifiables (IPI) sont toutes les informations qui peuvent être utilisées pour identifier un individu. Toute information qui pourrait être utilisée pour identifier une personne par rapport à une autre, et qui pourrait être utilisée pour identifier des données précédemment anonymisées, peut être considérée comme une IIP.
Les IPI peuvent être utilisées isolément ou en conjonction avec d’autres données pertinentes pour déterminer l’identité d’une personne. Il peut s’agir d’identifiants directs, comme les informations relatives au passeport, qui peuvent être utilisés pour identifier une personne, ou même de quasi-identifiants, comme la race, qui peuvent être associés à d’autres quasi-identifiants, comme la date de naissance, pour identifier efficacement une personne.
La sécurité des IPI est cruciale pour la sécurité, la protection de la vie privée et des données, ainsi que pour la confidentialité des informations et la sécurité. Avec seulement quelques éléments des données personnelles d’une personne, les voleurs peuvent créer de faux comptes au nom de la personne, s’endetter, falsifier un passeport ou vendre l’identité d’une personne à des criminels. Étant donné que les informations personnelles des personnes sont suivies, enregistrées et utilisées régulièrement – par exemple, dans les scanners de reconnaissance faciale qui utilisent les empreintes biométriques ainsi que dans les scanners d’empreintes digitales qui sont utilisés pour déverrouiller les appareils – il devient plus important de protéger l’identité des personnes et toute autre donnée spécifique à leur identité.
Exemples de PII
Selon l’administration américaine des services généraux (GSA), « la définition des PII n’est pas liée à un type spécifique de technologie ou d’information. Il s’agit d’une évaluation individuelle du risque d’identification d’une personne. Lors de cette évaluation, il est crucial pour une agence d’être consciente que des données non PII peuvent devenir PII dans le cas où des informations supplémentaires sont mises à disposition sur n’importe quel support et sous n’importe quelle forme qui, combinées à d’autres informations, pourraient être utilisées pour identifier une personne.
Bien que la définition légale des informations d’identification personnelle puisse différer d’une juridiction à l’autre et d’un pays à l’autre, le terme se réfère généralement à des informations qui pourraient être utilisées pour identifier une personne, soit seules, soit en conjonction avec d’autres informations personnelles ou identifiables qui sont liées ou associées à une personne. Toute information permettant d’identifier une personne en tant qu’individu distinct d’autres informations pii peut inclure le nom, l’adresse, l’adresse électronique, le numéro de téléphone ou la date de naissance, les empreintes digitales, le numéro de passeport, le numéro de permis de conduire, le numéro de carte de crédit/débit ainsi que le numéro de sécurité sociale.
Le ministère de l’énergie (DOE) en est un exemple. Il définit les IIP comme « toute information recueillie ou conservée par le ministère sur un individu, y compris, mais sans s’y limiter, les transactions financières, l’éducation, les antécédents médicaux, l’emploi ou les antécédents criminels et toute autre information qui pourrait être utilisée pour déterminer ou retracer l’identité d’un individu, comme le nom, le numéro de sécurité sociale, la date et l’heure de naissance et le nom de jeune fille de la mère, les informations biométriques, ainsi que toute autre information sur une personne qui peut être liée ou pourrait être liée à une personne particulière. Toutes les données personnelles que vous recueillez peuvent être considérées comme des IIP. Même les adresses électroniques pourraient être considérées comme des IIP si elles contiennent le nom complet de la personne. »
Ce document fournit d’autres exemples de ce qui pourrait être classé comme PII et pourrait être plus sensible en fonction de la gravité de l’embarras, du préjudice ou du désagrément qu’il pourrait entraîner pour une personne ou une entreprise « si les informations sont volées, perdues ou compromises, ou divulguées », selon le DOE.
IPI sensibles et non sensibles
Les IPI peuvent être classées comme sensibles ou non. Les IPI non sensibles sont des informations qui peuvent être transférées sous forme non cryptée sans risquer de nuire à la personne. Elles ne sont pas sensibles et peuvent être obtenues en consultant les registres publics, les annuaires téléphoniques, les annuaires professionnels et les sites web. Elles peuvent inclure des détails tels que le code postal, le sexe, la race ainsi que la date de naissance et même la religion – des informations qui ne peuvent pas, à elles seules, être utilisées pour déterminer l’identité d’une personne.
