I numeri di telefono sono dati personali (PII)? Sì.
Sì. In virtù di praticamente ogni importante framework sulla privacy — GDPR, CCPA/CPRA, HIPAA, LGPD, PIPEDA, Australia Privacy Act — un numero di telefono è classificato come Personally Identifiable Information (PII) (o Personal Data/Personal Information).
Perché una stringa di 10 cifre è PII
- Collegamento diretto: Un numero di telefono risolve univocamente a un record abbonato (nome, indirizzo, informazioni di fatturazione) detenuto da un operatore.
- Chiave di riferimento incrociato: È la chiave primaria che unisce set di dati — database di marketing, profili di data-broker, social graph (sincronizzazione Facebook/LinkedIn), log 2FA, punteggi antifrode.
- Capacità di contatto: Il possesso consente intrusione diretta (chiamate, SMS, WhatsApp, Signal, RCS) — un danno alla privacy in sé.
- Persistenza: I numeri sono portabili (LNP) e conservati per anni. A differenza dei cookie, sopravvivono a cambi di dispositivo/browser.
Trattamento normativo
| Regolamento | Classificazione | Obbligo chiave |
|---|---|---|
| GDPR (UE) | Dati Personali (Art. 4(1)) | Base giuridica richiesta per il trattamento; DPIA per su larga scala; diritto alla cancellazione. |
| CCPA/CPRA (CA) | Informazioni Personali (§1798.140) | Opt-out da vendita/condivisione; PI sensibile se combinato con geolocalizzazione precisa. |
| HIPAA (USA Sanità) | Identificatore PHI (18 identificatori) | Telefono + dati sanitari = PHI. Richiede BAA, cifratura, minimo necessario. |
| TCPA (USA Telecom) | Informazioni di contatto protette | Consenso richiesto per autodialer/robo-text; Registro Non Chiamare. |
| LGPD (Brasile) | Dado Pessoal | Consenso o interesse legittimo; ANPD applicazione. |
Implicazioni pratiche
- Sviluppatori: Hash (SHA-256 + sale) o tokenizza i numeri di telefono in log/analitica. Mai memorizzare grezzi nel codice lato client.
- Marketing: Tratta come sensibile. Onora gli opt-out. Pulisci contro liste DNC ogni 30 giorni.
- Utenti: Usa Apple Hide My Email / Firefox Relay / SimpleLogin per le iscrizioni. Considera un numero VoIP (Google Voice, MySudo, Hushed) come livello usa e getta.
- Imprese: Includi i numeri di telefono in Data Map, Registri delle Attività di Trattamento (RoPA) e trigger di notifica violazione dati.
Caso limite: "Numeri di telefono aziendali"
Una linea aziendale principale (+1-800-555-0199) è generalmente non PII — identifica un'entità, non una persona fisica. Ma un interno diretto o un cellulare assegnato a un dipendente è PII.
In sintesi: Se può raggiungere un essere umano, è PII. Gestisci di conseguenza.