ข้อมูลส่วนบุคคลหรือที่รู้จักกันในชื่อข้อมูลส่วนตัวหรือข้อมูลที่สามารถระบุตัวตนได้ ( PII ) ^{[ 1 ] [ 2 ] [ 3 ]}คือข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลที่สามารถระบุตัวตนได้

คำย่อ PII ถูกใช้กันอย่างแพร่หลายในสหรัฐอเมริกาแต่คำย่อนี้มีรูปแบบทั่วไปสี่แบบโดยอิงจากคำว่าpersonalหรือpersonallyและidentifiableหรือidentifyingไม่ใช่ทุกคำจะมีความหมายเหมือนกัน และเพื่อวัตถุประสงค์ทางกฎหมาย คำจำกัดความที่มีผลบังคับใช้จะแตกต่างกันไปขึ้นอยู่กับเขตอำนาจศาลและวัตถุประสงค์ที่ใช้คำนั้น^[ก]ภายใต้ ระบอบการคุ้มครองข้อมูล ของสหภาพยุโรปและสหราชอาณาจักรซึ่งส่วนใหญ่มุ่งเน้นไปที่ระเบียบการคุ้มครองข้อมูลทั่วไป (GDPR) ^{[ 4 ]}คำว่า "ข้อมูลส่วนบุคคล" มีความหมายกว้างกว่ามาก และกำหนดขอบเขตของระบอบการกำกับดูแล^{[ 5 ]}

เอกสารเผยแพร่พิเศษ ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ 800-122 ^{[ 6 ]}กำหนดข้อมูลส่วนบุคคลที่ระบุตัวตนได้ว่าเป็น "ข้อมูลใดๆ เกี่ยวกับบุคคลที่หน่วยงานเก็บรักษาไว้ ซึ่งรวมถึง (1) ข้อมูลใดๆ ที่สามารถใช้เพื่อแยกแยะหรือติดตามตัวตนของบุคคลได้ เช่น ชื่อ หมายเลขประกันสังคม วันและสถานที่เกิด ชื่อสกุลเดิมของมารดา หรือ บันทึก ไบโอเมตริกและ (2) ข้อมูลอื่นๆ ที่เชื่อมโยงหรือสามารถเชื่อมโยงกับบุคคลได้ เช่น ข้อมูลทางการแพทย์ การศึกษา การเงิน และการจ้างงาน" ตัวอย่างเช่นที่อยู่ IP ของผู้ใช้ ไม่ได้จัดเป็น PII ในตัวมันเอง แต่จัดเป็น PII ที่เชื่อมโยง^{[ 7 ]}

ข้อมูลส่วนบุคคลถูกนิยามภายใต้ GDPR ว่าเป็น "ข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้" ^{[ 8 ] [ 6 ]}ที่อยู่ IP ของผู้สมัครใช้บริการอินเทอร์เน็ตอาจถูกจัดเป็นข้อมูลส่วนบุคคล^{[ 9 ]}

แนวคิดเรื่องข้อมูลส่วนบุคคล (PII) แพร่หลายมากขึ้นเนื่องจากเทคโนโลยีสารสนเทศและอินเทอร์เน็ตทำให้การรวบรวมข้อมูลส่วนบุคคลทำได้ง่ายขึ้น ส่งผลให้เกิดตลาดที่มีกำไรในการรวบรวมและขายข้อมูลส่วนบุคคล ข้อมูลส่วนบุคคลยังสามารถถูกอาชญากรนำไปใช้ในการสะกดรอยตามหรือขโมยตัวตน ของบุคคล หรือเพื่อช่วยในการ ^{วางแผน}การกระทำผิดทางอาญา เพื่อตอบสนองต่อภัยคุกคามเหล่านี้นโยบายความเป็นส่วนตัว ของเว็บไซต์หลายแห่ง จึงกล่าวถึงการรวบรวมข้อมูลส่วนบุคคล โดยเฉพาะ [ ^{10 ]}และผู้ร่างกฎหมาย เช่นรัฐสภายุโรปได้ออกกฎหมายหลายฉบับ เช่น GDPR เพื่อจำกัดการเผยแพร่และการเข้าถึงข้อมูลส่วนบุคคล^{[ 11 ]}

