Роскомнадзор в Приказе от 19.06.2025 №140 утвердил требования и методы обезличивания персональных данных. Требования начнут применяться с 1 сентября 2025 года.
Что такое обезличивание данных?
Обезличивание персональных данных данных — это процесс, при котором из информации удаляются все данные, по которым можно идентифицировать человека. Для этого удаляются или заменяются все идентифицирующие признаки, которые напрямую или косвенно связывают данные с личностью.
Обезличивание помогает обезопасить личные данные от утечек и неправильного использования. Это также помогает соблюдать законы, которые защищают личную информацию.
С 1 сентября 2025 года компании начнут передавать обезличенные сведения в ГИС. В связи с этим Правительство РФ и Роскомнадзор разработали рекомендации по шифрованию персональных данных.
Требования к обезличиванию персональных данных
- Определить, какие именно данные нужно обезличить и кому они принадлежат.
- Проверить, что выбранный метод обезличивания действительно защищает данные и подходит для целей обработки.
- Убедиться, что после обезличивания нельзя узнать, кому принадлежат данные, без дополнительной информации.
- При использовании программ для обезличивания обеспечить безопасность и конфиденциальность как исходных, так и обезличенных данных.
- Не хранить вместе исходные и обезличенные данные.
- Вести учет всех действий по обезличиванию и работы с обезличенными данными. Для этого оператор должен завести журнал или другой документ, фиксирующий эти действия.
Какие документы нужно принять в компании
Для выполнения установленных Роскомнадзором требований операторам необходимо разработать и утвердить локальные нормативные акты (ЛНА), которые устанавливают порядок обработки персональных данных, подлежащих обезличиванию (п. 1, 3–5 Требований):
- ведения деятельности по обезличиванию персональных данных,
- оценки достаточности применяемого метода или методов обезличивания персональных данных,
- обработки персональных данных, полученных в результате обезличивания персональных данных;
- правила изменения состава или значения персональных данных, перемешивания, хранения и разбиения массива персональных данных, подлежащих обезличиванию.
Утвержденные оператором ЛНА должны храниться отдельно от обезличенных персональных данных и быть недоступными для третьих лиц.
Для кого станет обязательным?
-
Организации и ИП, которые обрабатывают персональные данные клиентов или сотрудников. Для них вводятся строгие требования по обезличиванию данных перед передачей их другим организациям, включая государственные органы.
-
Организации, передающие данные государству по требованию Минцифры. Теперь такие данные должны предоставляться только в обезличенном виде. Это касается, например, данных, используемых для государственного управления, научных исследований или развития технологий искусственного интеллекта.
-
Компании, использующие персональные данные для целей, отличающихся от изначальной. Если организация хочет переработать или использовать данные для новых целей (например, аналитика, исследование, тестирование на ИИ), ей нужно либо получить новое согласие от пользователей, либо обязательно обезличить данные.
-
Все операторы персональных данных, кроме тех, кто напрямую не обязан обезличивать данные по закону. Например, государственные и муниципальные учреждения иногда не обязаны проводить обезличивание, но остальные организации должны соблюдать новые правила.
Методы обезличивания персональных данных
-
Введение идентификаторов: персональные данные заменяются на идентификаторы — коды или номера, присваиваемые по заданным алгоритмам.
-
Изменение состава или семантики: выделяются элементы массива персональных данных, которые подлежат обезличиванию, а их атрибуты искажаются, изменяются или удаляются.
-
Перемешивание: значения или группы значений атрибутов данных меняются местами между собой.
-
Декомпозиция: персональные данные разделяются на несколько частей и хранятся отдельно.
-
Преобразование массива: метод, использующийся совместно с представленными выше для разрыва связи между атрибутами данных и их владельцами.
Можно использовать один или несколько методов обезличивания персональных данных: компания самостоятельно решает, какой метод ей больше подходит.
