什么是个人信息或个人数据？

个人信息也称为个人数据，是指与特定个人有关的任何信息。一些明显的个人信息示例包括某人的姓名、邮寄地址、电子邮件地址、电话号码和医疗记录（如果它们可以用来识别该人）。此外，一些隐私框架认为，任何有助于确定某人身份的信息，如线上标识符或互联网浏览历史等，都属于个人信息。

互联网技术使个人数据收集比以往任何时候都更加广泛。如今，个人信息存储在各种地方。例如，Web 应用程序、社交媒体平台、广告网络、雇主或医疗保健提供者都可能在世界各地的服务器上以数字形式存储某个人的数据。这对数据隐私具有重要意义，因为人们远不能像希望的那样控制谁能够看到他们的个人信息。

在各种类型的隐私立法下，“个人信息”和“个人数据”有多种法律定义。本文包括 GDPR 和 CCPA 中的定义，它们是现代隐私立法的两个重要部分，对于在美国和欧盟运营的企业而言尤为如此。但是，世界各国的法规都有自己的定义。

GDPR 如何定义“个人数据”？

通用数据保护条例 (GDPR) 是一项适用于欧盟居民数据的综合数据保护法。它认为个人数据是指与可识别的自然人有关的任何信息。这包括可用于识别某人的任何信息，包括假名化数据和某些与 Web 浏览会话相关的 Cookie 标识符。GDPR 规定：

“‘个人数据’是指与已识别或可识别的自然人（以下简称‘数据主体’）相关的任何信息；可识别的自然人是指可以直接或间接识别的人员，特别是可通过提及姓名、身份证号码、位置数据、网络标识符或者特定于该自然人的物理、生理、遗传、心理、经济、文化或社会身份的一个或多个因素识别的人员。”

CCPA 如何定义“个人信息”？

《加州消费者隐私法》(CCPA) 适用于收集美国加州居民数据的企业。CCPA 将个人信息定义为：

“‘个人信息’是指直接或间接识别、涉及、描述特定消费者或家庭或者能够合理地与特定消费者或家庭相关联的信息。”

CCPA 接着列出了许多类型的个人信息，包括 IP 地址、生物识别信息、互联网浏览历史等等。完整清单详见《加州消费者隐私法》第 1798.140 条。

什么是 PII（个人可识别信息）？

个人可识别信息 (PII) 是个人信息的另一个术语。这个术语在美国比较常见，并对它有多种定义。欧洲立法（如 GDPR）则倾向于使用术语“个人数据”，而不是 PII。

企业应如何保护个人信息？

许多数据保护法律框架限制了企业可以收集的个人信息的数量。如果一家企业的运作确实需要收集或储存个人信息，它需要采取足够的预防措施来保持数据的安全性和隐私性。

保护个人信息的一些重要步骤包括：

限制数据收集和保留。数据的保留时间不应超过必要的时间，因为公司拥有的数据越多，数据泄露的潜在影响就越大。

保护数据免受潜在的泄露。保护数据安全的一项重要技术是加密；组织也可以采取一些其他措施来保护他们的系统，包括使用防火墙和安全 Web 网关等。

采取访问控制措施限制内部访问。访问控制可确保只有授权方能够访问系统和数据。未经授权的访问可能导致数据泄露或侵犯隐私。

优先考虑隐私。企业应将安全性和隐私性根植于其服务中，以避免违反隐私法规并保护其客户。

《公平信息惯例》中列出了一些其他措施，这是一组常用的数据隐私原则。

人们有哪些方法可以保护自己的个人信息？

个人可以采取几个步骤以尽可能保护其信息的安全性与隐私性。

只使用 HTTPS 网站：避免使用未使用 TLS 加密来保护进出其服务器之数据的网站。此类网站使用 HTTP，而不是 HTTPS。

查阅服务条款和隐私政策：这些对于了解一个网站或应用程序收集多少个人信息以及如何处理这些个人信息非常重要。

使用强密码和双因素身份验证：用户应避免重复使用密码或使用容易被猜到的弱密码。此外，双因素身份验证 (2FA) 使在线账户更加安全。

寻找金丝雀安全声明：查看服务的金丝雀安全声明，了解他们是否更改了与政府实体共享信息的政策。

选择退出信息共享：根据 CCPA，必须为加州居民提供选择退出出售其个人信息的选项。这样做有助于限制看到其数据的第三方的数量。

控制 Cookie 的使用：一些浏览器 Cookie 对于网站的正常运行是必要的，但尽可能阻止不必要的 Cookie 有助于限制追踪个人在线活动的第三方的数量。

使用端对端加密：端对端加密可确保信息对所有人保持隐私，包括消息服务。了解有关端对端加密的更多信息。

使用安全的、注重隐私的 DNS：DNS 解析器有时会追踪一个人访问的域名，通常是为了将这些信息卖给广告商。注重隐私的 DNS 解析器（如 1.1.1.1）可帮助人们保持他们的浏览历史不被窥视。