Обезличивание входит в понятие обработки персональных данных. Его главная цель — исключить возможность прямо или косвенно установить физическое лицо (п. п. 3, 9 ст. 3 Закона о персональных данных).

Обезличивание персональных данных — это действия, в результате которых невозможно без дополнительной информации определить их принадлежность субъекту. Например, данные об Иванове Иване Ивановиче, 01.01.1983 года рождения, место жительства: Энская область, г. Энск, ул. Садовая, д. 5, вы можете заменить такой информацией: И.И.И., 1983 года рождения, место жительства: Энская область.

В то же время обезличенные данные не перестают быть объектом регулирования законодательства РФ в области персональных данных. Это связано с тем, что процесс обратим. Зная метод, правила и алгоритмы обезличивания, вы как оператор (иное лицо) можете привести их к исходному виду, позволяющему идентифицировать субъекта. Поэтому и в отношении данных, полученных в результате обезличивания, учитывайте требования законодательства.

В каких случаях оператор обезличивает персональные данные

Вы как оператор должны обезличить персональные данные, если эта обязанность возложена на вас федеральными законами, в частности Законом о персональных данных. В иных случаях решение обезличивать персональные данные или нет вы принимаете по своей инициативе (ч. 7 ст. 5, п. п. 9, 9.1 ч. 1 ст. 6, ч. 2.1 ст. 10, ч. 1 ст. 13.1 Закона о персональных данных).

Когда оператор обязан обезличить персональные данные

Вы обязаны обезличить персональные данные по требованию Минцифры России об их предоставлении. Цель такого требования — сформировать составы обезличенных данных, которые сгруппированы по определенному признаку таким образом, что их последующая обработка не позволит определить принадлежность конкретному субъекту. Такие составы данных Минцифры России формирует в определенных Правительством РФ случаях по решению уполномоченных лиц или Правительственной комиссии по предупреждению и ликвидации ЧС и обеспечению пожарной безопасности.

Свое взаимодействие с Минцифры России вы можете организовать различными способами, например через личный кабинет в этой информсистеме. Также определены способы взаимодействия информсистемы оператора с ЕИП НСУД, в которую должны быть предоставлены обезличенные персональные данные.

Если вам как оператору персональных данных поступило требование Минцифры России, вы обязаны обезличить персональные данные и направить их в ЕИП НСУД. Если у вас нет доступа к ЕИП НСУД и вы не подключены к системе межведомственного электронного взаимодействия (СМЭВ), срок предоставления обезличенных данных, указанный в требовании Минцифры России, должен быть не менее 30 рабочих дней, а в остальных случаях — не менее пяти рабочих дней (п. 3 Правил, утвержденных Постановлением Правительства РФ от 26.06.2025 N 966).

Чтобы исполнить требование, вам нужно сделать следующее (ч. 3, 4 ст. 13.1 Закона о персональных данных, п. 4 Правил, утвержденных Постановлением Правительства РФ от 26.06.2025 N 966):

• обезличить персональные данные с соблюдением Требований, Правил и Методов обезличивания, установленных Постановлением Правительства РФ от 01.08.2025 N 1154 (с учетом содержания требования);
• подписать обезличенные данные УКЭП;
• предоставить такие данные в ЕИП НСУД с использованием личного кабинета в этой информсистеме или СМЭВ. Если нет технической возможности подключиться к ним, передайте данные нарочным в адрес Минцифры России на съемном носителе, соблюдая меры по защите информации.

Если запрошенных данных у вас нет, в течение пяти рабочих дней со дня получения требования направьте мотивированный отказ. Если нет только части данных, направьте отказ в отношении этой части и предоставьте те данные, которые есть (п. 5 Правил, утвержденных Постановлением Правительства РФ от 26.06.2025 N 966).

Есть и иные случаи, когда вы должны обезличить персональные данные. Порядок и условия их обезличивания определены специальными законами, в частности, в рамках экспериментальных правовых режимов. Они применяются, если на вас как оператора и субъекта (участника) этого режима распространяются такие требования. Также, например, при закупке лекарственных препаратов или медизделий для пациента по медицинским показаниям оператор, являющийся заказчиком, обязан разместить в реестре контрактов обезличенное решение врачебной комиссии (п. 28 ч. 1 ст. 93, п. 14 ч. 2 ст. 103 Закона о контрактной системе).

Какие методы обезличивания персональных данных может применять оператор

При обезличивании данных вы можете применять следующие методы:

• метод введения идентификаторов. Персональные данные субъекта заменяют постоянным или временным идентификатором (кодом, номером) или иным обозначением. Например, Иванову Ивану Ивановичу оператор присваивает ID 123 либо заменяет на И.И.И.

Чтобы сопоставить идентификатор с исходными данными и деобезличить их, нужен ключ (таблица или справочник). Его надо хранить отдельно от обезличенных данных. Передавать ключ третьим лицам запрещено;

• метод изменения состава или семантики. Персональные данные, которые имеют количественные или качественные значения (атрибуты персональных данных), удаляют, искажают или изменяют. Например, из совокупности персональных данных субъектов удаляют сведения, которые относятся к их возрасту (вместо даты рождения — только год), уровню образования (вместо подробных данных об образовании — указание на его уровень (среднее, высшее и др.), или заменяют данные средними значениями.

Для использования метода нужно выделить атрибуты персональных данных и определить правила их удаления, искажения или замены. Задача — изменить исходные данные так, чтобы сохранить их аналитическую значимость, но исключить конкретику;

• метод перемешивания. Отдельные значения данных или их группы переставляют между собой. Необходимо разработать правила перемешивания и их алгоритмы;
• метод декомпозиции. Массив персональных данных разбивают на части, которые хранят раздельно. Например, в одном месте хранят Ф.И.О. и ID, в другом — ID и контактную информацию.

Для реализации этого метода надо разработать правила разбивки записей персональных данных, установить соответствие между записями, которые должны храниться в разных местах, и определить места раздельного хранения;

• метод преобразования. Он состоит в обобщении (агрегации) атрибутов персональных данных. Например, вводятся диапазоны данных, сводные категории или группировки, которые не позволяют без знания правил преобразования определить субъекта (собрать его атрибуты). Метод является дополнительным к иным.

Выбирайте методы обезличивания с учетом полученного от Минцифры России требования. При обезличивании по своей инициативе можете выбрать их по своему усмотрению (ч. 12 ст. 23 Закона о персональных данных, п. п. 6, 7, 9 Правил, установленных Постановлением Правительства РФ от 01.08.2025 N 1154, пп. 3 п. 1 Требований, утвержденных Приказом Роскомнадзора от 19.06.2025 N 140).

Более подробно с данным материалом Вы можете ознакомиться в СПС КонсультантПлюс

Готовое решение: В каких случаях и как оператор должен обезличивать персональные данные (КонсультантПлюс, 2026) {КонсультантПлюс}