Важно
Минздрав утвердил новый порядок экспертизы временной нетрудоспособности 
Защита персональных данных — одна из первоочередных задач государства. Поэтому ежегодно принимаются поправки в законодательство, ужесточаются санкции за утечку сведений, внедряются новые способы защиты. Но иногда ценные сведения всё же оказываются в руках мошенников. Сегодня узнаем, как защитить личные данные путем обезличивания, разберемся, как это правильно сделать и как обрабатывать полученные данные.
Навигация
Коротко о главном: 5 пунктов
- Обезличенные данные — это информация о людях в зашифрованном виде.
- Шифрование данных делает их непонятными без специального ключа.
- Существуют разные способы сделать информацию безымянной, например, перемешивание.
- Перед обработкой данные должны быть зашифрованы, а потом их можно использовать.
- С сентября 2025 года обезличенные данные будут передаваться по правилам от Минцифры.
Что такое обезличенные персональные данные
Обезличенные персональные данные — это электронные сведения о гражданах, которые хранятся в информационных системах организаций в зашифрованном виде, ключ к которому есть у строго ограниченного круга лиц. Тем, кто не имеет ключа, определить принадлежность данных конкретному физическому лицу невозможно. Самый простой вид обезличивания: вместо полных фамилии, имени, отчества указывать первые буквы.
Пример: вместо Пэпэтэшин Петр Петрович указывают П.П.П.
Мы можем наблюдать этот способ защиты, когда читаем в средствах массовой информации публикации:
«Гражданин С. нарушил ПДД».
Обезличивание применяется и в других случаях:
- если уничтожать информацию нельзя, а организовать ее правильное хранение невозможно или затратно (ФЗ № 152-ФЗ «О персональных данных»);
- необходимо ответить на запрос, жалобу или обращение, в которой для понимания сути вопроса необходимо сослаться на участие в процессе других физических лиц;
- требуется раскрыть обобщенные статистические данные без указания личных данных и др.
Надо знать: какая информация относится к персональным данным
Как происходит обезличивание персональных данных
Пошаговый алгоритм обезличивания данных физических лиц состоит из трех шагов:
Шаг 1
Выберите одну из техник, с помощью которой осуществляется обезличивание персданных:
Какой метод подойдет той или иной организации, можно выяснить, воспользовавшись рекомендациями Роскомнадзора и приказом № 996.
Существуют 4 вида техник обезличивания личных данных:
1. Введение идентификаторов. Эта техника позволяет заменить условными обозначениями — идентификаторами значения персональных данных. Для этого создается таблица соответствия идентификаторов исходным данным.
Например, букве «А» соответствует цифра 9, букве «Б» цифра 8 и т. д.
Доступ к ключу для расшифровки выдается лицам, назначенным ответственными за обработку персданных в организации приказом руководителя.
2. Изменение состава или семантики. Данная техника позволяет заменить, обобщить или удалить часть ПД, которые не несут практической пользы. Например:
- удаляется фамилия, имя, отчество, остается год рождения;
- адрес проживания сокращается до наименования города;
- неизменной остается информация, представляющая ценность.
| Год рождения | Адрес проживания | Профессия |
|---|---|---|
| 1975 | г. Москва | Инженер-проектировщик |
| 1985 | г. Санкт-Петербург | Инженер ОТК |
3. Декомпозиция. В этом случае происходит разделение информации на блоки, которые хранятся отдельно. Использовать такие блоки по отдельности третьим лицам невозможно, так как это бесполезно и не несет практического смысла. Например, в отдельную таблицу собираются ФИО, в другую — даты рождения, в третью — паспортные данные и т.д. Ключ к таким данным представляет из себя таблицу соответствия блоков. Например:
| Номер строки таблицы 1 | Номер строки таблицы 2 | Номер строки таблицы 3 | |
|---|---|---|---|
| 1 | 3 | 2 | 1 |
| 2 | 2 | 1 | 3 |
| 3 | 1 | 3 | 2 |
4. Перемешивание. При использовании данной техники отдельные части личных данных перемешивают так, чтобы в результате установить принадлежность тому или иному человеку было невозможно.
Решение о том, какие средства обезличивания применить, каждый оператор решает самостоятельно в зависимости от ситуации. Главное — соблюдать порядок и убедиться, что выбранные методы гарантируют надежную защиту информации.
Шаг 2
Выберите информационную систему для обезличивания персданных. Сегодня на рынке существует несколько информационных средств для обезличивания данных. Например:
- система LARVA BD, созданная в соответствии с требованиями Роскомнадзора № 996. В ней реализованы алгоритмы введения идентификаторов, перемешивания, изменения семантики и декомпозиции;
- система «Сфера. Обезличивание данных». Коробочное решение для обезличивания персональных данных «под ключ» от Группы Т1. Позволяет создавать обезличенные базы данных (поддержка СУБД Postgres, MS SQL, Oracle) и обезличенные датасеты (поддержка форматов Avro, Parquet, CSV). Также в нем есть функция поиска и классификации атрибутов с персональными данными в автоматическом режиме на основе ML-моделей.
