Cosa sono le PII? Tipi, esempi e differenze rispetto ai dati personali

Pubblicato 3 luglio 2026 · Aggiornato 17 luglio 2026 · il team di Occlira

Le PII (informazioni di identificazione personale) sono qualsiasi informazione che permetta di identificare una persona specifica — da sola, come un numero di passaporto, oppure combinata con altri dati, come un codice postale insieme a una data di nascita. Lo standard statunitense, NIST SP 800-122, le inquadra in due parti: le informazioni che distinguono o tracciano un’identità, più qualsiasi altra informazione collegata o collegabile a quella persona.

Cosa si considera PII? La definizione ufficiale

Non esiste un unico elenco chiuso: ciò che rientra nella categoria dipende dalla giurisdizione. La definizione statunitense più citata proviene dalla NIST Special Publication 800-122, che suddivide le PII in (1) informazioni utilizzabili per distinguere o tracciare l’identità di un individuo — un nome, un numero di previdenza sociale, la data e il luogo di nascita, il cognome da nubile della madre o i dati biometrici — e (2) qualsiasi altra informazione collegata o collegabile a un individuo, come dati sanitari, relativi all’istruzione, finanziari o lavorativi. (Fonte: NIST SP 800-122.) Quel criterio del «collegato o collegabile» è l’idea chiave: perché un dato sia una PII non occorre che nomini qualcuno, basta che contribuisca a identificarlo.

Tipi di PII, con esempi

Il NIST raggruppa le PII nelle seguenti categorie esemplificative (un elenco illustrativo, non esaustivo):

Categorie tratte da NIST SP 800-122 §2.2. Occlira rileva 40+ tipi come questi tra documenti, fogli di calcolo, email, audio e immagini.

Identificativi diretti, identificativi indiretti e quasi-identificativi

I team che si occupano di privacy classificano le PII in base al modo in cui identificano una persona: è la distinzione alla base della maggior parte degli schemi di classificazione.

• Gli identificativi diretti individuano da soli una persona — un passaporto o un SSN, un indirizzo email, un numero di telefono.
• Gli identificativi indiretti (quasi-identificativi), da soli, non identificano nessuno, ma lo fanno se combinati. Lo stesso NIST porta un esempio: un elenco di punteggi di credito non identifica nessuno, ma, aggiungendo età, indirizzo e sesso, le persone diventano identificabili. (Fonte: NISTIR 8053.)

La dimostrazione classica è quella di Latanya Sweeney, che ha re-identificato la cartella clinica «de-identificata» di un governatore statunitense utilizzando le sole data di nascita, codice postale e sesso, e ha stimato che gli stessi tre campi identificano in modo univoco circa l’ 87% della popolazione statunitense (una replica successiva l’ha collocato intorno al 63%). (Fonte: Golle 2006, che cita Sweeney.) Ecco perché rimuovere i nomi più evidenti non basta: i quasi-identificativi rimasti possono comunque re-identificare le persone, e quindi un buon oscuramento deve intercettare gli uni e gli altri.

PII, dati personali e PHI a confronto

I tre concetti si sovrappongono ampiamente, e il compito pratico è identico: individuare gli identificativi e rimuoverli. La differenza principale sta nell’ampiezza: l’art. 4, par. 1, del GDPR copre chiunque sia identificabile «direttamente o indirettamente», e il considerando 30 chiarisce che gli identificativi online — indirizzi IP, ID dei cookie, tag RFID — sono dati personali. Ciò rende il GDPR notevolmente più ampio della classica nozione statunitense di PII.

PII sensibili e non sensibili (e le categorie particolari del GDPR)

Non tutte le PII comportano lo stesso rischio, quindi è utile distinguerle in due gruppi:

• Le PII sensibili possono causare un danno concreto se esposte e meritano la protezione più forte — documenti d’identità nazionali, dati finanziari e di pagamento, cartelle cliniche, dati biometrici e ubicazione precisa.
• Le PII non sensibili, prese singolarmente, sono spesso pubbliche o a basso rischio — un nome, una qualifica professionale o un’email aziendale — e diventano rischiose soprattutto quando combinate con altri campi.

Il GDPR prevede un livello più rigoroso e ben definito, quello dei dati appartenenti a categorie particolari, il cui trattamento è vietato in via generale (art. 9): si tratta dei dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici destinati a identificare in modo univoco una persona, dati relativi alla salute e dati relativi alla vita sessuale o all’orientamento sessuale di una persona. «Categoria particolare» è il termine del GDPR; «PII sensibili» è l’equivalente statunitense, più generico.