ความสับสนอย่างมากเกิดขึ้นเกี่ยวกับความหมายของ PII ว่าหมายถึงข้อมูลที่สามารถระบุตัวตนได้ (กล่าวคือ สามารถเชื่อมโยงกับบุคคลได้) หรือข้อมูลที่ระบุตัวตนได้ (กล่าวคือ เชื่อมโยงกับบุคคลอย่างเฉพาะเจาะจง จนทำให้ PII นั้นระบุตัวตนของบุคคลนั้นได้) ในระบบกฎหมายคุ้มครองข้อมูลส่วนบุคคลที่มีข้อกำหนดชัดเจน เช่น กฎหมายว่า ด้วยการคุ้มครองข้อมูลส่วนบุคคลด้านสุขภาพ ของรัฐบาล กลางสหรัฐฯ (HIPAA) รายการ PII ได้รับการกำหนดไว้อย่างชัดเจนแล้ว ในระบบกฎหมายคุ้มครองข้อมูลที่กว้างกว่า เช่น GDPR ข้อมูลส่วนบุคคลได้รับการกำหนดในลักษณะที่ไม่กำหนดข้อกำหนดตายตัวโดยอิงตามหลักการ ข้อมูลที่อาจไม่นับเป็น PII ภายใต้ HIPAA อาจเป็นข้อมูลส่วนบุคคลสำหรับวัตถุประสงค์ของ GDPR ด้วยเหตุนี้ "PII" จึงมักถูกยกเลิกในระดับสากล

รัฐบาลสหรัฐฯใช้คำว่า "ข้อมูลส่วนบุคคลที่ระบุตัวตนได้" ในปี 2550 ในบันทึกจากสำนักงานบริหารของประธานาธิบดีสำนักงานบริหารงบประมาณ (OMB) ^{[ 12 ]}และการใช้งานดังกล่าวปรากฏอยู่ในมาตรฐานของสหรัฐฯ เช่น คู่มือ NIST ว่าด้วยการปกป้องความลับของข้อมูลส่วนบุคคลที่ระบุตัวตนได้ (SP 800-122) ^{[ 13 ]}บันทึกของ OMB กำหนด PII ดังนี้:

ข้อมูลที่สามารถใช้ระบุหรือติดตามตัวตนของบุคคลได้ เช่น ชื่อ หมายเลขประกันสังคม ข้อมูลชีวมาตร ฯลฯ ไม่ว่าจะโดยลำพังหรือเมื่อรวมกับข้อมูลส่วนบุคคลหรือข้อมูลที่เชื่อมโยงกันอื่นๆ เช่น วันเดือนปีเกิดและสถานที่เกิด รวมถึงชื่อสกุลเดิมของมารดา ในมาตรฐานอย่างเป็นทางการ เช่น คู่มือ NIST แสดงให้เห็นถึงแนวทางเชิงรุกในการสร้างความมั่นใจว่ามีการคุ้มครองความเป็นส่วนตัวอย่างเข้มแข็งท่ามกลางสภาพแวดล้อมด้านความปลอดภัยของข้อมูลที่เปลี่ยนแปลงอยู่ตลอดเวลา การบูรณาการนี้เข้ากับมาตรฐานที่กำหนดไว้แล้วเป็นกรอบพื้นฐานสำหรับองค์กรในการนำไปใช้และดำเนินการตามมาตรการที่มีประสิทธิภาพในการปกป้องข้อมูลส่วนบุคคลของบุคคล

คำศัพท์ที่คล้ายกับ PII คือ "ข้อมูลส่วนบุคคล" ได้รับการกำหนดไว้ในคำสั่ง EU 95/46/EC สำหรับวัตถุประสงค์ของคำสั่งดังกล่าว: ^{[ 14 ]}

