Обезличивание персональных данных: практическое руководство для кадровика
В последнее время тема персональных данных (далее – ПД) у всех на слуху: большие штрафные санкции за нарушения в этой области, утечка баз данных с персональной информацией, всеобщая цифровизация породили проблемы защиты данных, и эта тема стала достаточно серьезной и обсуждаемой. Все мы привыкли к понятию обработки персональных данных, но 1 сентября 2025 года законодатель нам напомнил еще об одной обязанности – обезличивать персональные данные, она и раньше была, но не было требований к этой процедуре. В статье рассмотрим, какие дополнительные обязанности возникают в отношении персональных данных и как их выполнить.
Суть процесса и его правовая значимость
Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных (п. 9 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ (ред. от 24.06.2025) "О персональных данных" {КонсультантПлюс}).
Резонно возникает вопрос: «А зачем нужно обезличивать ПД?» Основных причин несколько.
- Прежде всего – требование закона. При достижении целей обработки оператор обязан обезличить или уничтожить ПД субъекта. Это правило действовало и до 1 сентября 2025 года. Например, работник уволился в середине года, у работодателя больше нет необходимости обрабатывать его персональные данные в целях содействия в продвижении по службе, контроля трудовой деятельности. И по закону у оператора есть 30 дней, чтобы прекратить обработку ПД и уничтожить их. Но кроме требований законодательства о персональных данных есть трудовое законодательство, налоговое, архивное и т.д. Работодатель не может просто так уничтожить информацию об уволенном сотруднике. Тогда в целях безопасности он блокирует такие ПД (прекращает их обработку), обезличивает их и далее хранит уже обезличенные данные. При необходимости он всегда может их расшифровать.
При передаче данных третьим лицам без согласия. Если организация хочет передать чьи‑либо данные сторонней компании, а согласия от субъектов нет, единственный законный вариант – предварительно обезличить данные.
При публикации открытых данных. Любые обезличенные сведения не подпадают под действие закона о персональных данных. Поэтому государственные органы и компании, когда публикуют публичные отчеты, реестры, открытые данные, обязаны предварительно удалить из них персональные идентификаторы.
При использовании данных для новых целей. Нередко организация собирает персональные данные для одной цели, а затем хотела бы использовать их для другой (например, из базы пользователей сделать выборку для научного исследования или тестирования новой модели ИИ). Закон требует в таких случаях либо получить новое согласие субъектов на новую цель обработки, либо обезличить данные. Очевидно, собрать тысячи новых согласий трудно, поэтому обезличивание становится обязательным условием повторного использования персональных данных вне изначальных целей.
Обработка видеозаписей и биометрии. Если ведется массовая видеосъемка людей (на улицах, в транспорте) или запись голосов, то без согласий это допускается только при условии обезличивания этих биометрических данных. Практически это означает, что видеоаналитика должна либо не сохранять лица, либо сразу их замазывать/распознавать без привязки к личности (например, считать количество людей, не идентифицируя кто именно). Прямое использование биометрии без согласия граждан запрещено, поэтому операторам камер и подобного оборудования придется обезличивать биометрические материалы, если они намерены хранить или анализировать их. Обратим внимание: формировать государственные составы данных на базе биометрии вообще нельзя, но даже вне госзадач, при коммерческой обработке, обезличивание – единственный вариант избежать получения согласий от каждого прохожего.
2. Интересы государства (требование Минцифры) – еще один случай, когда оператор должен обезличить ПД по закону (действует с 1 сентября 2025 года). Это ведомство отвечает за формирование государственной информационной системы «Единая информационная платформа национальной системы управления данными». В ЕИП НСУД будут хранить составы данных (составы персональных данных, полученных в результате обезличивания персональных данных, сгруппированные по определенному признаку) без возможности расшифровать исходные персональные данные и определить конкретного субъекта.
