Обезличивание персональных данных по 152-ФЗ: методы, требования и ошибки оператора

Обезличивание персональных данных не означает, что достаточно удалить ФИО из таблицы и дальше свободно использовать оставшийся массив. По 152-ФЗ само обезличивание является операцией обработки ПДн, поэтому оператору нужны правовое основание, подходящий метод и правильно организованный процесс.

При этом обезличивание не обязательно должно быть необратимым. Закон допускает ситуацию, когда определить человека можно только с помощью дополнительной информации, например отдельного ключа сопоставления. Именно поэтому на практике значение имеет не название процедуры, а то, как преобразованы данные, где хранится дополнительная информация и кто имеет к ней доступ.

С 1 сентября 2025 года основные требования и методы обезличивания установлены приказом Роскомнадзора от 19.06.2025 № 140, за исключением случаев, предусмотренных п. 9.1 ч. 1 ст. 6 Закона № 152-ФЗ. Ранее действовавший приказ № 996 утратил силу.

Обезличивание остается обработкой персональных данных

Пункт 3 статьи 3 Закона № 152-ФЗ прямо включает обезличивание в понятие обработки персональных данных.

Это означает, что сама процедура должна проводиться с соблюдением общих требований: у оператора должно быть правовое основание, цели обработки должны быть определены, объем данных не должен быть избыточным, а применимые требования безопасности должны выполняться.

Поэтому логика «обезличим, а потом требования 152-ФЗ нас больше не касаются» слишком упрощена.

Для начала нужно понять, какой метод используется, можно ли определить субъекта при помощи дополнительной информации, как она хранится и что компания собирается делать с полученным массивом дальше.

Если этот контур уже существует, но его соответствие требованиям не проверялось, аудит соответствия обработки ПДн 152-ФЗ позволяет сопоставить фактический процесс с правовыми основаниями, документами и организационными мерами.

Проверьте контур обезличивания целиком

Отдельно проверить стоит не только сам алгоритм преобразования, но и цели, основание дальнейшей обработки, локальные акты, хранение исходных и обезличенных массивов, ключи и доступы.

Проверить процесс обезличивания

Обезличивание, псевдонимизация и анонимизация — не одно и то же

Эти понятия часто смешивают.

По 152-ФЗ обезличивание — это действия, после которых невозможно без использования дополнительной информации определить принадлежность данных конкретному субъекту.

Псевдонимизация — технический подход, при котором прямые идентификаторы заменяются кодами, а информация для восстановления соответствия хранится отдельно. Этот термин характерен прежде всего для международной privacy-практики, в том числе GDPR, и не заменяет российское понятие обезличивания.

Необратимая анонимизация идет дальше: связь с конкретным человеком практически невозможно восстановить.

Но российское регулирование не требует, чтобы любое обезличивание было технически необратимым.

Например, один из прямо предусмотренных приказом № 140 методов предполагает введение идентификаторов и создание отдельного ключа, позволяющего сопоставить их с исходными данными.

Поэтому наличие ключа само по себе еще не означает, что обезличивание проведено неправильно.

Критично другое: выполняются ли требования к его отдельному хранению и защите.

Нужно ли получать отдельное согласие на обезличивание

Универсального требования получать согласие именно «на обезличивание» в 152-ФЗ нет.

Все зависит от цели и основания конкретной обработки.

Например, пункт 9 части 1 статьи 6 допускает обработку ПДн в статистических или иных исследовательских целях при обязательном обезличивании. При соблюдении условий этой нормы согласие субъекта не является обязательным основанием.

Но есть ограничения.

Это основание нельзя использовать для целей, указанных в статье 15 152-ФЗ: продвижения товаров, работ и услуг посредством прямых контактов с потенциальным потребителем с помощью средств связи и политической агитации.

Для специальных категорий и биометрических ПДн дополнительно применяются требования статей 10 и 11.

И сама исследовательская цель не отменяет принципов обработки и требований безопасности.

Если данные собирались по согласию, нужно проверить дальнейшую цель

Само обезличивание не всегда требует нового согласия.

Но оператор должен убедиться, что запланированное преобразование и дальнейшее использование массива укладываются в существующее правовое основание.

Например, данные клиента, которые были получены для исполнения договора, нельзя автоматически сохранять для любых будущих аналитических задач только потому, что вместо ФИО появился условный код.

