Números Telefone São PII (Informação Pessoal Identificável)? Sim.

Sim. Sob virtualmente todo framework privacidade major — GDPR, CCPA/CPRA, HIPAA, LGPD, PIPEDA, Australia Privacy Act — número telefone é classificado como Personally Identifiable Information (PII) (ou Personal Data/Personal Information).

Por Que String 10 Dígitos É PII

1. Linkagem Direta: Número telefone resolve unicamente para registro assinante (nome, endereço, info billing) mantido por operadora.
2. Chave Cross-Reference: É primary key juntando datasets — bases marketing, perfis data-broker, grafos sociais (Facebook/LinkedIn sync), logs 2FA, fraud scores.
3. Capacidade Contato: Posse permite intrusão direta (chamadas, SMS, WhatsApp, Signal, RCS) — dano privacidade em si.
4. Persistência: Números portáveis (LNP) e retidos anos. Diferente cookies, sobrevivem trocas device/browser.

Tratamento Regulatório

Regulação	Classificação	Obrigação Chave
GDPR (EU)	Personal Data (Art. 4(1))	Base legal required processing; DPIA large-scale; right to erasure.
CCPA/CPRA (CA)	Personal Information (§1798.140)	Opt-out sale/sharing; sensitive PI se combinado geolocation precisa.
HIPAA (US Health)	PHI Identifier (18 identificadores)	Telefone + health data = PHI. Requer BAA, encryption, minimum necessary.
TCPA (US Telecom)	Protected Contact Info	Consent autodialer/robo-text; Do-Not-Call registry.
LGPD (Brasil)	Dado Pessoal	Consentimento ou interesse legítimo; fiscalização ANPD.

Implicações Práticas

• Desenvolvedores: Hash (SHA-256 + salt) ou tokenize números telefone em logs/analytics. Nunca armazene raw client-side.
• Marketers: Trate como sensível. Honre opt-outs. Limpe contra listas DNC a cada 30 dias.
• Usuários: Use Apple Hide My Email / Firefox Relay / SimpleLogin para signups. Considere número VoIP (Google Voice, MySudo, Hushed) como camada descartável.
• Empresas: Inclua números telefone em Data Maps, Records of Processing Activities (RoPA), triggers notificação breach.

Edge Case: "Números Telefone Comerciais"

Linha corporativa principal (+1-800-555-0199) geralmente não é PII — identifica entidade, não pessoa natural. Mas ramal direto ou móvel atribuído a empregado é PII.

Linha final: Se alcança humano, é PII. Trate accordingly.

• Phones Antigos vs Novos: 8 Categorias Onde Abismo É Massivo
• Phones Boost Mobile Funcionam na AT&T? Não — Aqui Está Por Quê