มาตรา 2ก: 'ข้อมูลส่วนบุคคล' หมายถึง ข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ ('เจ้าของข้อมูล'); บุคคลที่สามารถระบุตัวตนได้ คือ บุคคลที่สามารถระบุตัวตนได้โดยตรงหรือโดยอ้อม โดยเฉพาะอย่างยิ่งโดยการอ้างอิงถึงหมายเลขประจำตัวหรือปัจจัยอย่างน้อยหนึ่งอย่างที่เฉพาะเจาะจงกับอัตลักษณ์ทางกายภาพ สรีรวิทยา จิตใจ เศรษฐกิจ วัฒนธรรม หรือสังคมของบุคคลนั้น

ใน กฎระเบียบ ของสหภาพยุโรปมีแนวคิดที่เฉพาะเจาะจงมากขึ้นว่า เจ้าของข้อมูลอาจถูกระบุตัวตนได้ผ่านการประมวลผลเพิ่มเติมของคุณลักษณะอื่นๆ ซึ่งก็คือ ตัวระบุเสมือนหรือตัวระบุเทียม ใน GDPR ข้อมูลส่วนบุคคลถูกนิยามไว้ดังนี้:

ข้อมูลใดๆ ที่เกี่ยวข้องกับบุคคลธรรมดาที่ระบุตัวตนได้หรือสามารถระบุตัวตนได้ ('เจ้าของข้อมูล'); บุคคลธรรมดาที่สามารถระบุตัวตนได้คือบุคคลที่สามารถระบุตัวตนได้โดยตรงหรือโดยอ้อม โดยเฉพาะอย่างยิ่งโดยการอ้างอิงถึงตัวระบุ เช่น ชื่อ หมายเลขประจำตัว ข้อมูลตำแหน่งที่ตั้ง ตัวระบุออนไลน์ หรือปัจจัยหนึ่งหรือมากกว่านั้นที่เฉพาะเจาะจงกับอัตลักษณ์ทางกายภาพ สรีรวิทยา พันธุกรรม จิตใจ เศรษฐกิจ วัฒนธรรม หรือสังคมของบุคคลธรรมดานั้น^{[ 15 ]}

ตัวอย่างง่ายๆ ของความแตกต่างนี้คือ ชื่อสี "แดง" เพียงอย่างเดียวไม่ใช่ข้อมูลส่วนบุคคล แต่ค่าเดียวกันนั้นที่จัดเก็บไว้เป็นส่วนหนึ่งของประวัติบุคคลในฐานะ "สีโปรด" ถือเป็นข้อมูลส่วนบุคคล เพราะความเชื่อมโยงกับบุคคลนั้นต่างหากที่ทำให้มันเป็นข้อมูลส่วนบุคคล ไม่ใช่ค่าของสีนั้นเอง (เช่นเดียวกับข้อมูลส่วนบุคคลที่ระบุตัวตนได้)

คำศัพท์อื่นที่คล้ายกับ PII คือ "ข้อมูลส่วนบุคคล" ได้รับการกำหนดไว้ในมาตราหนึ่งของกฎหมายการแจ้งเตือนการละเมิดข้อมูลของแคลิฟอร์เนีย SB1386: ^{[ 16 ]}

(e) สำหรับวัตถุประสงค์ของมาตรานี้ “ข้อมูลส่วนบุคคล” หมายถึง ชื่อจริงหรืออักษรย่อชื่อและนามสกุลของบุคคลร่วมกับข้อมูลอย่างน้อยหนึ่งรายการต่อไปนี้ เมื่อชื่อหรือข้อมูลรายการใดรายการหนึ่งไม่ได้ถูกเข้ารหัส: (1) หมายเลขประกันสังคม (2) หมายเลขใบขับขี่หรือหมายเลขบัตรประจำตัวประชาชนแคลิฟอร์เนีย (3) หมายเลขบัญชี หมายเลขบัตรเครดิตหรือบัตรเดบิต ร่วมกับรหัสความปลอดภัย รหัสเข้าถึง หรือรหัสผ่านที่จำเป็นซึ่งจะอนุญาตให้เข้าถึงบัญชีการเงินของบุคคลนั้นได้ (f) สำหรับวัตถุประสงค์ของมาตรานี้ “ข้อมูลส่วนบุคคล” ไม่รวมถึงข้อมูลที่เปิดเผยต่อสาธารณะซึ่งรัฐบาลกลาง รัฐ หรือท้องถิ่นได้เปิดเผยต่อสาธารณะอย่างถูกต้องตามกฎหมาย

