O que é informação pessoalmente identificável (PII)?

Toda vez que você abre uma conta, faz uma compra ou baixa um app, compartilha partes de informações sobre você. Alguns desses dados podem parecer inofensivos. Outros detalhes podem ser usados para verificar sua identidade, acessar suas contas ou cometer fraudes se caírem em mãos erradas.

Entender quais informações colocam você em risco e como podem ser mal utilizadas é o primeiro passo para proteger sua identidade digital. Quando você sabe o que observar, fica mais fácil reduzir sua exposição e manter o controle dos seus dados pessoais.

O que você precisa saber:

• PII inclui detalhes óbvios como seu nome e número de Seguro Social, mas também dados indiretos como histórico de localização ou identificadores de dispositivo.
• Alguns PII identificam você diretamente, enquanto outros dados se tornam identificáveis quando vinculados entre si.
• PII exposto pode levar a roubo de identidade, fraude, phishing e sequestro de contas.
• Espera-se que as empresas tratem PII com cuidado segundo leis de privacidade e proteção de dados.
• Você pode reduzir o risco limitando o que compartilha e protegendo as contas. Muitas pessoas também monitoram o uso indevido.

O que é informação pessoalmente identificável (PII)?

Informação pessoalmente identificável (PII) é qualquer informação que possa ser usada para identificar uma pessoa direta ou indiretamente.

Os dados podem ser particulares de um indivíduo, como um número de seguro social, ou podem ser “quase-identificadores”, diferentes pedaços de dados gerais, como local e data de nascimento, que podem ser combinados para identificar um indivíduo.

PII pode variar de nomes e números ID a endereços de e-mail, endereços IP e dados de localização. É importante entender os riscos de exposição e como PII deve ser protegido ou removido da internet.

Quais são exemplos de informações pessoalmente identificáveis?

PII inclui todas as informações que podem identificar você. Alguns pontos de dados podem parecer inofensivos sozinhos. Mas, juntos, podem restringir a identidade de alguém rapidamente. Pesquisas da Kaspersky mostram que informações pessoalmente identificáveis estão entre os dados mais comumente expostos em vazamentos, aparecendo em cerca de 43% dos casos, o que destaca a frequência com que esse tipo de dado fica em risco.

Identificadores diretos

Identificadores diretos apontam claramente para uma pessoa específica sem necessidade de contexto extra. Isso inclui:

• Detalhes de cartão de crédito
• Números de seguro social
• Números de carteira de motorista
• Números e detalhes de passaporte
• Informações de conta bancária
• Prontuários médicos
• Dados biométricos e identificadores como impressões digitais e dados de reconhecimento facial

Se expostas, esse tipo de informação pode rapidamente levar a roubo de identidade ou fraude financeira.

Identificadores indiretos (quase-identificadores)

Identificadores indiretos ou quase-identificadores podem ser menos óbvios. Eles incluem:

• Códigos ZIP
• Raça
• Religiões
• Gênero
• Datas de nascimento
• Lugares de nascimento
• Nome completo
• Informações e histórico de emprego
• Detalhes de educação
• Endereço de e-mail ou endereço postal
• Números de telefone
• Nome de solteira da mãe
• Informações biográficas – como detalhes de pais, irmãos, parceiros e filhos
• Endereços IP e identificadores relacionados a dispositivos coletados online

Embora esses detalhes possam parecer rotineiros, vinculá-los pode revelar mais do que o esperado e aumentar o risco.

O que é PII na área da saúde?

PII costuma ser chamado de informações de saúde protegidas (PHI) em um contexto de saúde. PHI inclui dados médicos ou relacionados à saúde que podem ser vinculados a uma pessoa específica sob leis como HIPAA nos Estados Unidos.

PHI geralmente combina PII básico (nome ou data de nascimento) com detalhes médicos como diagnósticos, históricos de tratamento, prescrições ou informações de seguro. Conectar essas peças pode fornecer muitas informações sobre um indivíduo.

Para pacientes, isso afeta potencialmente portais online, sinistros de seguro, sistemas de agendamento e registros de cobrança. Como os dados de saúde são pessoais e duradouros, proteger PHI é fundamental para evitar roubo de identidade ou uso indevido de prontuários.

Qual é a diferença entre PII sensível e não sensível?

A diferença se resume ao impacto. A sensibilidade depende do quanto de dano poderia ocorrer se a informação fosse exposta.

PII sensível pode levar diretamente ao roubo de identidade ou à fraude financeira. PII não sensível pode parecer inofensivo sozinho e depende de outros dados para permitir uma identificação precisa.

Números de passaporte ou de carteira de motorista são considerados sensíveis. Eles podem ser prejudiciais por si só, se expostos. Seu histórico profissional ou educacional são exemplos não sensíveis de PII.

Mesmo dados “não sensíveis” podem se tornar perigosos quando vinculados. Por exemplo, um nome mais data e local de nascimento pode restringir rapidamente a identidade. Alternativamente, um endereço IP sozinho pode não nomear claramente uma pessoa. Mas, quando vinculado a registros de login e impressões digitais do dispositivo, pode apontar para um usuário específico.

