什么是 PII？个人身份信息的定义、类型和例子

什么是 PII？

PII（Personally Identifiable Information，个人身份信息）指能识别到具体某个人的信息：有的单独就能认出人，有的要和别的信息组合才能认出。姓名、邮箱、身份证号单独就够；邮编、出生日期、性别单看都不行，但三个放在一起，往往就只对得上一个人。

美国国家标准与技术研究院（NIST）把 PII 分成两部分：一是能用来区分或追踪某人身份的信息，二是与这个人相关联、或能关联上的其他信息。很多人忽略的是第二部分：一个字段算不算 PII，要看你手里还有什么别的数据。

直接标识符和间接标识符

间接标识符的风险并不小。Latanya Sweeney 的经典研究估算：仅凭邮编、性别和出生日期，就能单独认出约 87% 的美国人。所以「把姓名删了」并不等于数据就匿名了。

敏感与非敏感个人信息

敏感个人信息是一旦泄露就可能造成实际伤害的信息：身份被冒用、财产损失、受到歧视或人身危险。比如身份证号、银行账户、健康和基因数据、生物识别信息、行踪轨迹、登录凭据。《个人信息保护法》第 28 条把这类信息单独列出，处理前要取得单独同意，并做影响评估。

非敏感个人信息比如工作邮箱、所在城市，单独泄露风险较低，但它仍然是个人信息，同样受法律约束，只是保护级别不同。

PII、个人数据、个人信息有什么区别

各地法律用词不同，覆盖范围也不同：

实际操作中，只要你的用户里有国内、欧盟或加州的人，就按范围更宽的定义来。Cookie ID、设备 ID、IP 地址都算。

PII 是怎么混进统计数据的

大多数团队并不想收集个人信息，它往往是「顺带」进来的：

• 网址：注册表单用 GET 提交，地址栏出现 ?email=jane@example.com，每次浏览都把它记下来。
• 页面标题：「张三的订单」这样的标题。
• 事件属性：开发为了排查问题，在 signup 事件里带上 user_email。
• 自动采集的文字：点击元素的可见文字里带着「欢迎你，张三」。
• 用户 ID：直接拿邮箱或手机号当登录 ID 传给统计工具。
• 自由文本：站内搜索词、表单字段、客服聊天里访客顺手打出的手机号和地址。
• 网络数据：完整 IP 地址和精确定位。

示例：排查页面网址里的邮箱

示例数据：导出一天的页面网址（1,000 行），在查询参数里查找 @ 和连续 9 位以上的数字。

把表单改成 POST、把合作链接里的邮箱换成内部编号，问题就从源头解决了。事后脱敏是第二道防线，不能代替源头修复。

怎样保护 PII：检查清单

1. 用不上的就不收。这就是数据最小化，比后面任何措施都更能降低风险。
2. 网址和标题里不放标识符。表单用 POST；链接里用不透明的编号，不用邮箱。
3. 必须用的标识符做假名化。用内部用户 ID 代替邮箱。注意：对邮箱做哈希属于假名化，不是匿名化。
4. 截短网络数据。存储前去掉 IP 地址的末段；位置只存国家或城市，不存经纬度。
5. 给每个属性定敏感级别。标成直接标识、间接标识或非个人信息，直接标识默认脱敏显示。
6. 限制保存期限。原始事件到期就删，参考数据保留策略。
7. 控制并记录谁能看。不是每个分析人员都需要看到原始邮箱。
8. 能响应个人的请求。查阅、删除、导出请求要能按用户 ID 找到对应数据。

TapCub 怎样处理个人信息

• 事件上不写 IP 地址。采集端在查城市之前先截短地址（默认去掉 IPv4 的后两段），只用于地理位置和访客哈希，用完即丢。详见 IP 截短与保留。
• 像邮箱、手机号的字符串会被替换成占位符（剥离默认开启）。自动采集默认不记录元素的可见文字；登录时传入的邮箱和手机号默认不进入用户档案。
• 每个属性都有敏感级别。在 全端分析 › 数据管理 › 属性字典 里，每个属性键可标为直接标识、间接标识或非个人信息；直接标识在列表和导出中默认脱敏，并和成员级脱敏取更严格的一档。
• 客服聊天可在存储前脱敏号码：开启敏感信息脱敏后，通过校验的银行卡号、身份证号、手机号只保留后 4 位。
• 个人权利请求（查阅、删除、限制处理、可携带）在 配置 › 合规中心 处理。参见处理个人数据请求和不让个人信息进入统计数据。

资料来源

• NIST，SP 800-122：保护个人身份信息机密性指南（2010）。
• GDPR 第 4 条：定义。
• 美国加州民法典第 1798.140 条（CCPA 定义）。
• 《中华人民共和国个人信息保护法》（2021），第 4 条、第 28 条。
• Sweeney, L. (2000). Simple Demographics Often Identify People Uniquely。卡内基梅隆大学数据隐私工作论文 3。