Les informations sont considérées comme sensibles lorsqu’elles sont susceptibles, si elles sont divulguées, de causer un préjudice à la personne concernée en cas d’incident de violation de données. Ce type d’informations sensibles est généralement soumis à des réglementations contractuelles, légales ou éthiques pour une divulgation à portée limitée. Par conséquent, les IPI sensibles doivent être protégées lors de leur transit et pendant le temps où elles sont conservées. Cela inclut les données biométriques ; les informations médicales, qui sont protégées par les lois HIPAA (Health Insurance Portability and Accountability Act), ainsi que les informations financières personnelles identifiables (PIFI) et les identifiants uniques comme les passeports ou les numéros de sécurité sociale. Les dossiers des employés Les informations fiscales, y compris les numéros de sécurité sociale et les numéros d’identification de l’employeur (EIN), les informations sur les mots de passe, les numéros de carte de crédit, les comptes bancaires, les informations sur les comptes numériques et électroniques, comme les adresses électroniques, les numéros de compte Internet ainsi que les numéros d’identification des écoles et les documents sont inclus dans la liste des IPI sécurisées.
À quoi peuvent servir les IPI en cas d’usurpation d’identité ?
De nombreux détaillants, prestataires de soins de santé et institutions financières (y compris les agences d’évaluation du crédit et les banques) ainsi que des agences fédérales, comme l’Office of Personnel Management (OPM) et le Department of Homeland Security (DHS), ont été victimes de violations de données qui ont mis en danger les IIP des individus, les rendant ainsi vulnérables à l’usurpation d’identité.
Le type d’informations recherchées par les voleurs d’identité varie en fonction du type d’informations que les cybercriminels tentent d’obtenir, selon le type et la quantité d’informations. En piratant et en accédant aux systèmes informatiques et à d’autres fichiers sur l’internet, ils sont en mesure d’ouvrir des comptes dans des banques ou de déposer des demandes d’indemnisation frauduleuses avec les bonnes données volées. Dans certains cas, les criminels peuvent ouvrir des comptes avec une simple adresse électronique. D’autres comptes nécessitent le nom, l’adresse et la date de naissance, le numéro de sécurité sociale et d’autres détails. Certains comptes peuvent être ouverts par téléphone ou sur Internet.
En outre, des fichiers physiques tels que des reçus, des factures et une copie physique de votre certificat de naissance ou de votre carte de sécurité sociale, ainsi que des informations sur le bail – peuvent être volés si le domicile est cambriolé. Les cambrioleurs peuvent également vendre les IIP avec un bénéfice substantiel. Les criminels peuvent voler des informations aux victimes sans même s’en rendre compte. Les voleurs ne sont pas en mesure d’utiliser les cartes de crédit appartenant aux victimes et ne peuvent créer de nouveaux comptes qu’avec les informations de leurs victimes.
Meilleures pratiques de sécurité de l’IIP
Le volume de données structurées et non structurées dont disposent les utilisateurs ne cessant d’augmenter, le nombre de cyberattaques et de violations de données commises par ceux qui comprennent l’importance des PII ne cesse de croître. Par conséquent, des questions ont été soulevées sur la manière dont les organisations privées et publiques gèrent les informations sensibles.
Les organisations telles que les agences gouvernementales et autres doivent avoir des directives strictes concernant la collecte d’IIP par le biais d’Internet : enquêtes auprès des clients, recherches auprès des utilisateurs. Les régulateurs élaborent de nouvelles lois pour protéger les informations des consommateurs, tandis que ces derniers cherchent des moyens plus sûrs de rester dans l’ère numérique. Le règlement général sur la protection des données (RGPD) de l’Union européenne (UE) n’est qu’une des nombreuses lois et réglementations relatives à la protection de la vie privée qui ont un impact sur la manière dont les entreprises mènent leurs activités. Le GDPR, qui s’applique à toute entreprise qui collecte des IIP auprès de citoyens de l’UE, est désormais une norme acceptée dans le monde entier. Le GDPR rend les organisations responsables de la sécurité des données PII, quel que soit leur emplacement.
