Informazioni personali sensibili (SPI): definizione, esempi e requisiti di protezione

Cosa sono le Informazioni Personali Sensibili (SPI)?

Le SPI sono un sottoinsieme delle informazioni identificative personali (PII) che, se divulgate, potrebbero causare danno sostanziale, imbarazzo, disagio, o iniquità a un individuo. Regolamenti (GDPR, CCPA, HIPAA, GLBA, leggi statali) impongono protezioni rafforzate.

Categorie SPI comuni

Categoria	Esempi	Regolamenti chiave
Documenti identità governativi	Codice fiscale, patente, passaporto, carta identità, permesso soggiorno	GLBA, leggi statali breach, IRS Pub 1075
Finanziari	Conti banca/carte credito, dettagli prestiti, report credito, dichiarazioni fiscali	GLBA, FCRA, PCI DSS, leggi statali
Salute/Medici	Diagnosi, trattamenti, prescrizioni, rimborsi assicurativi, dati genetici, salute mentale	HIPAA, HITECH, 42 CFR Part 2, leggi statali
Biometrici	Impronta digitale, geometria facciale, iride, voiceprint, DNA	BIPA (IL), CCPA, GDPR, leggi statali
Razza/Etnia/Origine	Auto-identificati o inferiti	GDPR Art. 9, CCPA, Title VII
Orientamento sessuale/Identità genere	Auto-identificati	GDPR Art. 9, leggi statali
Geolocalizzazione precisa	Coordinate GPS <565 m raggio	CCPA, leggi statali
Dati minori (<13/16 anni)	Qualsiasi PII raccolta da minore	COPPA, GDPR Art. 8, leggi statali
Credenziali autenticazione	Password, domande sicurezza, seed OTP, chiavi crypto	NIST 800-63, FIDO, leggi statali breach

Dati busta paga e medici = SPI

Record busta paga (stipendio, trattenute, accredito stipendio, pignoramenti) + record medici (rimborsi, congedi malattia, accomodamenti) sono SPI fondamentali che richiedono:

• Crittografia a riposo (AES-256) e in transito (TLS 1.2+).
• Controllo accesso basato ruoli (minimo privilegio).
• Audit logging (chi ha accesso a cosa, quando).
• Minimizzazione dati (raccogliete solo ciò che serve).
• Pianificazione conservazione/smaltimento (distruzione/cancellazione crittografica).
• Formazione dipendenti (phishing, gestione, segnalazione).
• Piano risposta incidenti (tempi notifica breach).
• Gestione fornitori (BAA, DPA, SOC 2).

Obblighi aziendali

• Privacy by Design: Incorporate protezioni in sistemi/processi.
• Valutazioni Impatto Privacy (PIA): Per nuovo trattamento SPI.
• Diritti interessati: Accesso, rettifica, cancellazione, portabilità, opt-out (per legge applicabile).
• Notifica breach: 72 ore (GDPR); "senza ingiustificato ritardo" (leggi statali US, HIPAA 60 giorni).

In sintesi

SPI = PII ad alto rischio. Dati busta paga e medici sono esempi quintessenziali. Conformità richiede salvaguardie tecniche, amministrative, e fisiche – non solo buone intenzioni.