Por que criminosos miram informações pessoalmente identificáveis?

Criminosos miram PII porque podem ser usadas para muitas formas de fraude e sequestro de contas.

Informações roubadas podem ser usadas diretamente para acessar contas financeiras ou redefinir senhas. Também podem ser empacotadas e vendidas ou trocadas na dark web para outros que executam golpes. PII é muito valioso para golpistas.

Para as vítimas, o resultado pode incluir perdas financeiras e problemas de longo prazo, como crédito prejudicado. Recuperar contas e identidade pode ser um processo longo e difícil.

Como PII é roubado?

PII geralmente é roubado por canais do dia a dia, e não por invasões complexas.

A rota mais comum é o phishing ou smishing. Um e-mail ou SMS falso pede que você clique em um link ou confirme detalhes, mas na verdade é uma maneira de roubar seus dados para usar ou vender. Golpes de engenharia social funcionam da mesma maneira, usando pressão e senso de urgência para fazer você compartilhar informações diretamente.

Vazamentos de dados e ataques de malware são outra grande fonte. Quando empresas são invadidas, detalhes importantes de contas de seus clientes podem ser expostos em massa. Isso pode acontecer até com empresas reconhecidas globalmente. Por exemplo, um erro recente na codificação de um app de empréstimo do PayPal deixou alguns dados de clientes expostos por muitos meses.

PII também pode ser exposto por dispositivos perdidos ou Wi-Fi público inseguro. Uma conexão sem segurança pode dar aos invasores acesso a contas armazenadas e credenciais salvas.

Sinais de alerta para observar:

• Mensagens solicitando confirmação urgente de detalhes de conta ou pagamento
• Pedidos para compartilhar códigos de uso único ou senhas
• Redes Wi‑Fi públicas sem senha
• Cobranças inesperadas ou notificações de login

Você também deve prestar atenção a notícias (de fontes confiáveis) sobre vazamentos de dados envolvendo serviços que você usa.

Quais leis protegem informações pessoalmente identificáveis?

Várias leis ao redor do mundo são projetadas para proteger dados pessoais e dar aos indivíduos certos direitos sobre suas informações. Os países criam suas próprias leis sobre esses dados, mas podem usar as mesmas estruturas.

• GDPR (Regulamento Geral sobre a Proteção de Dados) dá às pessoas na EU o direito de acessar, corrigir e solicitar a exclusão de seus dados pessoais.
• CCPA/CPRA (California Consumer Privacy Act e California Privacy Rights Act) permitem que residentes da Califórnia saibam quais dados são coletados sobre eles e solicitem que sejam excluídos ou não vendidos.
• O Privacy Act de 1974 regula como as agências federais dos EUA coletam e usam informações pessoais.
• HIPAA (Health Insurance Portability and Accountability Act) protege informações relacionadas à saúde tratadas por prestadores de serviços médicos e seguradoras.
• PCI DSS (Payment Card Industry Data Security Standard) define requisitos de segurança para empresas que tratam dados de cartão de crédito.
• PDPA (Singapore Personal Data Protection Act) define regras para coleta, uso e divulgação de dados em Cingapura.
• POPIA (Protection of Personal Information Act da África do Sul) estabelece condições para o processamento legal de dados pessoais.
• PDPL (Personal Data Protection Law da Arábia Saudita) entrou em pleno vigor em 2024. Ela fornece direitos e obrigações de proteção de dados no Reino da Arábia Saudita.

Como você pode proteger suas informações pessoalmente identificáveis?

Proteger seu PII significa reduzir quanto dele fica exposto, além de dificultar que invasores usem o que encontrarem. Há vários métodos simples que você pode implementar para combater o sequestro de contas e o uso indevido de identidade.

Reforce a segurança das contas

Use senhas fortes e exclusivas para cada conta e armazene-as em um gerenciador de senhas para maior segurança. Ative a autenticação multifator sempre que possível para adicionar outro nível de proteção.

Certifique-se de verificar credenciais vazadas por meio de alertas de violação e altere rapidamente as senhas expostas.

Limite o que você compartilha online

Revise as configurações de privacidade nas redes sociais e remova detalhes públicos desnecessários – pense no que você realmente quer deixar público. Evite publicar sua data de aniversário completa, seu endereço residencial ou sua localização em tempo real.

Tenha cautela com qualquer coisa que incentive você a compartilhar informações. Isso pode incluir quizzes ou postagens que se assemelham a perguntas de segurança. Podem ser golpes, feitos especificamente para coletar suas informações.

Proteja dispositivos e conexões

Use configurações e tecnologias de segurança para garantir a maior proteção possível. É uma boa ideia manter os dispositivos atualizados e usar bloqueios de tela e criptografia nativa.

Também recomendamos que você use um VPN no Wi‑Fi público para reduzir riscos de interceptação. Conexões públicas trazem riscos.

