разработанном проекте приказа, отмечает Бедеров. Роскомнадзор разработал перечень методов и требований к обезличиванию персональных данных. Проект приказа был опубликован 27 марта на портале проектов нормативных правовых актов.
Согласно проекту, оператор персональных данных должен гарантировать, что после обезличивания данные не могут быть восстановлены без дополнительной информации. Также оператор обязан использовать системы, обеспечивающие безопасность таких данных.
Кроме того, операторам запрещается совместное хранение исходных и обезличенных данных. Все действия по обезличиванию должны фиксироваться и подтверждаться.
Среди основных методов ведомство выделяет введение идентификаторов с переменным значением, семантическое изменение состава данных, их искажение, перемешивание или удаление.
В частности, теперь требуется более детально регламентировать, как изменяются и обрабатываются данные, чтобы исключить возможность восстановления исходных сведений.
В августе 2024 года президент России подписал закон, который вносит изменения в закон «О персональных данных» и устанавливает особенности обработки и оборота обезличенных персональных данных. Закон вступает в силу 1 сентября 2025 года.
Операторы данных должны будут по требованию Минцифры обезличивать информацию, а правила этого устанавливаются правительством по согласованию с ФСБ. В свою очередь, Минцифры будет формировать наборы обезличенных данных по определённому признаку для работы с ними, а также будет обязано обеспечить конфиденциальность этих данных.
В Минцифры отметили, что такое обезличивание данных полностью исключает возможность установления личности. Эти наборы ведомство будет предоставлять разработчикам алгоритмов искусственного интеллекта для обучения моделей в государственных или коммерческих целях.
Принятый закон также подразумевает создание государственной защищённой платформы для обработки обезличенных персональных данных. В середине февраля 2025 года Минцифры уточнило, что доступ к платформе получат государственные органы, а также российские компании, прошедшие «крайне строгую» проверку.
Сами по себе методы обезличивания, описанные в проекте приказа, ничем не отличаются от методов, ранее уже введённых 996-м приказом Роскомнадзора в 2013 году, говорит бизнес-консультант по безопасности Positive Technologies Алексей Лукацкий.
«Разве что исключён метод декомпозиции, а шифрование или хэширование данных, которые во всём мире относятся к методам обезличивания, у нас так и не включены в перечень», — уточнил эксперт.
К новациям можно отнести требование использования специальных информационных систем или программного обеспечения, которое будет осуществлять процедуру обезличивания, отмечает Алексей Лукацкий.
«Учитывая появившуюся недавно новость о предоставлении Минцифры специального программного обеспечения для обезличивания, не исключаю, что к такому программному обеспечению будут предъявлены в будущем требования вплоть до сертификации, которые выполнить будет непросто, как и интегрировать в существующие технологические и бизнес-процессы», — отметил эксперт.
Согласно позиции Роскомнадзора, разницы между обезличенными и персональными данными с точки зрения предъявляемых к ним требований нет, что в целом ставит вопрос о смысле обезличивания персональных данных, которые всё равно продолжают оставаться ими, подчёркивает Алексей Лукацкий.
В проекте приказа отсутствуют критерии требований к результатам обезличивания, также не указано, какими способами проверять эффективность и безопасность выбранных методов обезличивания, говорит представитель Ассоциации больших данных (объединяет «Сбер», «Яндекс», VK и другие компании).
По словам представителя ассоциации, необходимы утверждённые Роскомнадзором способы определения риска повторной идентификации и показатели устойчивости обезличенных данных, а также рекомендации Роскомнадзора о приемлемых уровнях этих параметров. Без таких критериев и рекомендаций любое обезличивание можно будет признать некачественным и не соответствующим требованиям, пояснил эксперт.
Перечисленные методы не содержат современных методов обезличивания и анонимизации данных, а скорее относятся к псевдонимизации и не гарантируют низкого риска раскрытия данных, считают в ассоциации. Кроме того, перечень обезличивания должен быть открытым, в противном случае это будет сдерживать развитие технологий повышения конфиденциальности и развитие рынка данных в России, отмечает представитель ассоциации.
Предлагаемые Роскомнадзором требования являются стандартными и формализованными, их нарушение слишком легко выявить, чтобы предполагать их несоблюдение, говорит директор департамента расследований T.Hunter Игорь Бедеров. Но среди сложно выполнимых требований Роскомнадзора он отметил гарантию невозможности восстановления данных без дополнительной информации: такое требование является важным, но, как показал опыт GDPR (общий регламент по защите данных в ЕС), проблемным.
«Зачастую ИТ-компания не может просчитать, как обезличенные данные могут быть использованы третьими лицами. Как показывает практика, по мере сбора больших данных возникают новые возможности для сопоставления обезличенных данных и идентификации субъектов персональных данных», — уточняет он.
Второе сложно выполнимое требование — это исключение косвенного восстановления, продолжает Игорь Бедеров: даже при обезличивании данные могут сохранять структурные связи или статистические закономерности, позволяющие идентифицировать субъекта через анализ контекста или комбинацию с внешними источниками.
В 996-м приказе Роскомнадзора было явно прописано требование обратимости обезличенных данных (деобезличивание), которое отсутствует в новом разработанном проекте приказа, отмечает Игорь Беде