Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
Обезличивание персональных данных по 152-ФЗ: правовые основания, методы и требования для оператора
13.01.2023
08/08/26
Б-152
Обезличивание персональных данных — это совокупность действий, в результате которых становится невозможным без использования дополнительной информации определить принадлежность данных конкретному субъекту (п. 9 ст. 3 Закона № 152-ФЗ). Обезличивание является разновидностью обработки персональных данных и требует правового основания, организационного оформления и технической корректности.
Надлежащим образом обезличенные данные выходят из-под действия большинства норм о персональных данных, но только при условии, что обезличивание проведено корректно и дополнительная информация для идентификации субъекта не сохранилась в доступном виде.
Содержание
Содержание
Место обезличивания в системе обработки персональных данных
Обезличивание прямо включено в понятие «обработка персональных данных» (п. 3 ст. 3 Закона № 152-ФЗ). Это означает, что все общие требования к обработке — наличие правового основания, соблюдение принципов, обеспечение безопасности — распространяются на обезличивание в полной мере.
Результат обезличивания — обезличенные данные — к персональным данным не относится при условии, что обезличивание проведено надлежащим образом: дополнительная информация, позволяющая идентифицировать субъекта, не сохранилась в доступном виде или физически уничтожена. Именно поэтому корректность самой процедуры имеет принципиальное значение: формально проведенное, но технически несостоятельное обезличивание не освобождает от обязанностей оператора.
Важно разграничивать обезличивание (необратимое) и псевдонимизацию (замена идентификаторов условными обозначениями при сохранении ключа сопоставления). Псевдонимизированные данные по-прежнему являются персональными, поскольку субъект может быть идентифицирован с использованием ключа. Часть методов, установленных Приказом Роскомнадзора № 996, технически являются псевдонимизацией — именно поэтому регулятор уделяет особое внимание раздельному хранению данных и ключей.
Результат обезличивания — обезличенные данные — к персональным данным не относится при условии, что обезличивание проведено надлежащим образом: дополнительная информация, позволяющая идентифицировать субъекта, не сохранилась в доступном виде или физически уничтожена. Именно поэтому корректность самой процедуры имеет принципиальное значение: формально проведенное, но технически несостоятельное обезличивание не освобождает от обязанностей оператора.
Важно разграничивать обезличивание (необратимое) и псевдонимизацию (замена идентификаторов условными обозначениями при сохранении ключа сопоставления). Псевдонимизированные данные по-прежнему являются персональными, поскольку субъект может быть идентифицирован с использованием ключа. Часть методов, установленных Приказом Роскомнадзора № 996, технически являются псевдонимизацией — именно поэтому регулятор уделяет особое внимание раздельному хранению данных и ключей.
Правовые основания: когда нужно согласие, а когда нет
Необходимость получения согласия субъекта на обезличивание зависит от правового основания, на котором осуществляется обработка персональных данных.
Если оператор обрабатывает данные для статистических или иных исследовательских целей — согласие на само обезличивание не требуется. Это прямо следует из конструкции части 9 статьи 6 Закона № 152-ФЗ.
Если обработка персональных данных в целом осуществляется на основании согласия — необходимо убедиться, что заявленные цели охватывают обезличивание, либо получить дополнительное согласие.
Дополнительное ограничение, которое нередко игнорируется: данные, обезличенные без согласия субъекта для статистических или иных исследовательских целей, не могут использоваться для продвижения товаров, работ и услуг на рынке, а также для политической агитации (статья 15 Закона № 152-ФЗ). Нарушение этого запрета влечет самостоятельные правовые риски, не связанные с вопросами обезличивания как такового.
Цели обезличивания целесообразно закреплять в локальном нормативном акте по вопросам обработки персональных данных с указанием для каждой цели: категорий субъектов, чьи данные подлежат обезличиванию; категорий обезличиваемых данных; иных необходимых сведений.
Если оператор обрабатывает данные для статистических или иных исследовательских целей — согласие на само обезличивание не требуется. Это прямо следует из конструкции части 9 статьи 6 Закона № 152-ФЗ.
Если обработка персональных данных в целом осуществляется на основании согласия — необходимо убедиться, что заявленные цели охватывают обезличивание, либо получить дополнительное согласие.
