Протокол обезличивания персональных данных — это документ, который фиксирует факт проведения процедуры обезличивания и служит доказательством того, что организация выполнила требования ФЗ-152 и Постановления Правительства РФ № 1154 от 01.08.2025. Наличие протокола требуется при проверках Роскомнадзора и позволяет показать, что оператор не только технически провёл обезличивание, но и документально зафиксировал процесс.
Что должно быть в протоколе обезличивания:
- Реквизиты документа — название («Протокол обезличивания персональных данных»), дата и номер.
- Основание — приказ руководителя или положение об обработке ПДн.
- Состав комиссии или ответственных — ФИО, должности сотрудников, участвующих в процедуре.
- Описание массива данных — какой набор ПДн обезличивался (например, база клиентов, список сотрудников).
- Метод обезличивания — с указанием одного из методов, утверждённых Постановлением № 1154 (введение идентификаторов, изменение состава, декомпозиция, перемешивание, преобразование).
- Результат обезличивания — подтверждение, что идентификация субъекта невозможна без дополнительной информации.
- Подписи ответственных — членов комиссии или назначенных исполнителей.
Обоснование по законодательству
- Ст. 3 ФЗ-152 — даёт определение обезличивания.
- Ст. 5 ФЗ-152, ч. 7 — устанавливает обязанность уничтожения или обезличивания данных по достижении целей обработки.
- Ст. 19 ФЗ-152 — предписывает применять организационные меры защиты, включая документирование.
- Постановление Правительства РФ № 1154 от 01.08.2025 — утверждает правила и методы обезличивания, обязательные к применению с 1 сентября 2025 года.
Практика проверок и позиция Роскомнадзора
Роскомнадзор при проверках запрашивает акты и протоколы, фиксирующие обезличивание. В одной компании процедура была проведена, но документального подтверждения не было — проверка выявила нарушение. В другой организации протокол содержал описание метода и результаты процедуры, что было признано соответствующим требованиям.
Что важно учесть при оформлении
- Протокол должен храниться вместе с актом об обезличивании и журналом учёта операций.
- Важно указывать конкретный метод из Постановления № 1154, а не общие фразы «данные обезличены».
- Если используется метод введения идентификаторов, справочник соответствия хранится отдельно и доступ к нему ограничен.
- Подписывать протокол должен ответственный за ПДн и, при необходимости, члены комиссии.
Рекомендации и выводы
Да, протокол обезличивания — обязательный документ, подтверждающий соблюдение требований закона. Чтобы его оформить правильно:
- Утвердите форму протокола приказом руководителя.
- Включите все обязательные реквизиты: основание, массив данных, метод, результат.
- Обеспечьте подписи ответственных лиц.
- Храните протокол в составе документации по ФЗ-152.
Компания ICTech подготовит для вашей организации шаблон протокола обезличивания ПДн и встроит его в общий пакет документов по ФЗ-152, что позволит доказать соответствие требованиям при проверке и избежать штрафов.
