Как и для чего нужно обезличивать персональные данные?

В эпоху больших данных и цифровой трансформации компании и госорганы работают с огромными массивами информации. Чтобы использовать эти данные для аналитики, развития технологий и госуправления, не нарушая права граждан, требуется их обезличивание. Разберемся, что это такое, в каких случаях необходимо и как правильно проводить эту процедуру.

Что такое обезличивание персональных данных?

Персональные данные (ПДн) – это любые сведения, относящиеся прямо или косвенно к определенному физическому лицу (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ).

Обезличивание персональных данных – это действия, в результате которых становится невозможно без использования дополнительной информации определить принадлежность данных конкретному человеку.

Зачем нужно обезличивание? Цели и случаи применения

Обезличивание позволяет использовать данные, не нарушая законодательство. Его применяют в самых разных сферах:

• Маркетинг и аналитика: анализ потребительского поведения.
• Наука и медицина: проведение исследований.
• Разработка ИИ: обучение и тестирование алгоритмов и нейросетей.
• Работа госорганов: публикация статистики, реализация миграционной и туристической политики.
• Внутренний аудит: оценка эффективности работы компании.
• Трансграничная передача: передача данных в страны без адекватного уровня защиты.

Какие данные нельзя обезличить?

Закон строго запрещает обезличивать специальные категории персональных данных (ч. 1 ст. 13.1 Закона № 152-ФЗ). К ним относятся:

• Данные о расовой и национальной принадлежности.
• Политические, религиозные и философские убеждения.
• Сведения об интимной жизни.
• Биометрические данные.

Общий порядок обезличивания персональных данных

Если компания хочет использовать обезличенные данные для своих целей (не по запросу Минцифры), она должна следовать общему порядку, установленному Приказом Роскомнадзора от 19.06.2025 № 140.

Процедуру можно разбить на несколько шагов:

1. Принятие локальных нормативных актов (ЛНА). Компания должна разработать и утвердить документы, регламентирующие весь процесс: от выбора данных до методов обезличивания и оценки его достаточности.
2. Назначение ответственного. Следует ограничить круг сотрудников, имеющих доступ к данным и процедуре обезличивания, и обеспечить их квалификацию.
3. Определение состава данных. Оператор сам решает, какие именно данные нужно обезличить.
4. Выбор методов обезличивания. Закон предлагает на выбор несколько методов:
   • Введение идентификаторов (замена данных на код).
   • Изменение состава или семантики (искажение или удаление части данных).
   • Перемешивание (перестановка значений между записями).
   • Декомпозиция (разделение массива данных на части).
   • Преобразование массива (агрегация и обобщение данных).
5. Проведение обезличивания. Процедура проводится с использованием специального ПО с соблюдением ключевых требований: невозможность идентификации субъекта, раздельное хранение исходных и обезличенных данных, ведение учета всех действий.

Обезличивание по запросу Минцифры России

Если компания получила требование от Минцифры, порядок действий меняется. Здесь действуют более строгие правила Постановления Правительства РФ от 01.08.2025 № 1154.

1. Назначение ответственных. Аналогично общему порядку.
2. Определение состава данных и метода. В отличие от общего порядка, эти параметры уже указаны в требовании Минцифры. Оператор не выбирает их самостоятельно.
3. Проведение обезличивания и передача данных. Процедура проводится с использованием одобренного ПО. Ключевые отличия:
   • Строгое раздельное хранение: исходные ПДн и обезличенные данные должны храниться так, чтобы их объединение было невозможно.
   • Невозможность обратимости: в отличие от общего порядка, здесь нельзя иметь «ключ» для обратного преобразования данных.
   • Сроки и формат передачи: данные должны быть переданы в установленный срок (от 5 до 30 рабочих дней) через ЕИП НСУД, СМЭВ или на защищенном носителе с усиленной квалифицированной электронной подписью.

Обезличивание персональных данных – это не просто рекомендация, а полноценный юридический механизм, позволяющий легально использовать информацию в бизнес- и государственных целях. Правильно выстроенный процесс обезличивания защищает компанию от штрафов со стороны регуляторов и позволяет извлекать пользу из данных, не нарушая права граждан.