Что такое обезличивание персональных данных?
Персональные данные – это любые сведения, относящиеся прямо или косвенно к определенному физическому лицу (субъекту персональных данных) (ч. 1 ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ (далее – Закон № 152-ФЗ).
Обезличивание персональных данных – это процесс обработки информации, при котором персональные данные физического лица преобразуются таким образом, чтобы исключить возможность их прямой или косвенной привязки к конкретному человеку без использования дополнительной информации. Иными словами, под обезличиванием персональных данных понимаются действия, в результате которых становится невозможно идентифицировать лицо, которому эти данные принадлежат.
Обезличивание является одной из целей обработки персональных данных, перечисленных в ст. 3 Закона № 152-ФЗ. Перед началом процедуры обезличивания необходимо убедиться в том, что такая цель была указана в уведомлении о намерении осуществлять обработку персональных данных, поданном в Роскомнадзор. Если такая цель в уведомлении указана не была, то необходимо подать новое уведомление. О том, как это сделать, читайте здесь.
Обработка персональных данных без представления в Роскомнадзор соответствующего уведомления может стать основанием для привлечения оператора к административной ответственности на основании ст. 19.7 КоАП РФ.
После того как данные были обезличены, они перестают быть персональными данными, определяемыми Законом № 152-ФЗ, т. к. к ним больше нельзя прямо или косвенно применить определение "информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу" (п. 1 ст. 3 Закона № 152-ФЗ). Кроме того, в соответствии с пп. 9 ч. 1 ст. 6 Закона № 152-ФЗ обработка персональных данных может осуществляться без получения согласия субъекта, если она осуществляется в статистических или иных исследовательских целях, при условии обязательного обезличивания персональных данных. Следовательно, получать у субъекта персональных данных согласие на обработку обезличенных данных не нужно.
В каких случаях применяется обезличивание?
Спектр ситуаций, когда необходимо обезличивание персональных данных, достаточно широк. Обезличенные данные могут понадобиться, в частности (п. 9, 9.1 ч. 1 ст. 6, п. 2.1 ст. 10 Закона № 152-ФЗ):
- для анализа потребительского поведения в маркетинговых исследованиях;
- проведения научных и медицинских исследований;
- трансграничной передачи данных в страны, которые не обеспечивают необходимый уровень защиты персональных данных;
- аудита деятельности организации (как внутреннего, так и внешнего) для оценки эффективности работы или предотвращения возможных нарушений;
- публикации открытых данных госорганами (демографическая или социальная статистика и т. д.);
- разработки и обучения моделей искусственного интеллекта;
- обеспечения безопасности информационных систем (обычно используются для их тестирования и оптимизации);
- передачи данных в государственную информационную систему Минцифры России.
Таким образом, обезличивание персональных данных может происходить как по инициативе самого оператора персональных данных, так и по запросу государственных органов, например, Минцифры России.
Перечень целей сбора обезличенных данных Минцифры России приведен в постановлении Правительства России от 24.04.2025 № 538. Согласно этому документу, министерство может запросить такие данные для:
- для защиты населения и охраны общественного порядка при угрозе возникновения ЧС, а также при введении режима ЧС;
- противодействия терроризму;
- введения карантина для предупреждения распространения инфекционных заболеваний;
- статистических и других исследований в сфере туризма;
- реализации государственной миграционной политики;
- исследований в области обеспечения санитарно-эпидемиологического благополучия населения.
Обработка персональных данных, касающихся состояния здоровья, полученных в результате обезличивания персональных данных, допускается в целях повышения эффективности государственного или муниципального управления (ч. 2.1 ст. 10 Закона № 152-ФЗ). Существует как общий порядок обезличивания персональных данных, который должен соблюдаться во всех случаях их обезличивания, так и специальный порядок обезличивания, когда оно осуществляется по запросу Минцифры России. Подробнее об этом читайте в статьях:
Обезличивание персональных данных – обязанность оператора персональных данных, который либо хочет использовать их в собственных целях (например, для сбора статистики), либо делает это в силу требования закона (по запросу Минцифры России). Если персональные данные нужны для обработки самому оператору, но при этом он не желает их обезличивать, то требуется соблюсти все требования закона к обработке персональных данных (получить согласие на их обработку, обеспечить их конфиденциальность и цели обработки и т. д.).
Какие персональные данные нельзя обезличить?
Не допускается обезличивание специальных категорий персональных данных, перечисленных в ст. 10 Закона № 152-ФЗ, например, персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, а также биометрических персональных данных (ч. 1 ст. 13.1 Закона № 152-ФЗ).