Es kommt darauf an. Könnte diese Nummer mit einer einzelnen Person verknüpft sein? (z. B. ist es Ihre Handynummer, und wenn ich weiß, dass sich diese Nummer in einer Datenbank befindet und Ihre gehört, dann weiß ich, dass Sie sich in dieser Datenbank befinden.)

Dann ja.

Wenn dies der Fall ist ist nicht möglich (z. B. ist es der zentrale Anruf in der Nummer eines großen Unternehmens, der mit einem verfügbaren Agenten verbunden ist), dann nein.

Wenn Sie nur Telefonnummern ohne weitere Informationen darüber haben, müssen Sie davon ausgehen Es ist PII, weil Sie nicht wissen, ob eine Nummer einer Person gehört oder nicht.

Ich verwende WA nicht, weiß also nicht genau, auf welche Praxis sich die Frage bezieht, aber nehmen wir an, dass sich die Frage auf eine Praxis bezieht, bei der eine App auf dem Telefon eines Benutzers Zugriff auf Kontakte und Textverlauf auf dem Telefon erhält und lädt alle Telefonnummern auf den Server hoch, ohne auch die mit diesen Nummern verknüpften Namen hochzuladen (obwohl sie Zugriff darauf haben).

Werden diese hochgeladenen bloßen Nummern ohne Namen als PII betrachtet?

Ja, absolut.

Der Server sammelt keine zufälligen Zahlenfolgen, verwendet sie, um ein Modell zu füllen, und verwirft sie dann.

Es wird eine dauerhafte Datenstruktur erstellt, die Entitäten enthält, die letztendlich dem Menschen zugeordnet werden sollen, und diese Zahlen als Metadaten mit diesen Entitäten gespeichert. (Schlüsseltest - Wenn ein Kontakt auf dem Telefon zwei Nummern hat, sind diese beiden Nummern irgendwie mit derselben dauerhaften Entität auf der Serverseite verknüpft?)

Die Tatsache, dass an einem bestimmten Punkt in der Gesamtarchitektur gezoomt wurde Zu einem bestimmten Zeitpunkt ist kein Name direkt mit der Nummer in einer relationalen Datenbankzeile gespeichert.

In der Big-Picture-Architektur, die sowohl Client-Apps als auch den Server und beide Daten umfasst Derzeit vorhandene Datenflüsse sowie Datenflüsse, die ohne Benutzeraktion relativ einfach eingerichtet werden könnten - z. B. ein App-Update, bei dem auch Namen gesammelt wurden, könnten ohne Benutzerwissen oder zusätzliche Berechtigung trivial eingeführt werden - dies ist eine Architektur Grafik mit PII.

PII ist ein Problem auf Forstebene, kein Problem auf Baumebene.

PII ist alles, was direkt oder indirekt einer Person zugeordnet werden kann, basierend auf der Verordnung 2016/679 des Europäischen Parlaments.

„personenbezogene Daten“ sind alle Informationen in Bezug auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“); Eine identifizierbare natürliche Person ist eine Person, die direkt oder indirekt identifiziert werden kann, insbesondere unter Bezugnahme auf eine Kennung wie einen Namen, eine Identifikationsnummer, Standortdaten, eine Online-Kennung oder auf einen oder mehrere Faktoren, die für die physischen, physiologischen, genetische, mentale, wirtschaftliche, kulturelle oder soziale Identität dieser natürlichen Person;

Aus dem Definitionsabschnitt der oben genannten Verordnung

Weil Sie kann eine Telefonnummer mit einer Person (Eigentümer des Vertrags) korrelieren und diese Nummer kann für diese Person eindeutig sein. Sie sollten sie als PII-Information betrachten.

Ich sage dies als Vorsichtsmaßnahme, da Sie nie wissen, ob dies der Fall ist ist eine öffentliche Telefonnummer, ein freigegebenes Telefon oder ein anderer Anwendungsfall.

In vielen Fällen ist es auch bei gemeinsamer Nummer möglich, diese mit einer Person zu korrelieren.

Das einzige, was nicht möglich ist, sind die öffentlichen Telefone.

Da wir dies nicht wissen, können wir nicht das Risiko einer entspannten Sicherheit bei allen anderen Telefonnummern eingehen, die möglicherweise einer bestimmten Person eindeutig zugeordnet sind.

Die IP-Adresse kann auch PII sein Da wir nicht wissen, ob es sich bei einem Haus um einen Proxy oder einen Router handelt, sollten wir sie als gleich behandeln.

