Qué es la información de identificación personal: Una explicación rápida

En términos generales, la información de identificación personal (PII) es cualquier dato que pueda vincularse con una persona real, ya sea por sí solo o en combinación con otros datos. Si un dato permite distinguir o rastrear la identidad de una persona, se trata de datos PII.

Más allá de esta definición, las distintas instituciones y normativas tienden a definir la PII de diferentes maneras (si es que la definen):

• NIST describe la información de identificación personal como cualquier información que pueda utilizarse para identificar, contactar o localizar a una persona, o que esté vinculada o pueda vincularse con ella. Esto abarca datos evidentes, como el nombre completo, y otros menos visibles, como un identificador de dispositivo que pertenece a un único usuario.

• El RGPD europeo, por otro lado, no siempre utiliza el término PII, pero en la práctica existe un importante solapamiento entre la PII y los datos personales. A su vez, los datos personales son cualquier información relacionada con una persona física identificada o identificable.

No todos los datos PII conllevan el mismo riesgo, ya que algunos elementos pueden identificar a una persona de inmediato, mientras que otros solo adquieren relevancia cuando se combinan. Esta distinción divide toda la PII en dos tipos principales:

Los identificadores directos pueden identificar a una persona por sí solos. Si un atacante consigue acceder a ellos, no tendrá que esforzarse demasiado para asociar los registros con personas reales. Algunos ejemplos habituales de información de identificación personal de este grupo son:

• Nombre completo junto con una dirección particular específica

• Dirección de correo electrónico claramente vinculada con una persona

• Número de pasaporte u otros números de identificación emitidos por organismos gubernamentales (por ejemplo, un número de seguridad social)

Cuando estos campos aparecen junto con registros financieros o de salud, o con plantillas biométricas, normalmente se clasifican como información de identificación personal sensible.

Algunos datos no permiten identificar de forma única a una persona por sí solos. Sin embargo, siguen siendo relevantes porque, cuando se combinan con uno o dos campos adicionales, pueden permitir rastrear a una persona con sorprendente rapidez.

Algunos ejemplos habituales son:

• Código postal parcial junto con el género y el año de nacimiento

• Cargo junto con el nombre del empleador

• Identificadores de dispositivos o huellas digitales del navegador

• Direcciones IP asociadas con una base de usuarios reducida

Un mismo campo puede ser inofensivo en un contexto y bastante arriesgado en otro. Una ciudad de residencia en un conjunto de datos con millones de usuarios es una cosa; esa misma ciudad en una lista de diez clientes de alto perfil es otra muy distinta.

Para las organizaciones que trabajan con la autenticación de documentos y la comprobación de los rostros, los datos PII están presentes en todas partes. Un solo paso de verificación puede generar múltiples capas de registros relacionados con la identidad.

Cada formulario de onboarding digital recopila una combinación de:

• Nombres y datos de contacto

• Fechas y lugares de nacimiento

• Información sobre nacionalidad o residencia

Estos datos se encuentran al inicio de cualquier flujo de identidad y, por lo general, representan el primer punto de contacto entre una persona y su servicio.

Además, los servicios suelen recopilar identificadores de cuentas, números de clientes y referencias internas. Individualmente, estos datos pueden resultar poco comprensibles fuera de su sistema, pero dentro de su entorno siguen haciendo referencia a una persona específica y deben tratarse como PII.

Las comprobaciones de documentos y selfies contienen una cantidad especialmente elevada de PII. Un solo escaneo de un pasaporte o una fotografía de un documento de identidad puede contener:

• Nombre, dirección y otros campos de texto

• Fechas de nacimiento y vencimiento

• Múltiples números de identificación, como líneas MRZ y números de documento

• Imágenes faciales de alta calidad que se consideran datos biométricos personales

En otras palabras, cada archivo constituye un conjunto denso de PII y, a menudo, de PII sensible. Por este motivo, el almacenamiento, el intercambio y la eliminación de imágenes de documentos y rostros requieren reglas muy claras. Incluso si nunca almacena los archivos multimedia originales durante mucho tiempo, cualquier plantilla biométrica o representación facial que conserve para realizar comparaciones sigue considerándose información de identificación personal sensible.

La PII suele filtrarse en lugares que no fueron diseñados como repositorios principales de datos. Algunos ejemplos habituales son:

• Registros web y de aplicaciones que almacenan direcciones IP, identificadores de dispositivos e identificadores de usuarios

• Eventos de análisis que asocian datos de comportamiento con perfiles de usuarios

• Archivos CSV exportados que se utilizan para revisiones manuales, informes o auditorías

Cada uno de estos elementos puede contener PII, ya sea directamente o mediante referencias cruzadas con otras tablas. Deben recibir el mismo nivel de protección que las bases de datos “principales”, especialmente en servicios con un uso intensivo de datos de identidad, donde casi todos los eventos están vinculados con una persona real.

