PII
En protección de datos, PII (personally identifiable information) es la forma estadounidense de nombrar los datos que identifican a una persona. Bajo el RGPD el concepto operativo son los datos personales, que es más amplio: cubre identificadores en línea, direcciones IP, cookies y datos seudonimizados. En España y en la Unión Europea el término canónico son los datos personales, y PII estrecha el alcance.
Cómo funciona
PII es un término de mercado, frecuente porque muchísimas herramientas y muchísima documentación vienen de Estados Unidos, y funciona razonablemente como atajo para hablar de datos que identifican a una persona: nombre, documento de identidad, datos de contacto y demás. Sirve para describir la categoría de información que protege un control. Pero no es el concepto jurídico que gobierna el tratamiento en la Unión Europea. El RGPD habla de datos personales, definidos en su artículo 4, y esa definición es deliberadamente amplia: incluye cualquier información relativa a una persona identificada o identificable, lo que alcanza a los identificadores en línea, las direcciones IP, los identificadores de cookies y los datos seudonimizados que todavía se pueden volver a vincular.
Qué sale mal
Usar PII como alcance en un contexto europeo lo estrecha en silencio, y ese estrechamiento tiene consecuencias. Un equipo diseña controles alrededor de «PII» entendido como los campos evidentes y deja fuera los identificadores en línea, los datos de dispositivo y los registros seudonimizados, que siguen siendo datos personales bajo el reglamento, de forma que el tratamiento que arrastra obligaciones se queda sin cubrir. Un delegado de protección de datos lo detecta en la primera lectura. La otra omisión son las categorías especiales del artículo 9 (salud, biometría, datos políticos y similares), que llevan obligaciones más estrictas y que es fácil pasar por alto si el alcance se fijó con el término estrecho. La etiqueta elegida al principio decide qué protege la evaluación.
Dónde aparece esto en una auditoría
Fijamos el alcance del trabajo de protección de datos contra la definición del reglamento y no contra el atajo del mercado: qué datos personales trata la organización, incluidos identificadores en línea y registros seudonimizados, y si alguno cae en las categorías especiales. La clasificación de datos es el punto de partida práctico, y cuando se puede reducir la exposición señalamos la tokenización. Los hallazgos se atan al concepto jurídico correcto y a la entrada canónica, para que el alcance refleje lo que de verdad arrastra obligaciones. Esto forma parte de cómo fijamos el alcance de una evaluación de protección de datos.