แนวคิดเรื่องการรวมข้อมูลที่ระบุไว้ในคำจำกัดความของ SB1386 เป็นกุญแจสำคัญในการแยกแยะ PII ตามที่ OMB กำหนด ออกจาก "ข้อมูลส่วนบุคคล" ตามที่ SB1386 กำหนด ข้อมูล เช่น ชื่อ ที่ขาดบริบท ไม่สามารถกล่าวได้ว่าเป็น "ข้อมูลส่วนบุคคล" ตาม SB1386 แต่ต้องกล่าวว่าเป็น PII ตามที่ OMB กำหนด ตัวอย่างเช่น ชื่อ " John Smith " ไม่มีความหมายในบริบทปัจจุบัน ดังนั้นจึงไม่ใช่ "ข้อมูลส่วนบุคคล" ตาม SB1386 แต่เป็น PII หมายเลขประกันสังคม (SSN) ที่ไม่มีชื่อหรือข้อมูลระบุตัวตนหรือบริบทอื่น ๆ ที่เกี่ยวข้อง ไม่ใช่ "ข้อมูลส่วนบุคคล" ตาม SB1386 แต่เป็น PII ตัวอย่างเช่น SSN 078-05-1120 เพียงอย่างเดียวเป็น PII แต่ไม่ใช่ "ข้อมูลส่วนบุคคล" ตาม SB1386 อย่างไรก็ตาม การรวมกันของชื่อที่ถูกต้องกับ SSN ที่ถูกต้องคือ "ข้อมูลส่วนบุคคล" ตาม SB1386 ^{[ 16 ]}

การรวมชื่อเข้ากับบริบทอาจถือเป็นข้อมูลส่วนบุคคลได้เช่นกัน ตัวอย่างเช่น หากชื่อของบุคคลนั้นอยู่ในรายชื่อผู้ป่วยของคลินิกเอชไอวี อย่างไรก็ตาม ไม่จำเป็นว่าชื่อจะต้องรวมกับบริบทจึงจะถือว่าเป็นข้อมูลส่วนบุคคล เหตุผลของการแยกแยะนี้คือ ข้อมูลบางส่วน เช่น ชื่อ แม้ว่าอาจไม่เพียงพอที่จะระบุตัวตนได้ด้วยตัวมันเอง แต่ในภายหลังอาจถูกนำไปรวมกับข้อมูลอื่น ๆ เพื่อระบุตัวบุคคลและทำให้บุคคลนั้นตกอยู่ในอันตรายได้

ขอบเขตของคำว่า "ข้อมูลส่วนบุคคลที่ละเอียดอ่อน" แตกต่างกันไปตามเขตอำนาจศาล ในสหราชอาณาจักรข้อมูลสุขภาพ ส่วนบุคคล ถือเป็น "ข้อมูลที่ละเอียดอ่อน" และจำเป็นต้องมีมาตรการคุ้มครองข้อมูลเพิ่มเติม^{[ 17 ]}ตามที่ OMB ระบุ ในสหรัฐอเมริกา ข้อมูลส่วนบุคคลที่ระบุตัวตนได้ (PII) ไม่ได้ "ละเอียดอ่อน" เสมอไป และอาจมีการพิจารณาบริบทในการตัดสินใจว่าข้อมูลส่วนบุคคลที่ระบุตัวตนได้บางอย่างนั้นละเอียดอ่อนหรือไม่^{[ 12 ]}