I 18 identificativi HIPAA (Safe Harbor)

I dati sanitari statunitensi offrono l’inventario più concreto di ciò che si considera un identificativo. Per de-identificare una cartella secondo il metodo Safe Harbor di HIPAA, un soggetto obbligato deve rimuovere tutti i 18 identificativi e non avere alcuna conoscenza effettiva del fatto che i dati residui possano ancora identificare la persona: (Fonte: 45 CFR 164.514(b)(2).)

1. Nomi
2. Dati geografici inferiori a uno Stato (solo le prime 3 cifre del codice postale, e solo se l’area conta più di 20.000 persone)
3. Tutte le date tranne l’anno (nascita, ricovero, dimissione, decesso); le età superiori a 89 anni raggruppate come «90 o più»
4. Numeri di telefono
5. Numeri di fax
6. Indirizzi email
7. Codici di previdenza sociale (Social Security number)
8. Numeri di cartella clinica
9. Numeri di beneficiario del piano sanitario
10. Numeri di conto
11. Numeri di certificato/licenza
12. Identificativi e targhe dei veicoli
13. Identificativi e numeri di serie dei dispositivi
14. URL web
15. Indirizzi IP
16. Identificativi biometrici, incluse le impronte digitali e vocali
17. Fotografie a figura intera del volto e immagini analoghe
18. Qualsiasi altro numero, caratteristica o codice identificativo univoco

Il secondo percorso di HIPAA, l’Expert Determination, chiede invece a un esperto qualificato di confermare che il rischio di re-identificazione sia «molto ridotto»: è uno standard di rischio residuo, non un’affermazione di rischio zero. (Fonte: HHS.)

Anonimizzazione, pseudonimizzazione e oscuramento a confronto

Questi tre termini vengono spesso usati come sinonimi, ma la legge li tratta in modo molto diverso:

La distinzione ha un peso giuridico rilevante. Ai sensi dell’art. 4, par. 5, del GDPR, i dati pseudonimizzati — reversibili grazie a informazioni conservate separatamente — sono ancora dati personali; solo i dati realmente anonimi (considerando 26) restano fuori dall’ambito del GDPR. Le linee guida sulla pseudonimizzazione del 2025 dell’EDPB lo confermano: la tokenizzazione reversibile riduce il rischio, ma i dati restano nell’ambito di applicazione.

Perché rimuovere i nomi non basta

Anche una de-identificazione accurata lascia un certo rischio residuo. Un test del Safe Harbor di HIPAA ha rilevato che meno dell’1% delle cartelle poteva essere re-identificato quando restavano soltanto l’anno di nascita, il sesso e le 3 cifre del codice postale: poco, ma non zero. (Fonte: NISTIR 8053.) Insieme al dato dell’87% di Sweeney, l’insegnamento è chiaro: eliminare i nomi è la parte facile; il lavoro vero consiste nell’intercettare gli identificativi indiretti che, silenziosamente, individuano le persone — che è esattamente ciò che un buon strumento di oscuramento deve fare, non limitarsi a individuare i nomi.

Come rimuovere le PII dai suoi file, in locale

Una volta che sa cosa cercare, il modo sicuro per rimuoverle è tenere l’intera operazione sul suo computer. Occlira è un’app desktop per Windows e macOS che rileva e rimuove 40+ tipi di PII — nomi, documenti d’identità nazionali, email, identificativi finanziari, dati sanitari e altro ancora — tra documenti, fogli di calcolo, email, audio e immagini, al 100% sul dispositivo, senza cloud e senza account. Poiché segnala anche gli identificativi indiretti, e non solo i nomi, colma il divario di re-identificazione descritto sopra.

La sua anonimizzazione è reversibile: sostituisce ogni identificativo con un segnaposto neutro e conserva la mappatura sul suo dispositivo, così da poter ripristinare gli originali. In termini di GDPR si tratta di pseudonimizzazione: un solido passo verso la riduzione del rischio ma, come detto sopra, il risultato resta un dato personale; la consideri quindi una minimizzazione dei dati, non una via d’uscita dalle regole. Consulti anonimizzare prima di ChatGPT o come oscurare Word, PDF ed Excel per i passaggi dettagliati.

Domande frequenti

Individuare e rimuovere le PII in locale

Rileva e rimuove i dati personali nei suoi file, direttamente sul suo computer. Gratis per 14 giorni su Windows e macOS.

Altro: usare l’IA senza violare il GDPR · rimuovere i dati personali dall’audio · come vengono gestiti i suoi dati