Шаг 3
Закрепите в ЛНА выбранные технологии обезличивания ПД и назначьте ответственных за их обработку и передачу.
Может пригодиться: как составить положение о защите персональных данных
Образец обезличенных персональных данных
Так выглядят обезличенные персональные данные, обработанные с помощью метода перемешивания
Как происходит обработка обезличенных персональных данных
После обезличивания персональные данные поступают в информационную систему и продолжают обрабатываться с соблюдением следующих правил:
- нельзя обрабатывать (хранить) обезличенные персональные данные вместе с первоначальными персданными;
- обезличивать персданные следует перед внесением в информационную систему с целью последующей обработки;
- допускается обработка в информационной системе обезличенных данных, полученных от третьих лиц;
- при необходимости обезличенные данные допускается деобезличить с последующим уничтожением полученной информации после обработки;
- обработка обезличенных данных должна осуществляться с использованием технических и программных средств, соответствующих форме представления и хранения;
- если в организации отсутствует квалифицированный персонал, способный обрабатывать данные, или материально-техническая база не позволяет обрабатывать персданные с соблюдением действующего законодательства, то допускается привлечение сторонних организаций в целях обработки персональных данных на основании договора;
- при использовании технологий «облачной» обработки данных физ. лиц, допускается обработка одним оператором обезличенных данных нескольких подобных организаций. В этом случае следует выделять зоны ответственности организаций, поручивших обработку единому оператору;
- при выборе алгоритмов и программных средств для обезличивания данных следует предусмотреть возможность совместимости полученных массивов с разными платформами для обеспечения их надлежащей обработки;
- если возникла необходимость внести изменения или дополнения в массив обезличенных действий, то это следует делать в режиме транзакций. Произведенные действия по обработке данных необходимо заносить в специальный журнал;
- все запросы на обработку данных следует хранить в архиве;
- необходимо обеспечить возможность любому субъекту персданных ознакомиться или получить сведения о них на каждом этапе обработки.
Передача обезличенных ПД
Обезличенные персональные данные — это по-прежнему личные данные, поэтому их передача должна осуществляться в соответствии с требованиями законодательства о защите ПД.
Читайте об этом: как осуществляется защита персональных данных
Передача третьим лицам личных данных без согласия допускается в исключительных случаях и служит специальным целям. Например, когда это поможет предотвратить угрозу жизни или самочувствию конкретного человека или в иных ситуациях, прямо оговоренных в законодательстве.
Некоторые случаи, когда согласие не требуется:
- передача ПД работников в Социальный фонд России, налоговые органы, военные комиссариаты, профсоюзные органы;
- передача ПД работника банкам, открывающим и обслуживающим платежные карты для начисления зарплаты, если в тексте договора предусмотрены положения, предусматривающие передачу работодателем персональных данных работника;
- передача ПД работника для пропускного режима на территорию служебных зданий и помещений работодателя при условии, что работодатель сам организовал этот пропускной режим.
Обязательства за передачу персданных третьим лицам без согласия субъекта несет организация или конкретное лицо, ответственное за передачу сведений.
На заметку: передача персональных данных третьим лицам
С 1 сентября 2025 года передача обезличенных персданных будет осуществляться операторами по требованию Минцифры в госинформсистему министерства, которую определит правительство РФ. Соответствующие изменения были внесены в Закон о персональных данных в августе 2024 года. На подготовку нормативных актов и технического обеспечения выделен год. Инициатива направлена на создание механизма формирования обезличенных составов персональных данных (дата-сетов). По мнению Минцифры, в результате реализации предложенного механизма передачи обезличенных ПД никто — ни государство, ни бизнес — не сможет узнать конкретные сведения о человеке.
Правила обезличивания, перечень данных и сроки предоставления установит правительство РФ по согласованию с ФСБ России. Минцифры будет формировать из обезличенных данных, сгруппированных по определенному признаку, наборы персональных данных для их последующей передачи.
Эксперты КонсультантПлюс разобрали, каков порядок уничтожения персональных данных оператором при достижении цели обработки персональных данных либо при отзыве согласия на их обработку. Используйте эти инструкции бесплатно.
Часто задаваемые вопросы по теме
-
Что такое обезличенные персональные данные?
Это информация, зашифрованная таким способом, что деобезличивание возможно только с применением специального ключа, доступ к которому есть у ограниченного числа сотрудников.
-
Как происходит обезличивание персональных данных?
Обезличивание персональных данных в результате их обработки происходит при помощи нескольких методов шифрования:
- идентификаторы;
- изменение состава;
- декомпозиция;
- перемешивание.
-
Как происходит обработка обезличенных персональных данных?
Обработка таких данных происходит с соблюдением правил, установленных рекомендациями Роскомнадзора № 996. Например, не допускается обработка (хранение) обезличенных данных вместе с необезличенными.
-
Как будет производиться передача обезличенных персональных данных?
С 1 сентября 2025 года передача обезличенных персональных данных будет производиться по требованию Минцифры в составе и в сроки, утвержденные правительством РФ.