Если появляется новая самостоятельная цель, нужно отдельно определить основание дальнейшей обработки.

Эту логику полезно отражать и в документах по обработке персональных данных: цели, состав данных и операции должны соответствовать тому, что компания действительно делает.

Какие правила обезличивания действуют сейчас

С 1 сентября 2025 года приказ Роскомнадзора № 140 применяется за исключением случаев, предусмотренных п. 9.1 ч. 1 ст. 6 Закона № 152-ФЗ.

Он устанавливает методы обезличивания, организационные требования, правила хранения и учета операций.

Этот пункт охватывает несколько специальных режимов. Для обезличивания в рамках статьи 13.1 Закона № 152-ФЗ требования, методы и правила установлены постановлением Правительства РФ от 01.08.2025 № 1154.

Поэтому при проектировании процедуры сначала нужно определить, под какой режим попадает конкретная обработка.

Использовать приказ Роскомнадзора № 996 как действующий нормативный документ после 1 сентября 2025 года нельзя.

Какие методы предусмотрены приказом № 140

Приказ допускает несколько методов. Их можно применять самостоятельно или сочетать в зависимости от массива данных и цели дальнейшей обработки.

Введение идентификаторов

Прямые сведения о человеке заменяются условным кодом, номером или другим идентификатором.

Например:

Иван Иванов → Клиент № 4471

Для такого метода создается ключ, позволяющий сопоставить условный идентификатор с исходными данными.

По п. 3 приложения № 2 к приказу № 140 ключ хранится отдельно от исходного массива, подлежащего обезличиванию, и не передается третьим лицам.

Отдельное хранение ключа от результата обезличивания также целесообразно закрепить в регламенте как организационную меру.

Изменение состава или семантики

Отдельные значения можно удалять, изменять, искажать или обобщать.

Например, вместо возраста 32 года использовать диапазон 30–35 лет.

Также могут удаляться ненужные атрибуты, применяться условные обозначения, округление или добавление случайных значений.

Но изменение одного поля еще не гарантирует обезличивания всего набора. Нужно проверить, нельзя ли определить человека по оставшейся комбинации сведений.

Перемешивание

Значения отдельных атрибутов или их групп переставляются между записями.

При этом исходные связи между субъектами и конкретными значениями меняются.

Но результат все равно нужно оценить: примененный алгоритм должен обеспечивать невозможность определить принадлежность данных конкретному человеку без дополнительной информации.

Декомпозиция

Исходный массив разделяется на несколько частей, которые затем хранятся раздельно.

Количество частей и порядок хранения оператор определяет применительно к своему процессу.

Преобразование массива

Дополнительно приказ предусматривает преобразование массива совместно с другими методами, например через обобщение или агрегацию атрибутов.

Индивидуальные показатели могут превращаться в групповые статистические значения.

Но этот способ рассматривается именно как дополнительный: он не заменяет остальные методы обезличивания сам по себе.

Главный принцип одинаков для всех вариантов: название метода из приказа еще не доказывает, что конкретный массив действительно обезличен надлежащим образом.

Нужно оценивать результат применительно к реальным данным.

Процедуру придется закрепить в локальных актах

Приказ № 140 регулирует не только технический способ изменения массива.

Оператору нужно определить в локальных актах порядок работы с данными до обезличивания, саму процедуру, оценку достаточности выбранного метода и дальнейшую работу с полученными сведениями.

Для некоторых методов требуются дополнительные правила.

Например, при изменении состава или семантики нужно определить правила изменения атрибутов, а при перемешивании — алгоритм перестановки значений.

Для декомпозиции необходимо установить правила разбиения массива и определить места хранения его частей. Локальные акты с правилами изменения состава или семантики, перемешивания и декомпозиции нужно хранить отдельно от результата обезличивания и исключить доступ к ним третьих лиц.

Поэтому обезличивание нельзя качественно внедрить исключительно силами разработчика, который «уберет идентификаторы» из выгрузки. Правовая, организационная и техническая части должны описывать один и тот же процесс.

Если процедуры еще не оформлены, их можно включить в разработку или актуализацию документов по 152-ФЗ.

Метод нужно выбрать до начала обработки, а не после

До запуска процедуры оператор определяет состав данных и категории субъектов, а затем оценивает достаточность метода с учетом цели и правового основания.

