בעמוד הזה
מה זה PII?
PII (Personally Identifiable Information) הוא מונח שמקורו בעולם האמריקאי, ומתאר מידע שמאפשר לזהות אדם מסוים. בישראל ובאירופה מדברים בדרך כלל על "מידע אישי". תיקון 13 לחוק הגנת הפרטיות מגדיר מידע אישי באופן רחב: כל נתון על אדם מזוהה או על אדם שאפשר לזהות, גם בעקיפין.
חלק מהמידע רגיש במיוחד, למשל מידע רפואי, מידע ביומטרי, נתוני מיקום, מידע פיננסי ועבר פלילי. מידע כזה מחייב רמת הגנה גבוהה יותר.
דוגמה מהשטח
קובץ אקסל שנשלח בטעות. עובדת במשאבי אנוש שולחת קובץ שכר לנמען הלא נכון. הקובץ כולל שמות, מספרי זהות, חשבונות בנק ושכר: PII בדיוק מהסוג שהחוק מגן עליו. ארגון ערוך מזהה את זה מהר, בודק אם מדובר באירוע אבטחה שמחייב דיווח ומצמצם את הנזק.
מידע אישי רגיל או רגיש?
| מידע אישי | מידע בעל רגישות מיוחדת | |
|---|---|---|
| דוגמאות | שם, טלפון, כתובת, דוא"ל | מידע רפואי, ביומטרי, פיננסי, עבר פלילי |
| רמת הגנה | בקרות בסיס | הצפנה, הרשאות מצומצמות ותיעוד גישה |
| נזק בדליפה | פגיעה בפרטיות וחשיפה לפישינג | נזק כבד, תביעות ועיצומים |
רכיבים מרכזיים
איך זה עובד
- איתור
מיפוי המקומות שבהם יש PII: מערכות, קבצים, ענן וספקים.
- סיווג
קביעה מה רגיל ומה רגיש, ומה רמת האבטחה הנדרשת.
- צמצום
שמירה רק של מה שצריך, ומחיקה של מה שלא.
- הגנה וניטור
הרשאות, הצפנה ותיעוד גישה, עם ניטור חריגות.
שאלות נפוצות
האם כתובת IP היא PII?
ברוב המקרים כן. כתובת IP יחד עם מידע נוסף מאפשרת לזהות אדם, ולכן גם GDPR וגם תיקון 13 מתייחסים אליה כמידע אישי.
מה ההבדל בין PII למידע אישי?
PII הוא המונח האמריקאי. בישראל ובאירופה מדברים על "מידע אישי", וההגדרה בדרך כלל רחבה יותר.
מי אחראי להגן על PII בארגון?
הארגון שמחזיק את המידע ושולט בו. בפועל האחריות מתחלקת בין ההנהלה, מנהל אבטחת המידע וממונה הגנת הפרטיות (DPO).