Data pribadi itu apa sih?

Data pribadi, juga dikenal sebagai informasi pribadi atau informasi pengenal pribadi (dalam bahasa inggris personally identifiable informatian disingkat PII), adalah informasi apa pun yang terkait dengan orang yang dapat diidentifikasi.

Singkatan PII dipahami secara luas di Amerika Serikat, tetapi frasa yang disingkat memiliki empat varian umum berdasarkan personal  atau personally, dan identifiable atau identifying. Tidak semuanya sama dan setara, maka untuk tujuan hukum definisi yang sangat bervariasi tergantung pada yurisdiksi dan tujuan. Di bawah aturan perlindungan data Uni Eropa dan lainnya, yang terutama berpusat pada Peraturan Perlindungan Data Umum (GDPR), istilah "data pribadi" secara signifikan lebih luas, dan menentukan cakupan dimana peraturan tersebut akan digunakan peraturan.

Publikasi spesial National Institute of Standards and Technology 800-122 mendefinisikan informasi pengenal pribadi sebagai "setiap informasi tentang individu yang dikelola oleh suatu lembaga, termasuk (1) informasi apa pun yang dapat digunakan untuk membedakan atau melacak identitas individu, seperti nama, nomor jaminan sosial, tanggal dan tempat lahir, nama gadis ibu, atau catatan biometrik; dan (2) informasi lain apa pun yang terkait atau dapat dikaitkan dengan individu, seperti informasi medis, pendidikan, keuangan, dan pekerjaan." Jadi, misalnya, alamat IP pengguna tidak diklasifikasikan sebagai PII sendiri, tetapi diklasifikasikan sebagai PII tertaut. Namun, di Uni Eropa, alamat IP pelanggan Internet dapat digolongkan sebagai data pribadi.

Data pribadi didefinisikan melalui GDPR sebagai "Informasi apapun yang terhubung atau dapat dihubungkan ke orang".

Konsep PII telah menjadi hal yang lazim dikenal, karena teknologi informasi dan Internet telah mempermudah pengumpulan PII maupun identas itu sendiri yang mengarah ke pengerukan keuntungan dalam mengumpulkan dan menjualnya kembali secara ilegal. PII juga dapat dimanfaatkan oleh penjahat untuk menguntit atau mencuri identitas seseorang, atau untuk perencanaan tindak kriminal. Sebagai respon terhadap ancaman ini, banyak kebijakan privasi situs web yang secara khusus membahas pengumpulan PII, dan pembuat undang-undang seperti Parlemen Eropa telah memberlakukan serangkaian undang-undang seperti Peraturan Perlindungan Data Umum (GDPR) untuk membatasi distribusi dan aksesibilitas PII itu sendiri.

Kebingungan muncul seputar apakah PII berarti informasi yang dapat diidentifikasi (yaitu, dapat dikaitkan dengan seseorang) atau mengidentifikasi (yaitu, terkait secara unik dengan seseorang, sehingga PII dapat mengidentifikasi mereka dan menjadi identitas kepada mereka). Dalam aturan data privasi preskriptif seperti HIPAA, item-item PII telah ditentukan secara khusus. Dalam aturan perlindungan data yang lebih luas seperti GDPR, data pribadi didefinisikan dengan cara berbasis prinsip non-preskriptif. Informasi yang mungkin tidak dianggap sebagai PII menurut HIPAA namun dapat menjadi data pribadi untuk dalam peraturan GDPR. Untuk alasan ini, "PII" biasanya tidak digunakan lagi secara internasional. Jadi batasan berlakunya pemahaman PII hanya berbatas pada pemahaman serta yurisdiksi aturan tersebut.