Иначе можно получить формально правильную операцию, которая не решает реальную задачу.

Например, компания заменит ФИО кодом, но оставит в том же массиве должность, точную дату рождения, подразделение и другие признаки, по которым человека все еще можно определить.

Поэтому оценка должна проводиться для конкретной совокупности данных, а не для одного поля.

Исходные и обезличенные данные нужно хранить раздельно

Это одно из принципиальных организационных требований приказа № 140.

Совместное хранение исходного массива и результата обезличивания не допускается.

При использовании метода введения идентификаторов приказ также прямо требует хранить ключ сопоставления отдельно от исходного массива, подлежащего обезличиванию, и не передавать его третьим лицам.

На практике оператору нужно четко понимать четыре вещи: где находятся исходные ПДн, где размещен результат обезличивания, где хранится дополнительная информация для сопоставления и кто имеет доступ к каждому элементу.

Если эти ответы существуют только в политике или регламенте, но не соответствуют фактической архитектуре, формального описания будет недостаточно.

Для проверки реального хранения, разграничения доступа и настроек информационных систем можно использовать технический аудит ИСПДн.

Доступ ограничивается не только к самим данным

Приказ № 140 предусматривает ограничения и в отношении информации о самой процедуре обезличивания.

Оператор должен исключить доступ третьих лиц к предусмотренным приказом локальным актам и сведениям о применяемых методах, информационных системах и программном обеспечении.

При автоматизированном обезличивании дополнительно обеспечиваются безопасность и конфиденциальность персональных данных.

То есть защищать нужно не только результат, но и сведения, которые позволяют понять, как именно была преобразована исходная информация.

Проверьте не только документы, но и хранение

Если процедура уже внедрена, полезно отдельно сопоставить локальные акты с фактическим раздельным хранением массивов, ключами, правами доступа и информационными системами.

Проверить документы и технический контур

Операции по обезличиванию нужно учитывать

Приказ № 140 требует вести учет действий по обезличиванию и операций с полученными данными.

Форму учета оператор выбирает самостоятельно.

Это может быть журнал или другой механизм регистрации, позволяющий впоследствии подтвердить, что происходило с массивом.

Для бизнеса смысл этого требования не только в отчетности. Если спустя время нужно установить, какой набор данных был преобразован, каким методом и что происходило с результатом, такая история не должна восстанавливаться из переписки нескольких подразделений.

Можно ли обезличить данные вместо уничтожения

Здесь особенно опасны категоричные ответы.

Часть 7 статьи 5 Закона № 152-ФЗ предусматривает уничтожение либо обезличивание персональных данных после достижения цели обработки или утраты необходимости в ее достижении, если иное не установлено федеральным законом.

Но существуют специальные нормы.

Например, часть 4 статьи 21 предусматривает в определенных обстоятельствах прекращение обработки и уничтожение ПДн в срок не более 30 дней, если не действуют предусмотренные этой нормой исключения.

Поэтому универсальной схемы «истек срок хранения — обезличили и оставили себе» нет.

Перед таким решением нужно установить, почему прекращается первоначальная обработка, какая норма регулирует дальнейшую судьбу информации, допускает ли она обезличивание и существует ли основание использовать полученный массив дальше.

Формальная замена ФИО кодом не помогает, если компания фактически продолжает прежнюю обработку без законного основания и по-прежнему способна определять конкретного человека.

Но и утверждать, что обезличивание вместо уничтожения запрещено всегда, тоже неправильно.

Нужно ли обновлять уведомление Роскомнадзора

Обезличивание является операцией обработки, но его появление не обязательно означает новую самостоятельную цель.

Поэтому нет правила, что любое начало обезличивания автоматически требует отдельного уведомления Роскомнадзора.

Часть 7 статьи 22 требует актуализировать сведения при изменении информации, указанной в части 3 статьи.

Если после внедрения обезличивания меняются, например, ранее заявленные цели или перечень операций, уведомление необходимо привести в соответствие с фактической обработкой.

Сделать это нужно не позднее 15-го числа месяца, следующего за месяцем изменений.

Перед запуском процедуры поэтому полезно сопоставить новую модель с тем, что компания уже сообщила Роскомнадзору.

Чем больше процессов, тем сложнее поддерживать эту модель вручную

Обезличивание редко существует в вакууме.