เมื่อบุคคลต้องการปกปิดตัวตน คำอธิบายเกี่ยวกับบุคคลนั้นมักจะใช้ข้อมูลข้างต้นหลายอย่าง เช่น "ชายผิวขาวอายุ 34 ปีที่ทำงานที่ Target" ข้อมูลยังคงเป็นส่วนตัวได้ในแง่ที่ว่าบุคคลนั้นอาจไม่ต้องการให้ข้อมูลนั้นเป็นที่รู้จักในที่สาธารณะ โดยไม่ต้องระบุตัวตน นอกจากนี้ บางครั้งข้อมูลหลายชิ้น ซึ่งแต่ละชิ้นไม่เพียงพอที่จะระบุตัวตนของบุคคลใดบุคคลหนึ่งได้อย่างเฉพาะเจาะจง แต่เมื่อรวมกันแล้วอาจระบุตัวตนของบุคคลนั้นได้อย่างเฉพาะเจาะจง นี่เป็นเหตุผลหนึ่งที่มักมีการนำเสนอหลักฐานหลายชิ้นในการพิจารณาคดีอาญา มีการแสดงให้เห็นว่าในปี 1990 ประชากร 87% ของสหรัฐอเมริกาสามารถระบุตัวตนได้อย่างเฉพาะเจาะจงด้วยเพศรหัสไปรษณีย์และวันเดือนปีเกิด^{[ 18 ]}

ใน ภาษา ของแฮกเกอร์และอินเทอร์เน็ตการปฏิบัติในการค้นหาและเผยแพร่ข้อมูลดังกล่าวเรียกว่า " doxing " ^{[ 19 ] [ 20 ]}บางครั้งใช้เพื่อยับยั้งการร่วมมือกับหน่วยงานบังคับใช้กฎหมาย^{[ 21 ]}ในบางครั้ง การ doxing อาจนำไปสู่การจับกุม โดยเฉพาะอย่างยิ่งหากหน่วยงานบังคับใช้กฎหมายสงสัยว่าบุคคลที่ถูก "doxed" อาจตกใจและหายตัวไป^{[ 22 ]}

ในงานนิติวิทยาศาสตร์โดยเฉพาะอย่างยิ่งการระบุตัวและดำเนินคดีกับอาชญากร ข้อมูลส่วนบุคคลมีความสำคัญอย่างยิ่งในการสร้างหลักฐานในกระบวนการทางอาญาอาชญากรอาจพยายามอย่างมากที่จะหลีกเลี่ยงการทิ้งข้อมูลส่วนบุคคลใดๆ ไว้เช่น โดย:

• การสวมหน้ากาก แว่นกันแดด หรือเสื้อผ้าเพื่อปิดบังหรือซ่อนลักษณะเด่น เช่นสีตาสีผิว และสีผม ลักษณะใบหน้า และเครื่องหมายส่วนบุคคล เช่น รอยสัก ปาน ไฝ และรอยแผลเป็น
• การสวมถุงมือเพื่อปกปิดลายนิ้วมือซึ่งถือเป็นข้อมูลส่วนบุคคล อย่างไรก็ตาม ถุงมือยังสามารถทิ้งรอยพิมพ์ที่เฉพาะเจาะจงได้เช่นเดียวกับลายนิ้วมือของมนุษย์ หลังจากเก็บรอยพิมพ์ถุงมือแล้ว เจ้าหน้าที่บังคับใช้กฎหมายสามารถนำไปเปรียบเทียบกับถุงมือที่เก็บมาเป็นหลักฐานได้^{[ 40 ]}ในหลายเขตอำนาจศาลการสวมถุงมือขณะกระทำความผิดสามารถถูกดำเนินคดีในฐานะความผิดที่ยังไม่สมบูรณ์ได้^{[ 41 ]}
• หลีกเลี่ยงการเขียนอะไรก็ตามด้วย ลายมือของตนเอง^{[ 42 ]}
• การปกปิดตัวตนบนอินเทอร์เน็ตด้วยวิธีการต่างๆ เช่น การใช้พร็อกซีเซิร์ฟเวอร์เพื่อให้ดูเหมือนว่ากำลังเชื่อมต่อจากที่อยู่ IPที่ไม่เกี่ยวข้องกับตนเอง

