Представители бизнеса составили отзыв на приказ Роскомнадзора, определяющий для них правила обезличивания персональных данных. Они предложили оставить открытым список методов деперсонализации такой информации и сформулировать критерии конечного результата.

Правила обезличивания данных для бизнеса

Представители бизнеса просят Роскомнадзор расширить перечень методов, которыми можно деперсонализировать данные клиентов и сотрудников, а также определить критерии конечного результата обезличивания, выяснил Forbes.

Предложения сформулированы в отзыве к проекту приказа Роскомнадзора, опубликованный ведомством 16 апреля 2025 г., который содержит требования по обезличиванию для бизнеса.

В 2013 г. Роскомнадзор определил методы обезличивания для госорганов, а для коммерческих компаний отдельного нормативного акта, который бы определял эти методы обезличивания, не издал, потому что у ведомства не было соответствующих полномочий — они появились с принятием поправок в закон «О персональных данных» в августе 2024 г., пояснил эксперт по защите персональных данных и соучредитель Regional Privacy Professionals Association (RPPA) Алексей Мунтян.

Восьмого августа 2024 г. был принят закон о федеральном «госозере» данных (поправки к закону «О персональных данных»). Он гласит, что отдельная госинформсистема будет содержать обезличенную информацию и в том числе пополняться данными бизнеса о сотрудниках и клиентах, получаемыми на безвозмездной основе.

Открытый список методов

Среди предложенных Роскомнадзором методов — введение идентификаторов (то есть замена уникальных сведений, например номеров телефонов кодами или другими обозначениями); изменение состава или семантики персональных данных (с изменением уникальных данных о человеке); метод перемешивания (перестановки отдельных сведений между собой), а также возможность просто удалять все напрямую идентифицирующие человека сведения.

Это не новый подход, так как он дублирует утвержденные методы из приказа Роскомнадзора от 2013 г. для госорганов, считает управляющий партнер Comply Артем Дмитриев. В качестве нового метода в рассматриваемых нормативных правовых актах выступает только преобразование, то есть обобщение, уточнил он. «При этом более технологичные подходы, например метод дифференциальной приватности, основанный на математическом моделировании «шума» и применяемый в аналитике больших данных, пока в российской методике не учитываются», — добавил эксперт.

Судя по отзывам, крупный бизнес хочет, чтобы набор методов обезличивания «был открытым, чтобы компании сами могли их выбирать», прокомментировал Мунтян.

Директор юридического департамента DRC Ольга Захарова отметила, что открытость перечня методов обусловлена развитием технологий и появлением новых решений, это позволит внедрить более совершенные техники обезличивания персональных данных.

В Роскомнадзоре считают, что «на сегодня в акте перечислены проверенные, подтвердившие свою безопасность для граждан методы», открытый перечень методов обезличивания «не будет отвечать принципу правовой определенности», а в «случае появления новых, отвечающих требованиям безопасности методов в акт могут быть внесены соответствующие изменения.

Оценивать не процесс, а результат

Бизнес хочет также, чтобы Роскомнадзор контролировал не то, как они обезличивают данные, а сам результат этого процесса. «Это желание понятно, бизнес сейчас много инвестирует в новые технологии обработки данных», — сказал Мунтян.

В приказе отсутствуют четкие критерии требований к конечным результатам обезличивания, а также не указано, какими способами проверять эффективность и безопасность выбранных методов, по мнению комиссии по связи Российского союза промышленников и предпринимателей (РСПП): «Без таких критериев и рекомендаций любое обезличивание можно будет признать некачественным и не соответствующим требованиям».

В Ассоциации больших данных (АБД) предложили проверять эффективность и безопасность выбранных методов с помощью оценки риска деобезличивания владельца данных: «Результаты такой оценки позволяют математически рассчитать вероятность выделения информации о конкретном человеке в обезличенном наборе данных с учетом потенциальных угроз и атак и обеспечить надлежащий уровень защищенности персональных данных».

Захарова отметила, что очень сложно установить четкие критерии невозвратности обезличивания: «Оно заключается в том, что всегда есть «ключ», который позволяет этот процесс сделать обратимым. Главный вопрос заключается в обеспечении сохранности этих «ключей», то есть раздельного хранения массивов исходных персональных данных и тех, что обезличены, а также в исключении возможности консолидации участников, владеющих этими данными».