La Información Personalmente Identificable (PII, por sus siglas en inglés) se refiere a cualquier dato que, por sí mismo o en conjunto con otra información disponible, puede ser utilizado para identificar a un individuo específico. Esto incluye una amplia gama de datos como nombres completos, direcciones de correo electrónico, números de teléfono, direcciones físicas, números de seguridad social (SSN), fechas de nacimiento, información biométrica, números de tarjetas de crédito y direcciones IP persistentes. La clasificación de PII puede variar ligeramente entre jurisdicciones y marcos regulatorios (ej. GDPR, CCPA), pero el principio subyacente es la capacidad de vincular los datos a una persona viva e identificable.
En el mundo real, la PII es omnipresente en casi todos los sistemas que interactúan con usuarios finales. Por ejemplo, los sistemas de gestión de relaciones con clientes (CRM) como Salesforce almacenan nombres, direcciones y historiales de compra. Las bases de datos de recursos humanos (HR) contienen SSN, datos bancarios y detalles de contacto de empleados. Las plataformas de e-commerce como Amazon o Shopify manejan PII para procesar pedidos y pagos. Los sistemas de autenticación y autorización, como Okta o Auth0, gestionan nombres de usuario, contraseñas (hashes) y direcciones de correo electrónico. Incluso los sistemas de telemetría y logging pueden capturar PII de forma inadvertida si no se diseñan cuidadosamente para anonimizar o pseudonimizar los datos.
Para un arquitecto de sistemas, la gestión de PII es una preocupación crítica con implicaciones profundas en el diseño, la seguridad y el cumplimiento normativo. La presencia de PII introduce requisitos estrictos de seguridad (cifrado en tránsito y en reposo), privacidad (principios de minimización de datos y propósito limitado), y cumplimiento legal (GDPR, CCPA, HIPAA). Los arquitectos deben tomar decisiones sobre dónde se almacena la PII, cómo se accede a ella, quién tiene permiso para verla y cómo se anonimiza o seudonomiza cuando sea posible. Un manejo inadecuado de PII puede resultar en multas masivas, pérdida de reputación y litigios. Por lo tanto, es fundamental diseñar sistemas con 'Privacy by Design' y 'Security by Design', implementando controles de acceso robustos, auditorías de seguridad regulares y estrategias de retención de datos claras para mitigar los riesgos asociados con la PII.