Eine einfachere Erklärung finden Sie im folgenden Link des Europäischen Parlaments mit Beispielen.

https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-personal-data_en

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare lebende Person beziehen. Verschiedene Informationen, die zusammen gesammelt werden und zur Identifizierung einer bestimmten Person führen können, stellen ebenfalls personenbezogene Daten dar. Persönliche Daten, die deidentifiziert, verschlüsselt oder pseudonymisiert wurden, aber zur erneuten Identifizierung einer Person verwendet werden können, bleiben personenbezogene Daten und fallen im Rahmen des Gesetzes. Personenbezogene Daten, die so anonymisiert wurden, dass die Person nicht oder nicht mehr identifizierbar ist, gelten nicht mehr als personenbezogene Daten. Damit Daten wirklich anonymisiert werden können, muss die Anonymisierung irreversibel sein. Das Gesetz schützt personenbezogene Daten unabhängig von der für die Verarbeitung dieser Daten verwendeten Technologie. Es ist technologieneutral und gilt sowohl für die automatisierte als auch für die manuelle Verarbeitung, sofern die Daten gemäß den Vorbedingungen organisiert sind. definierte Kriterien (zum Beispiel alphabetische Reihenfolge). Es spielt auch keine Rolle, wie die Daten gespeichert werden - in einem IT-System, durch Videoüberwachung oder auf Papier. In jedem Fall unterliegen personenbezogene Daten den in der DSGVO festgelegten Schutzanforderungen.

Ja

Klar und grundlegend, ohne Zweifel; und mit besonders starken Auswirkungen, wenn es in einem Social Media-Kontext wie WhatsApp verwendet wird.

Das Problem ist nicht, ob WhatsApp diese Telefonnummer mit einem Namen verknüpft, wenn sie an ihren Server gesendet wird. Das Problem ist, dass die Informationen selbst (die Telefonnummer) mit Ihnen, einer Person, verknüpft sind. Bei PII geht es nicht so sehr um die Verwendung, sondern vielmehr um den statischen Informationsgehalt einiger Daten.

Sicher, es gibt Grade darin. Zum Beispiel Geburtsdaten. Wenn ich von einer Person, die ich in der belebtesten Straße einer Stadt mit 10 Millionen Einwohnern treffe, nur eine Stichprobe eines zufälligen Geburtsdatums (ohne angehängte Informationen) nehme, hilft mir dieses Geburtsdatum wahrscheinlich nicht, die Person später zu identifizieren. Aber wenn ich dasselbe in einem kleinen Klassenzimmer mache, ist es sehr wahrscheinlich, dass ich das kann. (Ungeachtet des Geburtstagsparadoxons.)

Im Fall der Telefonnummer, einer sozialen Identifikationsnummer usw. ist der Fall glasklar - ich kann die einzelne Person auf der Welt, die mit dieser Nummer in Verbindung steht, sofort identifizieren ( vielleicht aus einem Telefonbuch, vielleicht nur durch Anrufen und Abrufen ihres Namens, wenn sie nicht aufpassen).

Potenziell bedrohliche Szenarien für die Verwendung solcher bloßen Telefonnummern sind zahlreich; z.B. Profilerstellung (durch Abgleich mit anderen Datensätzen, die die Nummer enthalten); Erkennen von Personengruppen (durch Abrufen einer Reihe von Zahlen, die in der Anwendung irgendwie gruppiert sind); usw.

Die meisten Telefonnummern sind mit eindeutigen Personen (z. B. ihrem Mobiltelefon, Schreibtisch oder zu Hause) verknüpft, sodass eine Telefonnummer eine eindeutige Identifikationsnummer ist, die auf eine einzelne Person verweist.

Sie könnten auch argumentieren, dass einige Telefonnummern offensichtlich nicht an eine Person gekoppelt sind, aber da der Prozentsatz der Nummern, die dies tun, die Anzahl der Nummern, die dies nicht tun, weit übersteigt. (Seit 2005 sind die Festnetzanschlüsse rückläufig und die Nutzung von Mobiltelefonen nimmt zu. Derzeit haben 67% der Weltbevölkerung eine Mobiltelefonnummer. )

Telefonnummern können eindeutig verwendet werden, um eine Person in einem späteren Stadium der Datenverarbeitung neu zu identifizieren. Wenn Sie es mit genügend anderen Daten (z. B. Abonnements, Website-Besuche, geografische Standorte) anreichern, können Sie möglicherweise sogar die natürliche Person identifizieren. Einige Unternehmen verknüpfen Telefonnummern mit Online-Werbe-Cookie-IDs, was zu sehr umfangreichen Profilen führt. Es ist bekannt, dass Online-Dienste (zum Beispiel der Kauf von Kinokarten) diese Daten ebenfalls verkaufen.

Daher denke ich, dass in den meisten Fällen eine Telefonnummer als personenbezogene Daten betrachtet werden sollte. Also

Ja

Ein Basisvergleich, den ich verwendet habe, ist mit dem Namen eines Kunden. Erlaubt mir eine Information, eine Person besser oder schlechter als einen Namen auszuwählen? Möglicherweise haben Sie Hunderte von John Smiths, aber Sie haben immer nur eine Person pro Telefonnummer (oder höchstens eine Familie), und daher ist es eine identifizierbarere Information als der Name der Person .