Reduza o rastreamento e a coleta de dados

O rastreamento é outra ameaça às suas informações. Ajuste as configurações de privacidade e limite cookies de terceiros para restringir como sua conexão à internet e detalhes do dispositivo são rastreados. Revise as permissões de apps e desative rastreamentos ou recursos de vigilância desnecessários que possam comprometer seus dados.

Restrinja o acesso à localização para apps que não precisam disso para reduzir a chance de seus dados serem rastreados e usados para identificar você.

Especialistas também recomendam otimizar as configurações de privacidade do navegador – desativar cookies de terceiros, impedir rastreamento por sites, limitar anúncios – limpar regularmente históricos de navegação (incluindo cookies e caches) e excluir extensões desnecessárias.

Monitore o uso indevido da identidade

Muitas vezes vale a pena ser observador e configurar alertas para suas contas. Ative alertas de transação em contas bancárias e de cartão de crédito para você ver quando o dinheiro é gasto. É uma boa ideia verificar regularmente relatórios de crédito em busca de atividades desconhecidas. Na US, as “três grandes” centrais de crédito, Experian, TransUnion e Equifax, fornecem relatórios gratuitamente.

Serviços de monitoramento de identidade ou limpeza podem fornecer visibilidade adicional se você quiser supervisão contínua das suas informações.

Como você pode remover suas informações pessoais da internet?

Remover PII online é possível, mas pode ser um processo em vez de uma solução única. O objetivo é reduzir a exposição nos lugares que mais importam.

As principais dicas incluem:

• Excluir ou desativar contas não utilizadas. Fóruns antigos e apps costumam armazenar detalhes pessoais de que você não precisa mais online. Sites de redes sociais podem armazenar muitas informações. Remova seus dados desses locais quando possível.
• Reforçar as configurações de privacidade das redes sociais. Limite quem pode ver seu perfil e quais informações ficam públicas. Remova detalhes pessoais como números de telefone ou datas de nascimento completas.
• Solicitar remoções. Peça aos proprietários de sites que excluam informações desatualizadas ou desnecessárias sobre você. Você também pode solicitar a remoção de certos dados pessoais dos resultados de mecanismos de busca quando aplicável.
• Cancelar o compartilhamento com corretores de dados. Muitas empresas coletam e revendem dados pessoais. Você pode enviar solicitações de cancelamento diretamente ou usar um serviço de remoção confiável se suas informações estiverem amplamente listadas.
• Revisitar seu PII online. Informações pessoais podem ressurgir com o tempo. É crucial revisar e limpar periodicamente, em vez de tratar a remoção como uma tarefa única e definitiva.

O que você deve fazer se seu PII for exposto?

Se seu PII for exposto, tente não entrar em pânico. Priorize etapas que limitem o acesso adicional e reduzam danos financeiros.

• Proteja suas contas primeiro. Altere as senhas, especialmente do e-mail. Ative a autenticação multifator (MFA) quando possível.
• Verifique atividades não autorizadas. Revise logins de conta e transações recentes, além de se as configurações de segurança foram alteradas.
• Contate seu banco ou emissor do cartão. Denuncie cobranças suspeitas e pergunte sobre proteções adicionais.
• Congele seu crédito, se necessário. Um congelamento de crédito pode impedir a abertura de novas contas em seu nome até que você proteja seus dados.
• Monitore extratos e alertas. Fique de olho em atividades financeiras e de contas para coibir uso indevido contínuo.
• Denuncie o roubo de identidade. Na UK, por exemplo, é fácil registrar um boletim com o setor Prevent Fraud da polícia ou ligar para 0300 123 2040.

Tenha cautela com golpes de acompanhamento. Às vezes, os invasores se passam por serviços de “recuperação” ou equipes de segurança após uma violação. Sempre verifique de forma independente antes de compartilhar mais informações.

Artigos relacionados:

• Quais são os riscos associados ao vazamento de dados?
• Como você pode proteger melhor a privacidade contra ameaças online?
• Quais são as principais causas de uma violação de dados?
• Como a internet impacta a privacidade individual e a proteção de dados?

Produtos recomendados:

• Kaspersky Premium
• Baixe uma avaliação gratuita de 30 dias do nosso plano premium

FAQ

Um endereço IP é considerado PII?

Sozinho, um endereço IP pode não identificar diretamente uma pessoa, mas quando vinculado a outros dados ou registros de conta, pode se tornar pessoalmente identificável.

Qual é a diferença entre PII e dados pessoais?

PII é um termo comumente usado para descrever informações identificáveis. “Dados pessoais” é um termo mais amplo usado em regulamentações como GDPR e pode incluir tipos adicionais de dados.

Qual é a diferença entre PII e PHI?

PII abrange informações gerais de identificação. PHI refere-se especificamente a informações relacionadas à saúde vinculadas a uma pessoa e é protegido por leis como HIPAA.

É possível remover completamente sua PII da internet?

A remoção total raramente é possível. Monitoramento contínuo e limpezas periódicas costumam ser abordagens mais realistas.