Обезличивание персональных данных: что это, зачем и как сделать

Обезличивание — недооценённый, но очень полезный инструмент работы с персональными данными. Оно позволяет законно использовать данные для аналитики и тестирования, снижает ущерб при утечке и помогает закрыть требование об удалении. Разберём, что это такое, зачем нужно и как сделать правильно.

Что такое обезличивание

По пункту 9 статьи 3 152-ФЗ обезличивание — это действия, в результате которых становится невозможно без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту. Проще говоря, данные остаются, но перестают указывать на конкретного человека.

Важно отличать обезличивание от соседних понятий:

• Удаление — данные уничтожаются полностью. При обезличивании сами данные остаются и могут использоваться дальше.
• Псевдонимизация — замена данных идентификатором, но с сохранением таблицы соответствия. Пока такая таблица существует и доступна, данные по-прежнему считаются персональными, и их нужно защищать.

Зачем это нужно бизнесу

• Аналитика и статистика. Обезличенные данные можно использовать для отчётов, BI и исследований без согласия субъектов и без жёстких требований к защите.
• Тестовые среды. Тестировать и обучать сотрудников на боевой базе с реальными ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). нельзя — для этого готовят обезличенный набор.
• Снижение ущерба при утечке. Если утёкший массив обезличен, вред субъектам и риски оператора резко ниже.
• Исполнение требования об удалении. По достижении цели обработки данные нужно удалить или обезличить — обезличивание законная альтернатива удалению, когда массив ещё нужен для статистики.

Как обезличивать: методы

Роскомнадзор в приказе №996 от 05.09.2013 закрепил основные методы обезличивания. На практике применяют:

• Метод идентификаторов — замена части данных условным идентификатором; таблица соответствия хранится отдельно и под усиленной защитой.
• Изменение состава и обобщение — замена точных значений диапазонами: вместо даты рождения возраст, вместо адреса регион.
• Декомпозиция — разбиение единого массива на части, хранящиеся раздельно.
• Перемешивание — перестановка значений между записями так, чтобы разорвать связь с конкретным человеком.

Риск обратной идентификации

Главная ошибка — мнимое обезличивание. Если по косвенным признакам (редкая должность, точный возраст плюс город, уникальная комбинация полей) человека всё равно можно вычислить, данные не обезличены и остаются ПДн. Обезличивание должно быть устойчивым к реидентификации, а если вы используете таблицу соответствия — это псевдонимизация, и её нужно защищать как обычные персональные данные.

Главное

Обезличивание — это способ продолжать пользоваться данными, сняв с них статус персональных. Оно полезно для аналитики, тестирования и снижения рисков, но требует, чтобы личность нельзя было восстановить. ГрамотаИБ помогает встроить обезличивание в процессы и корректно оформить его в документах — попробовать можно в сервисе.