Обезличивание персональных данных и 152-ФЗ

Что закон называет обезличиванием

Персональные данные относятся к человеку, которого можно определить прямо или косвенно. Поэтому в договоре значение имеют не только ФИО и паспорт, но и совокупность других сведений. Определения персональных данных, их обработки и обезличивания содержатся в статье 3 закона № 152-ФЗ.

Смысл обезличивания по пункту 9 статьи 3 — сделать определение принадлежности данных конкретному человеку невозможным без дополнительной информации. Важен результат преобразования всего выбранного набора сведений. Само название файла «обезличенный» и наличие маркеров этот результат не подтверждают.

Обезличивание само включено законом в понятие обработки персональных данных. Основание и порядок обработки нужны также на этапе подготовки исходного документа. [1, статья 3]

Почему убрать ФИО бывает недостаточно

Представьте вымышленную запись: «Единственный руководитель филиала в небольшом городе, выступавший на открытом мероприятии в определённый день». Даже без имени это сочетание может позволить узнать человека. Проверять нужно не отдельные слова, а возможность связать оставшийся текст с конкретным лицом.

Для договора такая проверка включает роли участников, адрес объекта, подробности сделки, редкие события, даты и ссылки на открытые документы. Одна деталь может быть обычной, а несколько вместе — узнаваемыми.

Практический вопрос для проверки: сможет ли получатель сопоставить этот фрагмент с открытым источником или уже известной ему информацией? Если сможет, измените состав передаваемых сведений, уберите ненужную подробность или подготовьте более общий пример. После этого проверьте, осталось ли достаточно информации для самой задачи.

Сведения о юридическом лице сами по себе не становятся персональными данными только из-за нахождения в договоре. Но имена сотрудников, личные контакты и сведения об индивидуальном предпринимателе могут относиться к определяемому человеку. Коммерческую тайну и договорную конфиденциальность также оценивают отдельно от вопроса о персональных данных. [1, пункт 1 статьи 3]

Какие требования учитывать

С 1 сентября 2025 года действует приказ Роскомнадзора от 19.06.2025 № 140. Он утвердил требования и методы обезличивания, за исключением случаев из пункта 9.1 части 1 статьи 6 закона № 152-ФЗ. Прежний приказ № 996 признан утратившим силу. [2, пункты 1–3]

Для процесса, на который распространяется приказ № 140, оператору необходимо, в частности:

• определить состав данных и людей, к которым они относятся, и оценить достаточность выбранного метода;
• обеспечить безопасность и конфиденциальность при автоматизированной обработке;
• исключить совместное хранение исходного массива и результата обезличивания;
• учитывать выполненные действия и принять необходимые локальные акты о порядке работы. [2, приложение № 1]

Что означает таблица замен

Метод введения идентификаторов предусматривает замену определяющих человека данных кодами или другими обозначениями. Ключ соответствий оператор хранит отдельно от исходного массива, в отношении которого проведено обезличивание, и не передаёт третьим лицам. Поэтому таблица «маркер → исходное значение» требует отдельного порядка хранения и доступа. [2, приложение № 2, пункты 2–3]

Когда применяется постановление № 1154

Постановление Правительства РФ от 01.08.2025 № 1154 регулирует специальный порядок при получении требования Минцифры о предоставлении обезличенных данных в соответствии с частью 2 статьи 13.1 закона № 152-ФЗ. Эту процедуру следует рассматривать отдельно от обычной подготовки договорной выдержки для ИИ-сервиса. [3, пункт 1 требований]

Можно ли передать подготовленную копию нейросети

Универсального ответа только по наличию маркеров нет. Сначала оцените, остаётся ли человек определяемым в конкретной копии. Затем установите, кому и для какой цели передаётся информация и какие ограничения действуют в вашей организации.

Если передаются персональные данные, требуется подходящее основание по статье 6, соблюдение конфиденциальности по статье 7 и применимых мер безопасности по статье 19. Когда сервис обрабатывает данные по поручению оператора, отдельно проверяются условия такого поручения по части 3 статьи 6. При трансграничной передаче действуют требования статьи 12. [1]

Для оценки выбранного сервиса выясните:

• кто получает введённый текст и загружаемые файлы, в каких целях и на какой срок;
• где и кем информация обрабатывается, кому может предоставляться доступ;
• какие договорные условия, настройки хранения и удаления применяются именно к вашему варианту использования;
• разрешена ли передача с учётом договора с контрагентом и внутренних правил.

Это вопросы для проверки условий конкретного сервиса. Нельзя заранее считать, что любой ИИ-чат одинаково использует данные или что одна настройка хранения решает все вопросы передачи.

Рабочая памятка перед отправкой документа

1. Зафиксируйте цель. Какой вопрос решается и какой фрагмент действительно нужен? Принцип соответствия объёма данных цели закреплён в статье 5 закона. [1]
2. Определите основание и допустимого получателя. Согласуйте спорные случаи с ответственным за обработку данных до загрузки файла.
3. Выберите преобразования. Решите, какие значения заменить идентификаторами, какие подробности удалить или обобщить и как проверить достаточность результата.
4. Организуйте хранение. Определите места хранения исходника, результата и ключа соответствий, круг доступа и сроки. Учитывайте требования применимого порядка обезличивания.
5. Проверьте готовую копию. Просмотрите основной текст, повторяющиеся значения, косвенные признаки, изображения, примечания и имя файла.
6. Передайте только проверенный результат. Исходник, ключ и пояснения, раскрывающие скрытые значения, в состав отправки не включайте.
7. Сохраните сведения о проверке. В установленной в организации форме отметьте выполненные действия и результат оценки.

Пошаговый учебный пример замены данных и проверки ответа — в статье «Как обезличить договор перед отправкой в нейросеть».

Какую часть работы выполняет программа

«Обезличиватель» помогает найти сведения в документе, просмотреть находки, добавить пропущенные фрагменты вручную, выполнить замены и восстановить значения в ответе. Результат автоматического поиска проверяет человек.

Правовое основание, оценка достаточности метода для конкретного набора данных, локальные акты, правила раздельного хранения и условия доступа относятся к организации процесса обработки. Наличие программы или сохранённого проекта само по себе не подтверждает выполнение всех этих требований.

Поэтому программу следует рассматривать как инструмент подготовки документов. Для регламентированного обезличивания оператор отдельно проверяет, как выбранный способ и организация работы выполняют применимые требования.