Дополнительное ограничение, которое нередко игнорируется: данные, обезличенные без согласия субъекта для статистических или иных исследовательских целей, не могут использоваться для продвижения товаров, работ и услуг на рынке, а также для политической агитации (статья 15 Закона № 152-ФЗ). Нарушение этого запрета влечет самостоятельные правовые риски, не связанные с вопросами обезличивания как такового.
Цели обезличивания целесообразно закреплять в локальном нормативном акте по вопросам обработки персональных данных с указанием для каждой цели: категорий субъектов, чьи данные подлежат обезличиванию; категорий обезличиваемых данных; иных необходимых сведений.
Методы обезличивания: что признает регулятор
Приказ Роскомнадзора № 996 от 5 сентября 2013 года устанавливает перечень методов обезличивания, которые регулятор признает допустимыми. Выбор конкретного метода должен соответствовать цели обезличивания и категориям обрабатываемых данных; оператор обязан до начала обезличивания оценить достаточность выбранного метода.
Введение идентификаторов
Замена прямых идентификаторов (ФИО, номер телефона, СНИЛС, адрес электронной почты) условными обозначениями или кодами. При этом обязательно создается ключ сопоставления, который хранится отдельно от обезличенных данных и не передается третьим лицам. Технически это псевдонимизация — данные остаются восстановимыми при наличии ключа. Именно поэтому ключ должен быть надежно защищен.
Изменение состава или семантики
Удаление, изменение или искажение отдельных атрибутов. Включает несколько вариантов: удаление атрибутов, добавление «шума» (сведений, препятствующих идентификации), замену конкретных значений обобщенными (например, «32 года» → «от 30 до 35 лет»), замену случайными значениями.
Перемешивание
Перестановка значений или групп значений атрибутов между записями массива таким образом, что связь между конкретным субъектом и конкретными значениями атрибутов разрывается.
Декомпозиция
Разделение массива данных на несколько частей с их раздельным хранением, при котором ни одна часть в отдельности не позволяет идентифицировать субъекта.
Преобразование
Вспомогательный метод, применяемый совместно с другими; обобщение или агрегация атрибутов по заданным правилам (например, переход от индивидуальных данных к групповым показателям).
Выбор метода или сочетания методов определяется с учетом конкретной ситуации: чем более чувствительны данные и чем выше угроза реидентификации, тем более надежные методы необходимы.
Выбор метода или сочетания методов определяется с учетом конкретной ситуации: чем более чувствительны данные и чем выше угроза реидентификации, тем более надежные методы необходимы.
Организационные требования по Приказу № 140
Приказ Роскомнадзора № 140 от 28 января 2022 года устанавливает дополнительные организационные требования к обезличиванию.
Оператор обязан принять локальные нормативные акты, определяющие: порядок обработки исходных данных до обезличивания; порядок проведения самой процедуры; оценку достаточности выбранных методов; порядок обработки обезличенных данных после процедуры.
Доступ к этим актам, а также к информации о методах, информационных системах, программном обеспечении и ключах сопоставления должен быть ограничен. Третьи лица не должны получать сведения о процедуре обезличивания — это условие обеспечивает практическую необратимость результата.
Оператор обязан вести учет действий по обезличиванию и операций с обезличенными данными в форме, позволяющей подтвердить совершенные действия. Фактически речь идет о журнале операций.
Оператор обязан принять локальные нормативные акты, определяющие: порядок обработки исходных данных до обезличивания; порядок проведения самой процедуры; оценку достаточности выбранных методов; порядок обработки обезличенных данных после процедуры.
Доступ к этим актам, а также к информации о методах, информационных системах, программном обеспечении и ключах сопоставления должен быть ограничен. Третьи лица не должны получать сведения о процедуре обезличивания — это условие обеспечивает практическую необратимость результата.
Оператор обязан вести учет действий по обезличиванию и операций с обезличенными данными в форме, позволяющей подтвердить совершенные действия. Фактически речь идет о журнале операций.
Принципиально важное правило: исходные данные и обезличенные данные не должны храниться совместно. Их раздельное хранение — обязательное условие. Нарушение этого требования само по себе означает, что обезличивание проведено ненадлежащим образом.
Обезличивание вместо уничтожения: распространенная ошибка с серьезными последствиями
На практике встречается ситуация, когда оператор по истечении срока хранения или при достижении цели обработки вместо уничтожения данных проводит их обезличивание, рассчитывая, что обезличенные данные не являются персональными и их хранение не нарушает закон.
Этот подход сопряжен с рисками, которые нередко недооцениваются.
