Comprendere Categorie Dati Personali, Busta Paga, Medici e Operativi
Le organizzazioni gestiscono multiple categorie informazioni sensibili, ciascuna con distinti framework regolatori e requisiti protezione. Una classificazione chiara permette salvaguardie appropriate.
Definizioni Categorie Dati ed Esempi
1. Informazioni Identificabili Personali (PII)
Qualsiasi dato che può identificare un individuo specifico.
- Identificatori diretti: Nome completo, SSN, patente, passaporto, biometria, foto viso
- Identificatori indiretti/quasi-identificatori: Data nascita, indirizzo, telefono, email, genere, razza, CAP (combinazioni possono re-identificare)
- Identificatori digitali: Indirizzo IP, device ID, cookie, credenziali login
Regolamenti: GDPR, CCPA/CPRA, leggi statali breach, FERPA (educazione), GLBA (finanziario)
2. Dati Busta Paga e Compensi
Informazioni finanziarie relative all'impiego.
- Tassi salario/stipendio, ore lavorate, straordinari
- Bonus, commissioni, equity, compensazione differita
- Ritenute fiscali (W-4, moduli stato), stato filing
- Elezioni benefici: premi salute/dentale/visione, contributi HSA/FSA, 401(k)/pensione
- Pignoramenti, mantenimento figli, pignoramenti
- Buste paga, info deposito diretto
Regolamenti: FLSA, IRS Pub 15, leggi salariali stato, ERISA, reporting datore lavoro ACA
3. Informazioni Sanitarie Protette (PHI)
Informazioni sanitarie individualmente identificabili detenute/trasmesse da covered entities o business associates.
- Numeri cartella clinica, diagnosi (ICD-10), piani trattamento, farmaci
- Risultati lab, imaging, informazioni genetiche
- Note psicoterapia (protezione speciale)
- Dati fatturazione/reclami (CPT, HCPCS, revenue codes)
- Identificatori biometrici (voice prints, scansioni retiniche)
Regolamenti: HIPAA Privacy/Security/Breach Rules, 42 CFR Part 2 (SUD), leggi privacy mediche stato
4. Dati Operativi e Aziendali
Informazioni relative a processi e performance organizzativi.
- Finanziari: bilanci, budget, previsioni, AP/AR, dichiarazioni fiscali, workpaper audit
- Vendite/CRM: pipeline, contratti, PII clienti, storico acquisti, propensity scores
- Produzione/Supply Chain: BOMs, inventario, contratti fornitori, record qualità, dati sensori IoT
- HR/Forza Lavoro: performance review, azioni disciplinari, survey engagement, piani successione
- IT/Sicurezza: topologia rete, access log, vulnerability scan, incident report, chiavi crittografia
- IP/Trade Secrets: brevetti, formule, algoritmi, codice sorgente, dati R&D
Regolamenti: SOX (finanziario), regole SEC, state trade secret acts, industry-specific (FDA 21 CFR 11, NERC CIP, PCI DSS)
Framework Protezione Unificato
| Controllo | PII | Busta Paga | PHI | Operativo |
|---|
| Crittografia (at rest/transit) | Richiesto | Richiesto | Richiesto | Risk-based |
| Controllo accesso (RBAC/ABAC) | Richiesto | Richiesto | Richiesto | Richiesto |
| Audit logging | Richiesto | Richiesto | Richiesto | Richiesto |
| Schedule ritenzione | Legale/regolatorio | 7 anni (IRS) / stato | 6 anni HIPAA / stato | Business/legale |
| Notifica breach | Leggi stato / GDPR | Leggi stato | HIPAA 60 giorni | Contrattuale / SEC |
| DPIA / Valutazione rischio | GDPR Art. 35 | Raccomandato | HIPAA SRA | Enterprise ERM |
Rischi Cross-Categoria
- Dati busta paga spesso contengono PII + PHI (disabilità, FMLA, programmi wellness)
- Sistemi operativi (HRIS, ERP) aggregano tutte categorie—singolo breach espone tutto
- De-identificazione PHI per analytics deve incontrare HIPAA Safe Harbor o Expert Determination
Imperativo governance: Inventario dati → classificazione → mapping controlli → monitoraggio continuo. Privacy by design, non afterthought.