Dipende. Questo numero potrebbe essere collegato a una singola persona? (ad es. è il tuo numero di cellulare e se so che questo numero è in un database e so che è tuo, allora so che ti trovi in quel DB)

Allora si.

Se ciò non è possibile (ad es. è la chiamata centrale in numero di una grande azienda collegata a qualsiasi agente disponibile) quindi no.

Se hai solo numeri di telefono senza ulteriori informazioni su di loro, devi supporre che si tratti di PII, perché non sai se un numero appartiene a un individuo o no.

Non uso WA, quindi non so in modo specifico a quale pratica si riferisce la domanda, ma supponiamo che la domanda si riferisca ad una pratica in cui un'app sul telefono di un utente accede ai contatti e alla cronologia del testo sul telefono e carica tutti i numeri di telefono sul server senza caricare anche i nomi associati a quei numeri (pur avendo accesso ad essi).

Questi numeri caricati sono nudi, senza nome, considerati PII?

Sì, assolutamente.

Il server non colleziona sequenze di numeri casuali, usandoli per popolare un modello di qualche tipo e quindi scartandoli.

Sta costruendo una struttura di dati durevole che ha entità che sono destinate in ultima analisi a mappare gli esseri umani e memorizzare quei numeri come metadati con quelle entità. (Key test- quando un contatto sul telefono ha 2 numeri, questi 2 numeri sono in qualche modo associati alla stessa entità durevole lato server?)

Il fatto che in un determinato punto ingrandito nell'architettura generale in un determinato momento non ci sia un nome memorizzato direttamente con il numero in una riga di db relazionale è irrilevante.

Nell'architettura di grandi dimensioni, comprendente sia le app client e il server, sia i flussi di dati attualmente presenti, sia i flussi di dati che potrebbero essere ragionevolmente messi in atto senza l'intervento dell'utente, ad esempio un aggiornamento di app che ha raccolto i nomi potrebbe anche essere banalmente srotolato senza una conoscenza dell'utente o ulteriore permesso - grande immagine, questo è un grafico architettonico che ha PII.

PII è una preoccupazione a livello di foresta, non una preoccupazione a livello di albero.

PII è tutto ciò che direttamente o indirettamente può essere associato a una persona basata su Regolamento 2016/679 del Parlamento Europeo .

‘personal data’ means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person;

Dalla sezione delle definizioni del regolamento sopracitato

Poiché è possibile correlare un numero di telefono con una persona (titolare del contratto) e tale numero potrebbe essere univoco per quella persona, dovresti considerarlo come informazione PII.

Lo dico come precauzione, in quanto non si sa mai se si tratta di un numero di telefono pubblico, di un telefono condiviso o di qualsiasi altro caso d'uso.

In molti casi, anche se il numero condiviso è ancora possibile correlarlo a una persona.

L'unico che non è possibile sono i telefoni pubblici.

Poiché non lo sappiamo, non possiamo correre il rischio di una sicurezza rilassata in tutti gli altri numeri di telefono che potrebbero essere associati in modo univoco a una persona specifica.

L'indirizzo IP può essere anche PII, perché non sappiamo se è un proxy o un router in qualche casa dovremmo trattarli come uguali.

Una spiegazione più semplice può essere trovata nel seguente link del Parlamento Europeo con esempi.

link

Personal data is any information that relates to an identified or identifiable living individual. Different pieces of information, which collected together can lead to the identification of a particular person, also constitute personal data.Personal data that has been de-identified, encrypted or pseudonymised but can be used to re-identify a person remains personal data and falls within the scope of the law. Personal data that has been rendered anonymous in such a way that the individual is not or no longer identifiable is no longer considered personal data. For data to be truly anonymised, the anonymisation must be irreversible.The law protects personal data regardless of the technology used for processing that data – it’s technology neutral and applies to both automated and manual processing, provided the data is organised in accordance with pre-defined criteria (for example alphabetical order). It also doesn’t matter how the data is stored – in an IT system, through video surveillance, or on paper; in all cases, personal data is subject to the protection requirements set out in the GDPR.

Sì

Chiaramente e fondamentalmente, senza alcun dubbio; e con implicazioni particolarmente forti se utilizzato in un contesto di social media come WhatsApp.

Il problema non è se WhatsApp collega questo numero di telefono a qualche nome quando lo si invia al proprio server. Il problema è che l'informazione stessa (il numero di telefono) è collegata a te, una persona. Le PII non riguardano tanto l'utilizzo, quanto piuttosto il contenuto di informazioni statiche di alcuni dati.

Certo, ci sono dei gradi in questo. Ad esempio, date di nascita. Se prendo un campione di una data di nascita casuale (senza alcuna informazione allegata) da una persona che incontro sulla strada più trafficata di una città di 10 milioni di abitanti, allora questa data di nascita probabilmente non mi aiuta a identificare la persona più tardi. Ma se faccio lo stesso in una piccola classe, è molto probabile che io possa farlo. (Nonostante il paradosso del compleanno.)

Nel caso del numero di telefono o di un numero di identificazione sociale, ecc., il caso è chiaro: posso identificare immediatamente la persona singola nel mondo relativa a quel numero (forse da una rubrica, forse solo chiamando e ottenere il loro nome se non guardano fuori.

Gli scenari potenzialmente minacciosi per l'utilizzo di questi phonenumber nudi sono numerosi; per esempio. profilazione (facendo corrispondere ad altri record che contengono il numero); scoprire gruppi di persone (afferrando un insieme di numeri che sono in qualche modo raggruppati all'interno dell'applicazione); ecc.

Sì

Un confronto di base che sto usando è con il nome di un cliente, un pezzo di informazione mi permette di individuare un individuo migliore o peggiore di un nome? Potresti avere centinaia di 'John Smith's ma avrai sempre un solo individuo per numero di telefono (o, al massimo, una famiglia) e, quindi, renderà una informazione più identificativa del nome della persona .

La maggior parte dei numeri di telefono sono collegati a persone univoche (ad esempio il loro cellulare, scrivania o casa), rendendo un numero di telefono un numero identificativo univoco che punta a una singola persona.

Potresti anche obiettare che alcuni numeri di telefono non sono ovviamente accoppiati a una persona, ma dal momento che la percentuale di numeri che in gran parte supera numericamente i numeri che non lo fanno. (Poiché le linee telefoniche fisse del 2005 sono in declino e l'uso del telefono cellulare è in aumento, con attualmente il 67% della popolazione mondiale ha un numero di telefono cellulare .)

I numeri di telefono possono essere chiaramente utilizzati per ri-identificare una persona in una fase successiva dell'elaborazione dei dati. Se lo arricchisci con un numero sufficiente di altri dati (ad esempio abbonamenti, visite al sito web, posizioni geografiche) potresti addirittura identificare la persona fisica. Alcune aziende collegano numeri telefonici a cookie pubblicitari pubblicitari che portano a profili molto ricchi. I servizi online (ad esempio il servizio di acquisto di biglietti per film) sono noti per vendere anche questi dati.

Per questo motivo nella maggior parte dei casi un numero di telefono deve essere considerato dati personali. Quindi sempre gestire i numeri di telefono in quanto i dati personali sembrano la cosa saggia da fare, a meno che tu sono sicuro al 100% che stai elaborando solo numeri telefonici di organizzazioni pubbliche, ad esempio.