Обезличивание персональных данных: что это, зачем и как сделать
Что такое обезличивание персональных данных по 152-ФЗ и чем оно отличается от удаления и псевдонимизации, зачем оно нужно бизнесу (аналитика и тестирование без согласия, снижение ущерба при утечке, исполнение требования об удалении), какие методы обезличивания признаёт Роскомнадзор и в чём риск обратной идентификации.
Обезличивание — недооценённый, но очень полезный инструмент работы с персональными данными. Оно позволяет законно использовать данные для аналитики и тестирования, снижает ущерб при утечке и помогает закрыть требование об удалении. Разберём, что это такое, зачем нужно и как сделать правильно.
Что такое обезличивание
По пункту 9 статьи 3 152-ФЗ обезличивание — это действия, в результате которых становится невозможно без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту. Проще говоря, данные остаются, но перестают указывать на конкретного человека.
Важно отличать обезличивание от соседних понятий:
- Удаление — данные уничтожаются полностью. При обезличивании сами данные остаются и могут использоваться дальше.
- Псевдонимизация — замена данных идентификатором, но с сохранением таблицы соответствия. Пока такая таблица существует и доступна, данные по-прежнему считаются персональными, и их нужно защищать.
Зачем это нужно бизнесу
- Аналитика и статистика. Обезличенные данные можно использовать для отчётов, BI и исследований без согласия субъектов и при существенно сниженных требованиях к защите (если сохраняется риск реидентификации, защита всё же нужна).
- Тестовые среды. Тестировать и обучать сотрудников на боевой базе с реальными ПДнПерсональные данные — Любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн). нельзя — для этого готовят обезличенный набор.
- Снижение ущерба при утечке. Если утёкший массив обезличен, вред субъектам и риски оператора резко ниже.
- Исполнение требования об удалении. По достижении цели обработки данные нужно удалить или обезличить — обезличивание законная альтернатива удалению, когда массив ещё нужен для статистики.
Как обезличивать: методы
Роскомнадзор в приказе №996 от 05.09.2013 закрепил основные методы обезличивания. На практике применяют:
- Метод идентификаторов — замена части данных условным идентификатором; таблица соответствия хранится отдельно и под усиленной защитой.
- Изменение состава и обобщение — замена точных значений диапазонами: вместо даты рождения возраст, вместо адреса регион.
- Декомпозиция — разбиение единого массива на части, хранящиеся раздельно.
- Перемешивание — перестановка значений между записями так, чтобы разорвать связь с конкретным человеком.
Риск обратной идентификации
Главная ошибка — мнимое обезличивание. Если по косвенным признакам (редкая должность, точный возраст плюс город, уникальная комбинация полей) человека всё равно можно вычислить, данные не обезличены и остаются ПДн. Обезличивание должно быть устойчивым к реидентификации. А если где-то сохраняется таблица соответствия, по которой личность можно восстановить, такие данные безопаснее считать псевдонимизированными и защищать как персональные: обезличивание оценивается по невозможности определить субъекта без использования дополнительной информации (статья 3 152-ФЗ).
Главное
Обезличивание — это способ продолжать пользоваться данными, сняв с них статус персональных. Оно полезно для аналитики, тестирования и снижения рисков, но требует, чтобы личность нельзя было восстановить.