Étant donné que les organisations collectent continuellement des données, stockent et distribuent des DPI ainsi que d’autres informations confidentielles, les employés, les administrateurs et les sous-traitants tiers doivent être conscients et être responsables des conséquences de l’ignorance des données. L’intelligence artificielle et l’analyse prédictive (IA) sont utilisées dans les entreprises pour trier d’énormes ensembles de données et s’assurer que les données stockées sont conformes à toutes les réglementations relatives aux IIP.
En outre, les entreprises qui ont mis en place des politiques de contrôle d’accès peuvent éviter la diffusion accidentelle de données IPI. Parmi les autres bonnes pratiques, citons l’utilisation d’un cryptage axé sur la sécurité, de mots de passe sécurisés ainsi que de l’authentification à deux facteurs (2FA) et de l’authentification multifactorielle (MFA). D’autres suggestions pour protéger les IIP consistent à encourager les employés à suivre les procédures de sauvegarde des données appropriées et à détruire ou à retirer de manière sécurisée les anciens supports contenant des informations sensibles ; à installer les mises à jour des logiciels, des applications et des téléphones portables ; à utiliser des réseaux sans fil sécurisés plutôt que des réseaux Wi-Fi publics ; et à utiliser des réseaux privés virtuels (VPN).
Pour protéger les PII, les particuliers doivent faire attention aux informations qu’ils publient sur les réseaux sociaux, déchiqueter les documents importants avant de les jeter, savoir à qui ils fournissent leur numéro de sécurité sociale et conserver leur carte de sécurité sociale dans un endroit sûr. Les particuliers doivent également s’assurer de consulter ou d’acheter des documents financiers uniquement sur des sites web sécurisés HTTP Secure (HTTPS), veillez à ne pas faire de queue, à ne pas surfer sur l’épaule ou à ne pas jeter de déchets et faites attention à ne pas transférer d’informations sensibles sur un stockage en nuage et assurez-vous de verrouiller les appareils lorsqu’ils ne sont pas utilisés.
PHI par opposition à. PHI (ou ISP en français)
Semblable aux PII, les PHI (Personal Healths Information) sont un type d’informations utilisées dans le domaine médical et susceptibles d’identifier les patients ; par exemple, les noms, adresses, dates de naissance et numéros de carte de crédit ; les dossiers médicaux et les permis de conduire.
Peu importe que les entreprises contrôlent les PII ou les PHI et PHI, elles doivent utiliser un logiciel de gestion des dossiers pour mieux gérer leurs données en les transférant vers des systèmes de gestion des documents et des référentiels plus robustes ou en supprimant le contenu qui n’est plus nécessaire.
Aux États-Unis, les DPI sont soumises à des règles strictes de confidentialité et de divulgation qui ne s’appliquent pas à de nombreux autres secteurs. Si la protection des données confidentielles est toujours nécessaire, la protection des informations qui sont personnellement identifiables est autorisée dans certains cas. En vertu de l’HIPAA et des révisions apportées à l’HIPAA par le Health Information Technology for Economic and Clinical Health (HITECH), act de 2009, les entités couvertes – comme les prestataires de soins de santé, les assureurs et leurs partenaires commerciaux – sont limitées dans le type d’informations sur la santé qu’elles peuvent recueillir auprès des individus et échanger avec d’autres organisations, ou utiliser pour commercialiser leurs produits ou services. En outre, ils sont tenus de fournir des informations sur leurs patients sur demande, et de préférence sous forme électronique (ePHI).
Les DSP peuvent être bénéfiques tant pour les patients que pour les professionnels de la santé. Ils profitent également aux chercheurs et aux scientifiques cliniques lorsqu’ils sont rendus anonymes. Cependant, les pirates informatiques peuvent les utiliser pour voler des informations. Les PHI constituent une mine de données personnelles sur les consommateurs qui, si elles sont volées, peuvent être vendues à un tiers ou détenues par un ransomware jusqu’à ce que le prestataire de soins de santé paie la rançon.