Оно связано с конкретной целью обработки, категориями данных, информационной системой, ответственными, документами и дальнейшим использованием результата.

Когда таких процессов много, поддерживать связи в нескольких таблицах становится сложнее.

Privacy Box можно использовать как инструмент для систематизации реестра обработок ПДн, целей, категорий данных, систем и ответственных и для отслеживания изменений privacy-процессов.

Что проверить перед запуском обезличивания

Для самопроверки достаточно пройти несколько связанных вопросов.

Правовое основание. Для какой цели проводится обезличивание и на каком основании продолжится обработка?

Применимое регулирование. Применяется ли приказ № 140 или обработка относится к специальным случаям п. 9.1 ч. 1 ст. 6 Закона № 152-ФЗ?

Метод. Соответствует ли он действующему регулированию и достаточен ли для конкретного массива?

Документы. Описаны ли сама процедура и правила дальнейшей обработки?

Хранение. Разделены ли исходные данные, результат и ключ сопоставления?

Доступ. Ограничен ли круг лиц, которые могут получить исходные сведения, результат или дополнительную информацию?

Учет. Можно ли подтвердить совершенные операции?

Дальнейшее использование. Есть ли цель и основание для работы с результатом?

Роскомнадзор. Изменились ли сведения, которые ранее были указаны в уведомлении?

Для специальных процедур этот перечень не является исчерпывающим: могут действовать дополнительные требования.

Частые вопросы

Является ли обезличивание обработкой персональных данных?

Да. Оно прямо включено в определение обработки в пункте 3 статьи 3 Закона № 152-ФЗ.

Поэтому к самой процедуре применяются требования к целям, основаниям и безопасности обработки.

Нужно ли согласие человека на обезличивание?

Не всегда.

Отдельное согласие именно на операцию обезличивания не является универсальным требованием. Все зависит от основания и цели обработки.

Например, пункт 9 части 1 статьи 6 предусматривает статистические и иные исследовательские цели с обязательным обезличиванием при соблюдении условий этой нормы.

Можно ли оставить ключ после обезличивания?

Да, если применяется метод, который предполагает его создание.

Приказ № 140 прямо предусматривает ключ при введении идентификаторов. Он должен храниться отдельно от исходного массива, подлежащего обезличиванию, и не передаваться третьим лицам. Отдельность ключа от результата обезличивания целесообразно дополнительно закрепить в регламенте.

Можно ли хранить исходный и обезличенный массив вместе?

При применении приказа № 140 — нет. Должно быть обеспечено раздельное хранение.

Можно ли обезличить данные вместо уничтожения после окончания срока хранения?

Ответ зависит от конкретного основания прекращения обработки и применимой нормы.

Нельзя использовать обезличивание как универсальный способ сохранить информацию, которую оператор обязан уничтожить.

Но законодательство предусматривает ситуации, в которых обезличивание допускается.

Чем обезличивание отличается от псевдонимизации?

По 152-ФЗ обезличивание означает невозможность определить принадлежность данных конкретному субъекту без дополнительной информации.

Псевдонимизация обычно строится на замене идентификаторов кодами с сохранением возможности восстановить соответствие.

Технически подходы могут пересекаться: приказ № 140 предусматривает введение идентификаторов и отдельный ключ.

Можно ли использовать обезличенный массив для рекламы?

Универсального разрешения нет.

Пункт 9 части 1 статьи 6 позволяет использовать обязательное обезличивание для статистических и иных исследовательских целей, но исключает цели статьи 15.

Поэтому это основание нельзя использовать как способ обойти требования к прямому маркетингу.

Главное

Обезличивание по 152-ФЗ — не техническая операция «убрать ФИО».

Чтобы процесс соответствовал требованиям, оператор должен связать между собой правовое основание, цель, выбранный метод, локальные акты, раздельное хранение, доступы, учет операций и дальнейшее использование результата.

При этом российское регулирование не требует, чтобы любое обезличивание было технически необратимым. Некоторые методы прямо допускают отдельную дополнительную информацию для восстановления соответствия, но предъявляют требования к ее хранению и защите.

Главный риск возникает тогда, когда компания формально называет массив обезличенным, хотя по реальной совокупности данных человек по-прежнему определяется или процесс не соответствует установленным организационным требованиям.

Если нужно проверить уже действующую процедуру или спроектировать новый контур, можно обсудить задачу со специалистами Б-152.