- Также закон о персональных данных разрешает операторам обрабатывать ПД граждан без согласия в статистических и исследовательских целях, но только при условии обязательного обезличивания. Однако это нельзя делать для продвижения товаров и услуг, рекламы или политической агитации. То есть использовать базу обезличенных ПД для аналитического отчета или обучения ИИ можно, а для обзвона с целью продажи нельзя. Без обезличивания в таком случае не обойтись.
4. Защита от злоумышленников – еще одна важная причина. Операторы заинтересованы в обеспечении безопасности персональных данных из-за многомиллионных штрафов за утечки по ст. 13.11 КоАП РФ, которые действуют с 30 мая 2025 года. Ведь база обезличенных данных бесполезна для мошенников, если они не могут ее расшифровать.
Как организовать работу по обезличиванию персональных данных
Приведем примерный перечень организационных мероприятий. Возможно, что не все из них понадобится выполнять в конкретной компании (мы постарались охватить максимум необходимой подготовки к обезличиванию ПД).
Шаг 1: определить, какие именно персональные данные и каких субъектов будете обезличивать. Рекомендуем учитывать проведенную оценку вреда при нарушениях требований закона о персональных данных, а также размеры штрафов за утечки разных категорий ПД.
Шаг 2: направить уведомление в Роскомнадзор. Если оператор ранее не указывал в уведомлении Роскомнадзора об обработке персональных данных такое действие, как обезличивание, то необходимо сообщить об изменениях по специальной форме. Сделать это нужно до 15-го числа следующего месяца. Готовое решение: Каковы обязанности оператора персональных данных (КонсультантПлюс, 2025) {КонсультантПлюс} вам в помощь.
Например, оператор в мае 2025 года утверждает Порядок обработки персональных данных, подлежащих обезличиванию, и Правила работы с обезличенными ПД. Соответственно, до 15 июня ему нужно подать уведомление об изменениях в Роскомнадзор.
Шаг 3: разработать и утвердить локальные акты. Для обезличивания ПД нужно издать или дополнить действующие ЛНА по персональным данным информацией о:
порядке обработки персональных данных, подлежащих обезличиванию, осуществления деятельности по обезличиванию персональных данных;
порядке оценки достаточности применяемого метода (методов) обезличивания персональных данных;
порядке обработки персональных данных, полученных в результате обезличивания персональных данных;
выбранных и используемых для обезличивания методах (генерализация, удаление прямых идентификаторов, псевдонимизация, перестановка и так далее).
Шаг 4: назначить ответственных за обезличивание и обработку обезличенных данных. Оператор должен обеспечить защиту и конфиденциальность как применяемых методов обезличивания, так и обезличенных данных. Поэтому ему необходимо ограничить к ним доступ. Работать с обезличенными ПД могут только должностные лица, которых назначит оператор. Они и будут нести ответственность за их сохранность.
При этом оператор может поручить обезличивание сторонней компании. Но ответственность передавать нельзя, поэтому все равно придется назначать отдельных сотрудников.
Шаг 5: выбрать методы обезличивания и провести их оценку. Приказ № 140 требует, чтобы оператор оценил достаточность выбранных способов защиты информации. При этом в нем не описано подробно, как именно это делать.
Можно поступить так: создать комиссию, провести обезличивание разными методами, проверить, насколько легко расшифровать полученный результат и определить конкретного субъекта ПД. Результат можно оформить протоколом или актом комиссии.
Шаг 6: принять меры по защите обезличенных данных. Здесь речь идет о выборе сертифицированных технических средств и программного обеспечения, которые обеспечивают защиту и конфиденциальность информации. Сюда же входят меры по обеспечению раздельного хранения локальных актов с методами обезличивания, исходных персональных данных и обезличенных данных.
В завершение отметим, что само обезличивание ПД проводят специальными методами, разбираться в которых – компетенция специалистов по информационной безопасности. Но кадровику и бухгалтеру тоже полезно знать основы этой процедуры, потому что в кадрах и бухгалтерии хранится большое количество личной информации работников, сотрудников подрядчика. И эти службы отвечают за безопасность ПД. Кроме того, именно кадровик и бухгалтер определяют, данные каких категорий субъектов будет шифровать специально обученный специалист.