Una vez que sepa qué datos PII existen en su entorno, la siguiente pregunta es cómo gestionarlos de manera que se respeten los derechos de los usuarios y se mantengan los riesgos bajo control.

Los reguladores suelen hacer especial hincapié en la minimización de datos y en la definición clara de los fines de su tratamiento. En la práctica, esto significa:

• No recopile más información de identificación personal de la necesaria para una finalidad específica y legítima.

• Explique claramente por qué la recopila, durante cuánto tiempo tiene previsto conservarla y con quién puede compartirla.

Por ejemplo, si solo necesita confirmar que un usuario supera una determinada edad, puede ser suficiente almacenar un indicador que confirme que la comprobación se superó, en lugar de conservar indefinidamente un escaneo completo del documento junto con la fecha de nacimiento. Cuantos menos datos PII se almacenen, menos registros estarán en riesgo si algo sale mal.

Mantenerse fiel a finalidades bien definidas también ayuda a evitar la tentación de reutilizar la información PII para análisis, experimentos o campañas de marketing no relacionados. Si no puede establecer claramente una relación entre un nuevo uso y la finalidad original o una finalidad compatible, es más seguro evitar dicho uso o, primero, agregar y anonimizar los datos.

Para la mayoría de las organizaciones, unas buenas prácticas básicas ya contribuyen considerablemente a proteger la PII:

• Control de acceso basado en funciones y responsabilidades, para que solo las personas adecuadas puedan consultar información de identificación personal sensible.

• Separación clara entre los entornos de producción, pruebas y capacitación, para evitar que la PII real llegue a lugares donde no debería estar.

• Autenticación sólida y monitoreo de las cuentas que pueden consultar o exportar grandes conjuntos de datos PII.

Las medidas técnicas también son importantes: el cifrado de bases de datos y repositorios de archivos, las conexiones cifradas entre servicios y la seudonimización coherente de los identificadores dificultan los ataques. Y si se produce una filtración de PII, estas medidas pueden reducir la probabilidad de que los atacantes puedan leerla en texto sin cifrar.

Preste especial atención a sus reglas de retención:

• Conserve las imágenes de documentos de identidad/rostros únicamente durante el período estrictamente necesario para las comprobaciones regulatorias o la gestión de disputas.

• Conserve las estadísticas agregadas durante períodos más largos, una vez que ya no se consideren información de identificación personal.

Cuando se alcancen estos límites, los procesos automatizados pueden eliminar o anonimizar los registros para que dejen de estar relacionados con una persona identificable.

La respuesta ante incidentes también debe abarcar explícitamente la información sensible relacionada con la identidad. Si se expone PII sensible, necesita un procedimiento claro para investigar lo sucedido, contener el problema y comunicarse con los reguladores y los usuarios afectados.

La orquestación de identidad se sitúa por encima de las herramientas y servicios individuales y le permite gestionar cómo se mueve la información de identificación personal a través de sus flujos de verificación. Además, soluciones como plataforma IDV de Regula pueden funcionar completamente de forma local o en un entorno privado, de modo que la PII permanezca bajo el control directo de la empresa en lugar de enviarse a nubes de terceros.

De esta manera, todos los procesos se concentran en un solo lugar, siguen la misma lógica y pueden alinearse con los propios requisitos de cumplimiento de la organización:

• En primer lugar, la orquestación le permite definir exactamente qué campos se recopilan en cada etapa y cuáles se descartan. Por ejemplo, puede leer todos los datos de un documento de identidad, pero transferir únicamente un conjunto limitado de campos a los sistemas internos, mientras mantiene el resto dentro de un servicio de verificación sometido a controles estrictos.

• En segundo lugar, la orquestación le ayuda a dirigir la información de identificación personal sensible únicamente a los servicios que realmente la necesitan. Un motor de riesgos puede recibir atributos anonimizados o tokenizados, mientras que solo un sistema KYC específico accede a las imágenes completas de los documentos o a las plantillas biométricas.

• En tercer lugar, la orquestación puede vincular directamente sus reglas de retención y eliminación con el flujo. Puede activar la eliminación de las imágenes de los documentos una vez finalizadas las comprobaciones, o conservarlas únicamente en un repositorio controlado mientras otros sistemas trabajan con referencias seudonimizadas.

Recopilar información de identificación personal siempre conlleva riesgos; sin embargo, estos pueden gestionarse. Unas reglas claras, unos procesos predecibles y la orquestación de identidad le permitirán eliminar vulnerabilidades de sus flujos de identidad y mantenerlos fluidos y sólidos.