Во-первых, если при обезличивании сохраняется ключ сопоставления или иная дополнительная информация, позволяющая идентифицировать субъекта, данные формально остаются персональными. В таком случае продолжение их хранения нарушает требования части 7 статьи 5 и части 2 статьи 9 Закона № 152-ФЗ, а оператор несет ответственность по части 1 статьи 24 того же закона.
Во-вторых, Роскомнадзор при проверках обращает внимание на случаи, когда обезличивание применяется вместо уничтожения. Отсутствие самостоятельной цели для хранения обезличенных данных (а не только избегание уничтожения исходных) ставит под сомнение правомерность всей схемы.
Таким образом, обезличивание — не универсальная альтернатива уничтожению. Его применение должно быть обосновано самостоятельной целью дальнейшей обработки обезличенных данных.
Этот подход сопряжен с рисками, которые нередко недооцениваются.
Во-первых, если при обезличивании сохраняется ключ сопоставления или иная дополнительная информация, позволяющая идентифицировать субъекта, данные формально остаются персональными. В таком случае продолжение их хранения нарушает требования части 7 статьи 5 и части 2 статьи 9 Закона № 152-ФЗ, а оператор несет ответственность по части 1 статьи 24 того же закона.
Во-вторых, Роскомнадзор при проверках обращает внимание на случаи, когда обезличивание применяется вместо уничтожения. Отсутствие самостоятельной цели для хранения обезличенных данных (а не только избегание уничтожения исходных) ставит под сомнение правомерность всей схемы.
Таким образом, обезличивание — не универсальная альтернатива уничтожению. Его применение должно быть обосновано самостоятельной целью дальнейшей обработки обезличенных данных.
Уведомление Роскомнадзора и актуализация реестра
Если оператор включен в реестр операторов персональных данных и только планирует начать обезличивание, он обязан уведомить Роскомнадзор об изменении целей обработки (ч. 7 ст. 22 Закона № 152-ФЗ).
Если обезличивание уже осуществляется, необходимо проверить, что соответствующие сведения отражены в реестре. Расхождение между фактической деятельностью и данными реестра является самостоятельным основанием для привлечения к ответственности.
Если обезличивание уже осуществляется, необходимо проверить, что соответствующие сведения отражены в реестре. Расхождение между фактической деятельностью и данными реестра является самостоятельным основанием для привлечения к ответственности.
Минимальный правовой контур для оператора: сводная таблица
Часто задаваемые вопросы
Является ли обезличивание обработкой персональных данных?
Да. Обезличивание прямо включено в понятие обработки персональных данных в п. 3 ст. 3 Закона № 152-ФЗ. Все общие требования к обработке к нему применяются.
Нужно ли согласие субъекта на обезличивание?
Зависит от правового основания обработки. Если данные обрабатываются в статистических или исследовательских целях — согласие на само обезличивание не требуется. Если на основании согласия — нужно убедиться, что цель обезличивания в нем охвачена.
Можно ли хранить ключ сопоставления вместе с обезличенными данными?
Нет. Требование о раздельном хранении установлено Приказом Роскомнадзора № 140. Совместное хранение означает, что обезличивание проведено ненадлежащим образом.
Можно ли использовать обезличивание вместо уничтожения данных по истечении срока хранения?
Это рискованная практика. Если ключ сопоставления сохраняется, данные формально остаются персональными. Применение обезличивания вместо уничтожения должно быть обосновано самостоятельной целью дальнейшей обработки.
Чем обезличивание отличается от псевдонимизации?
Обезличивание — необратимое. Псевдонимизация — замена идентификаторов условными обозначениями при сохранении ключа, позволяющего восстановить связь с субъектом. Псевдонимизированные данные остаются персональными.
Можно ли использовать обезличенные данные в рекламных целях?
Нет, если данные обезличены без согласия субъекта для статистических или исследовательских целей. Статья 15 Закона № 152-ФЗ прямо запрещает использование таких данных для продвижения товаров, работ и услуг.
Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года
Самые опасные ошибки здесь обычно выглядят вполне рационально: не удалить данные, а «просто обезличить и оставить».
В Telegram-канале мы регулярно разбираем именно такие решения, которые кажутся безопасными, но создают новый риск.
В Telegram-канале мы регулярно разбираем именно такие решения, которые кажутся безопасными, но создают новый риск.
Материалы по теме