Як правило, термін “персональні дані” закріплюється на рівні національного законодавства країни. Наприклад, у Європейському союзі обробку персональних даних регулює General Data Protection Regulation (GDPR), у Канаді – The Privacy Act і Personal Information Protection and Electronic Documents Act (PIPEDA), у США (в Каліфорнії) – California Consumer Privacy Act (CCPA).

Це законодавство регулює те, як бізнес має поводитися під час збирання та обробки даних клієнтів і співробітників.

Існують невеликі відмінності у визначенні поняття персональних даних, але для спрощення розуміння, візьмемо визначення згідно з GDPR.

• Персональні дані – це будь-яка інформація, що стосується ідентифікованої або такої, що піддається ідентифікації фізичної особи (“суб’єкта даних”, тобто людини).
• Ідентифікована фізична особа – це людина, ідентифікатор (ім’я, номер телефону, особистий номер, логін тощо) якої наявний серед даних.
• Фізична особа, що піддається ідентифікації– це особа, яку цілком можна ідентифікувати, тобто відрізнити від інших людей.

Персональними даними є не тільки сам ідентифікатор, а й інформація, що стосується людини. Говорячи простими словами, ім’я, номер паспорта, ID посвідчення, логін, нікнейм, адреса електронної пошти, номер телефону, IP-адреса, дані банківських карток – завжди персональні дані, бо є ідентифікаторами. Номер автомобіля, почерк, відеозапис чи фотографія – імовірно персональні дані, бо легко дають змогу ідентифікувати. А адреса, сімейний статус, стать, гендер, відомості з електронних гаманців, інформація про стан здоров’я, відомості про переглянуті сторінки, пошукові запити, пости в соціальних мережах – персональні дані, коли відомо, кому саме вони належать.