ข้อมูลส่วนบุคคลเป็นองค์ประกอบสำคัญของอัตลักษณ์ออนไลน์และสามารถถูกบุคคลอื่นนำไปใช้ในทางที่ผิดได้ ตัวอย่างเช่น ข้อมูลสามารถถูกแก้ไขและนำไปใช้สร้างเอกสารปลอม แฮ็กกล่องจดหมายและโทรศัพท์ หรือก่อกวนผู้คน ดังเช่นที่เกิดขึ้นในปี 2019 กับลูกค้าของ ผู้ให้บริการโทรศัพท์มือถือ EEในสหราชอาณาจักร^{[ 43 ]}

อีกประเภทหนึ่งเรียกว่าการขโมยข้อมูลทางการเงิน^{[ 44 ]}ซึ่งโดยทั่วไปเกี่ยวข้องกับการขโมยข้อมูลบัญชีธนาคารและบัตรเครดิต แล้วนำไปใช้หรือขาย^{[ 45 ]}

ข้อมูลส่วนบุคคลยังสามารถใช้สร้างตัวตนออนไลน์ปลอม รวมถึงบัญชีและโปรไฟล์ปลอม (ซึ่งอาจเรียกว่าการปลอมแปลงตัวตน^{[ 46 ]}หรือการฉ้อโกงตัวตน ) เพื่อให้คนดังรวบรวมข้อมูลจากผู้ใช้รายอื่นได้ง่ายขึ้น^{[ 47 ]}แม้แต่บุคคลทั่วไปก็อาจกังวล โดยเฉพาะอย่างยิ่งเพื่อวัตถุประสงค์ส่วนตัว (ซึ่งเป็นที่รู้จักกันอย่างแพร่หลายในชื่อsockpuppetry )

ข้อมูลที่สำคัญที่สุด เช่น รหัสผ่าน วันเกิด เอกสารประจำตัว หรือหมายเลขประกันสังคมสามารถนำมาใช้ในการเข้าสู่ระบบเว็บไซต์ต่างๆ (เช่น การใช้ รหัสผ่านซ้ำและการยืนยันบัญชี ) เพื่อรวบรวมข้อมูลเพิ่มเติมและเข้าถึงเนื้อหาได้มากขึ้น

นอกจากนี้ หน่วยงานหลายแห่งยังขอให้รักษาความลับในเรื่องที่เกี่ยวข้องกับงานของตน เพื่อความปลอดภัยของพนักงาน ด้วยเหตุนี้กระทรวงกลาโหมสหรัฐฯ (DoD) จึงมีนโยบายที่เข้มงวดในการควบคุมการเปิดเผยข้อมูลส่วนบุคคลของบุคลากร DoD ^{[ 48 ]}หน่วยงานข่าวกรองหลายแห่งมีนโยบายที่คล้ายคลึงกัน บางครั้งถึงขั้นที่พนักงานไม่เปิดเผยให้เพื่อนทราบว่าตนทำงานให้กับหน่วยงานนั้น

ข้อกังวลเรื่องการปกป้องตัวตนที่คล้ายกันนี้มีอยู่สำหรับโครงการคุ้มครองพยานที่พักพิงสำหรับผู้หญิงและเหยื่อของความรุนแรงในครอบครัวและภัยคุกคามอื่นๆ^{[ 49 ]}

