Обезличивание персональных данных — это процесс, при котором исключается возможность определить конкретное лицо без дополнительной информации. Чтобы подтвердить, что компания действительно провела обезличивание, одного технического действия недостаточно — требуется документальное оформление.
Ключевые документы, подтверждающие обезличивание ПДн:
- Приказ о проведении обезличивания — фиксирует решение руководителя о начале процедуры, назначает ответственных лиц.
- Регламент (порядок) обезличивания — внутренний документ, где описаны методы (например, введение идентификаторов, агрегация, перемешивание) и условия применения.
- Журнал учёта операций по обезличиванию — фиксирует дату, объём данных, ответственных исполнителей и применённый метод.
- Акт об обезличивании персональных данных — итоговый документ, подтверждающий, что конкретная база или массив данных был обезличен в соответствии с требованиями.
- Перечень обезличенных массивов — реестр, в котором фиксируются все наборы данных, переведённые в обезличенную форму, и их дальнейшее использование (например, для статистики или исследований).
Обоснование по законодательству
- Ст. 3 ФЗ-152 — даёт определение обезличивания ПДн.
- Ст. 5 ФЗ-152, ч. 7 — устанавливает обязанность уничтожать или обезличивать данные после достижения целей обработки.
- Ст. 19 ФЗ-152 — обязывает оператора применять меры защиты, включая документирование процедур.
- Постановление Правительства РФ № 1154 от 01.08.2025 — утверждает требования, методы и правила обезличивания ПДн, включая обязательность раздельного хранения обезличенных и исходных данных и применение закреплённых методик (метод введения идентификаторов, метод изменения состава, метод декомпозиции, метод перемешивания, метод преобразования).
Практика и подход Роскомнадзора
Роскомнадзор при проверках требует именно документы, подтверждающие факт обезличивания. Например, в одной организации данные клиентов для статистики были обезличены, но акт не составлялся — РКН признал нарушение. В другой компании велись приказы, журналы и акты, фиксирующие каждую процедуру — проверка подтвердила соответствие требованиям.
Что важно учесть компаниям
- Документы должны быть подписаны руководителем или ответственным за ПДн.
- В актах и журналах нужно указывать метод обезличивания.
- Доступ к справочникам идентификаторов (если используется метод введения идентификаторов) должен быть ограничен.
- Документы хранятся вместе с основным пакетом по 152-ФЗ и предъявляются по запросу надзорных органов.
Рекомендации и выводы
Да, факт обезличивания ПДн подтверждается внутренними документами: приказами, актами и журналами. Без них невозможно доказать, что оператор реально выполнил требование ФЗ-152. Чтобы всё было правильно:
- Разработайте регламент и утвердите методы обезличивания.
- Фиксируйте каждую операцию приказом и актом.
- Ведите журнал и реестр обезличенных массивов.
- Храните документы в составе пакета по 152-ФЗ.
Компания ICTech поможет вашей организации подготовить полный комплект документов по обезличиванию ПДн, включая приказы, акты и журналы, с учётом требований Постановления № 1154. Это позволит пройти проверку Роскомнадзора без нарушений и реально подтвердить законность процедур.
