Обезличенные данные — это персональные данные, в результате обработки которых стало невозможным определить, кому именно они принадлежат без использования дополнительной информации. То есть такие данные перестают относиться к конкретному человеку и утрачивают статус персональных.
Примеры обезличивания:
- удаление ФИО и паспортных данных из документа, при сохранении только статистики (например, «35 сотрудников компании — мужчины, 20 — женщины»);
- замена фамилий и имён на условные идентификаторы (№1, №2, №3);
- преобразование базы клиентов в статистическую форму, где нельзя установить, кто именно совершал покупку;
- хранение обезличенных медицинских данных пациентов для научных исследований.
Обоснование по законодательству
- Ст. 3, п. 6 ФЗ-152 — обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность данных конкретному субъекту.
- Ст. 5 ФЗ-152 — принцип минимизации: обработка должна ограничиваться достижением конкретных целей, при этом рекомендуется по возможности использовать обезличивание.
- Ст. 6 ФЗ-152, ч. 1, п. 11 — допускает обработку ПДн без согласия субъекта, если они обезличены для статистических или исследовательских целей.
Практика проверок Роскомнадзора
- Медицинская организация передавала данные пациентов для статистики без обезличивания. Роскомнадзор признал нарушение, так как в базе сохранялись ФИО и даты рождения, позволяющие идентифицировать конкретных лиц.
- В вузе публиковались списки студентов с указанием номеров зачетных книжек без имён. Проверка подтвердила, что данные обезличены и не относятся к персональным.
Важный нюанс
Обезличивание должно быть необратимым или требовать специальных ключей доступа, которые хранятся отдельно. Если идентификация человека возможна даже косвенно (например, в базе указаны должности и даты рождения, позволяющие «догадаться» о личности), такие данные всё равно остаются персональными.
Рекомендации и выводы
Обезличивание — один из способов снизить риски при обработке персональных данных. Организации стоит:
- Применять обезличивание при передаче данных для статистики, аналитики, исследований.
- Использовать методы шифрования, кодирования и удаления идентификаторов.
- Разработать порядок обезличивания в комплекте документов по 152-ФЗ.
- Хранить ключи для восстановления связи с субъектами (если они нужны) отдельно и с ограниченным доступом.
Компания ICTech поможет вашей организации внедрить процедуру обезличивания данных и прописать её в документах по 152-ФЗ. Это позволит безопасно использовать данные для анализа и исследований без нарушения закона.