ในช่วงครึ่งหลังของศตวรรษที่ 20 การปฏิวัติทางดิจิทัลได้นำมาซึ่ง "เศรษฐศาสตร์ความเป็นส่วนตัว" หรือการซื้อขายข้อมูลส่วนบุคคล มูลค่าของข้อมูลสามารถเปลี่ยนแปลงได้เมื่อเวลาผ่านไปและในบริบทที่แตกต่างกัน การเปิดเผยข้อมูลสามารถย้อนกลับความไม่สมมาตรของข้อมูลได้ แม้ว่าต้นทุนของการทำเช่นนั้นอาจไม่ชัดเจนก็ตาม ในส่วนที่เกี่ยวข้องกับบริษัท ผู้บริโภคมักจะมี "ข้อมูลที่ไม่สมบูรณ์เกี่ยวกับเวลาที่ข้อมูลของพวกเขาถูกรวบรวม ด้วยวัตถุประสงค์ใด และด้วยผลที่ตามมา" ^{[ 53 ]}

ในปี 2015 Alessandro Acquisti, Curtis Taylor และ Liad Wagman ได้ระบุ "คลื่น" สามลูกในการซื้อขายข้อมูลส่วนบุคคล:

1. ในช่วงทศวรรษ 1970 โรงเรียน Chicago Boysอ้างว่าการคุ้มครองความเป็นส่วนตัวอาจส่งผลเสียต่อตลาด เนื่องจากอาจนำไปสู่การตัดสินใจที่ไม่ถูกต้องและไม่เหมาะสม นักวิจัยคนอื่นๆ เช่น Andrew F. Daughety และJennifer F. Reinganumเสนอว่าตรงกันข้าม การขาดความเป็นส่วนตัวก็อาจนำไปสู่ผลเช่นเดียวกัน^{[ 54 ]}
2. ในช่วงกลางทศวรรษ 1990 Varian ได้นำแนวทางของ Chicago Boys กลับมาใช้ใหม่และเพิ่มปัจจัยภายนอกใหม่ โดยระบุว่าผู้บริโภคจะไม่มีข้อมูลที่สมบูรณ์เสมอไปเกี่ยวกับวิธีการใช้ข้อมูลของตนเอง^{[ 55 ]} Kenneth C. Laudonได้พัฒนารูปแบบที่บุคคลเป็นเจ้าของข้อมูลของตนเองและมีความสามารถในการขายข้อมูลนั้นเป็นผลิตภัณฑ์ เขาเชื่อว่าระบบดังกล่าวไม่ควรถูกควบคุม เพื่อสร้างตลาดเสรี^{[ 56 ]}
3. ในช่วงทศวรรษ 2000 นักวิจัยได้ทำงานเกี่ยวกับการเลือกปฏิบัติทางราคา (Taylor, 2004 ^{[ 57 ]} ) ตลาดสองด้าน (Cornière, 2011 ^{[ 58 ]} ) และกลยุทธ์การตลาด (Anderson and de Palma, 2012 ^{[ 59 ]} ) ทฤษฎีเหล่านี้มีความซับซ้อนมากขึ้น และแสดงให้เห็นว่าผลกระทบของความเป็นส่วนตัวต่อเศรษฐกิจนั้นขึ้นอยู่กับบริบทเป็นอย่างมาก

• หกสิ่งที่คุณควรรู้เกี่ยวกับกรอบกฎหมายคุ้มครองความเป็นส่วนตัวฉบับใหม่ของสหภาพยุโรปการวิเคราะห์ทางกฎหมายเกี่ยวกับกรอบกฎระเบียบใหม่ของยุโรปว่าด้วยความเป็นส่วนตัวของข้อมูล
• การจัดการข้อมูลส่วนบุคคลและข้อมูลทางวิชาชีพ
• อำนาจเป็นของประชาชน! คืนสิทธิ์ข้อมูลส่วนบุคคลให้แก่พลเมือง ( เก็บถาวรเมื่อวันที่ 10 เมษายน 2562 ที่Wayback Machine – J Cromack)
• รายงานฉบับใหม่จาก New Lens เกี่ยวกับการพิจารณาข้อมูลส่วนบุคคลใหม่ – สภาเศรษฐกิจโลก
• เหตุใดการยินยอมจึงแตกต่างจากการตั้งค่าการตลาด – เค. ดีวาร์เก็บถาวรเมื่อวันที่ 27 ธันวาคม 2018 ที่Wayback Machine