Новые правила обезличивания персональных данных 02.09.2025 11:46С 1 сентября 2025 года вступает в силу важный для всех операторов персональных данных документ — Приказ Роскомнадзора от 19 июня 2025 № 140 об утверждении требований к обезличиванию персональных данных. Этот приказ призван упорядочить и детализировать процессы, связанные с обезличиванием ПДн, устанавливая новые требования и подходы. "Кабельщик" вместе с экспертами компаний "Вебмониторэкс" и Web Control разбирается, что меняет новый приказ, какие возможны трудности при реализации и как компаниям подготовиться.
Основная задача обезличивания — сделать персональные данные недоступными для идентификации конкретного субъекта без использования дополнительной информации. Это ключевой механизм для обеспечения приватности и безопасности данных. Новый приказ вносит существенные изменения в эту сферу, повышая планку соблюдения требований для всех организаций.
Что нового
Прежде всего, приказ устанавливает уточненные требования к самому процессу обезличивания и методам, которые могут при этом использоваться. А также устанавливает четыре метода обезличивания персональных данных и требования к процедуре их проведения.
1. Изменение (замена) состава либо значений идентифицирующих сведений. Суть метода в том, что все значения исходных персональных данных, позволяющие прямо или косвенно идентифицировать субъекта, заменяются на новые значения, не позволяющие это сделать. При этом исходные значения и новая, обезличенная информация сохраняются раздельно, и возможность восстановления связи между ними контролируется.
2. Удаление части идентифицирующих сведений, то есть удаление из базы данных той информации, которая позволяет идентифицировать субъекта. Например, могут быть удалены фамилия, имя, отчество, адрес и т. п., при этом остаются неидентифицирующие данные (возраст, пол, город).
3. Обобщение идентифицирующих сведений (агрегирование). Данные объединяются в группы, таким образом, чтобы информация о конкретном лице "растворялась" среди множества других. Например, вместо точного возраста указывается возрастной диапазон (18-25 лет).
4. Разделение сведений. Идентификаторы (например, ФИО, паспортные данные) отделяются от остальных персональных данных (например, информации о покупках, посещениях сайта) и хранятся раздельно, без возможности прямого сопоставления.
"С введением нового законодательства наблюдается существенное увеличение детализации требований к защите персональных данных, — говорит Лев Палей, директор по информационной безопасности компании "Вебмониторэкс". — Это влечет необходимость более строгой оценки эффективности различных методов обезличивания, что создает дополнительные бизнес-процессы и увеличивает нагрузку на компании."
Новые нормы предполагают усиление контроля со стороны регулятора и более детализированные требования к самим компаниям при обработке данных. Четкие нормативы по методам обезличивания требуют более серьезного подхода к соблюдению требований. В связи с этим, компаниям придется перестраивать свои внутренние бизнес-процессы. Каждому типу персональных данных теперь нужно уделять особое внимание, что потребует разработки новых подходов к управлению данными.
"Внедрение новых методов обезличивания и соблюдения новых требований может повлечь за собой ряд трудностей для компаний, — продолжает эксперт. — Это недостаток ясности в интерпретации изменений в законодательстве, что затрудняет процесс реализации необходимых регуляторных мероприятий. Обучение сотрудников также станет накладным мероприятием, поскольку необходимо будет вводить их в курс дела относительно новых методов и технологий. Здесь же потребуется адаптация текущей инфраструктуры, что может обернуться значительными затратами. Представьте, что нужно переписать несколько используемых приложений для корректной (в соответствии с новым НПА) идентификации и обезличивания данных. В части знакомых мне компаний такую модернизацию произвести в короткие сроки будет опрометчивым решением. Недостаток ясности и необходимость значительных затрат создают дополнительные сложности."
Как компаниям подготовиться
Новые правила обезличивания данных требуют от организаций заблаговременной подготовки. "Принимая во внимание требования, выбор методов обезличивания данных становится особенно непростым решением, — говорит эксперт. — Наиболее эффективные методы, такие как K-анонимизация, дифференциальная приватность и псевдонимизация, требуют тщательной реализации и мониторинга. Каждый из этих методов имеет свои преимущества и недостатки, и организации должны выбирать подходящий в зависимости от специфики своих данных и задач. Будет ли проводится качественная оценка корректности выбора метода и как такая процедура должна фиксироваться — сложный вопрос, который прояснится при внедрении изменений. Выбор методов требует глубокого анализа и адаптации к специфике данных."
Подготовка к новым требованиям нуждается в комплексном подходе. Директор по информационной безопасности компании "Вебмониторэкс" Лев Палей рекомендует сосредоточиться на комплексном анализе текущих практик, идентифицировать все данные и определить местоположение их хранения и передачи. "Инвентаризация данных, по мнению многих коллег, при распределенной или тиражной инфраструктуре — это трудоемкая и непростая задача, — продолжает Лев. — Но именно с нее и нужно начать, потому что просчет реализации изменений, как в экономическом выражении, так и с учетом временных затрат без понимания масштабов, практически бессмысленен. Регулярный мониторинг соблюдения новых требований станет ключевым для успешного выполнения норм и практических рекомендаций. Подготовка требует комплексного подхода и внимания к идентификации, взаимодействию и обучению."
Подготовка к реализации новых требований предполагает выполнение ряда важных шагов. Необходимо пересмотреть и актуализировать внутренние политики, касающиеся обезличивания персональных данных. Это включает создание актуальных локальных актов, которые определяют порядок обработки обезличенных данных, их методы и условия хранения.
Игорь Базелюк, операционный директор и руководитель направления SPACE PAM компании Web Control, предлагает практический инструмент для подготовки: "В первую очередь компаниям необходимо определиться с порядком и инструментарием реализации этих требований. И в этой ситуации может быть полезен такой популярный инструмент как PAM (Privileged Access Management), который есть во многих компаниях.
Законодательство требует раздельного хранения оригинального массива персональных данных и обезличенного набора, а также ограничения доступа к таблице соответствия ID к ФИО и к ключам методике обезличивания. Контроль доступа к чувствительной информации — одна из задач PAM-системы. Если компания привлекает подрядчиков для анализа или обезличивания данных, то нужно быть уверенным, что у них нет доступа к исходным данным.
Контроль действий подрядчиков — еще одна задача, на решение которой ориентирован PAM. В законе прописано требование ведения учета действий по обезличиванию персональных данных и действий, которые совершаются с ними, при этом форма учета определяется оператором. Эту задачу также можно решить с помощью PAM. Таким образом, компании, которые используют PAM, уже частично готовы к новому порядку."
Стоит тщательно проанализировать текущие наборы данных, чтобы выбрать наиболее эффективные методы их обезличивания в соответствии с утвержденными приказами. Эти выбранные методы следует закрепить во внутренних документах, описывающих алгоритмы и процедуры их применения. Такие документы должны оставаться внутренними и конфиденциальными.
Компаниям потребуется организовать раздельное хранение персональных и обезличенных данных, что может потребовать изменений в ИТ-системах и наложению ограничений на доступ к определенной информации.
Для организаций с большими клиентскими базами важно назначить ответственных сотрудников для взаимодействия с государственной платформой ЕИП НСУД, которые будут разбираться в специфике работы и технического подключения к ней.
Нужно также позаботиться об обучении сотрудников новым правилам работы с обезличенными данными. Необходимо обновить договоры с внешними подрядчиками, добавив в них обязательства по соблюдению новых требований.