Дисклеймер: Статья носит информационный характер и не является юридической консультацией. Актуальность: октябрь 2026. Учтены изменения ФЗ № 420-ФЗ от 30.11.2024 (действуют с 30.05.2025).
Маркетолог интернет-магазина выгружает из CRM таблицу заказов за год и отправляет подрядчику «для аналитики». Фамилии он удалил, телефоны оставил: всё равно «просто цифры». Через неделю у подрядчика эта таблица уже лежит в общем облаке, а в ней адрес доставки, дата рождения и сумма чека. Вопрос, который здесь стоит задать: стала ли таблица обезличенной, или это те же персональные данные, только без одного столбца. От ответа зависит, нужно ли согласие, договор поручения и уведомление об утечке, если файл кто-то увидит.
Обезличивание персональных данных — один из немногих законных способов снизить нагрузку по 152-ФЗ. Но работает он только при честном выполнении условий, а формальное «убрали ФИО» к нему не относится.
Что такое обезличивание по закону
Определение дано в ст. 3 п. 9 152-ФЗ: это действия, после которых невозможно определить принадлежность данных конкретному субъекту без использования дополнительной информации.
Вся суть в последних словах. Закон не требует, чтобы вернуть личность было невозможно в принципе. Он говорит про невозможность без дополнительной информации. Если эта информация (ключ соответствия, таблица идентификаторов, исходная база) существует и хранится у вас, то данные обезличены, но не анонимны. Для закона это разные состояния.
Отсюда два практических вывода.
Первый. Пока у оператора есть ключ, обезличенные данные остаются рискованными: утечка ключа вместе с набором раскрывает всех. Поэтому ключ хранят отдельно, с ограниченным доступом, а лучше в другой системе.
Второй. Если ключ уничтожен и восстановить связь с человеком нельзя никакими разумными средствами, речь идёт уже об анонимных данных, и 152-ФЗ на них, по существу, не распространяется. Но добиться этого труднее, чем кажется: сочетания пола, даты рождения и почтового индекса хватает, чтобы в небольшом городе выделить одного человека.
Чем обезличивание отличается от псевдонимизации
Слово «псевдонимизация» из GDPR в российском законе не встречается. По сути, то, что многие называют псевдонимизацией (замена имени на код с сохранением таблицы соответствия), у нас и есть обезличивание в его мягкой форме. Различие такое:
- замена идентификатора кодом (клиент №48213 вместо Иванова) при сохранённой таблице: данные обезличены, ключ у оператора, риск остаётся высоким;
- агрегирование и удаление ключа (средний чек по району, возрастные группы вместо дат рождения): связь с человеком разорвана, риск минимальный.
Если вы работаете и с европейскими клиентами, посмотрите сравнение GDPR и 152-ФЗ: терминология там расходится сильнее, чем кажется.
Какие методы признаёт регулятор
Требования и методы обезличивания утверждены приказом Роскомнадзора № 996 от 05.09.2013. Он выделяет четыре метода:
- Введение идентификаторов. Часть сведений заменяется идентификаторами, а таблица соответствия хранится отдельно.
- Изменение состава или семантики. Точные значения заменяются обобщёнными: возраст 34 года превращается в «30–39», адрес до дома в город или район.
- Декомпозиция. Массив делят на части и хранят раздельно, так что полная картина собирается только при объединении.
- Перемешивание. Значения отдельных полей переставляют между записями, нарушая связь внутри строки.
На практике методы комбинируют. Для аналитики продаж обычно хватает второго и первого вместе: убрали ФИО и телефон, дату рождения заменили возрастной группой, адрес довели до города, а точный чек оставили. Для обучающей выборки нейросети нужен другой набор, и там уже важна проверка на перекрёстную идентификацию.
Один нюанс, который часто упускают. Приказ описывает методы, но не отвечает на вопрос «достаточно ли этого для вашего набора». Это вопрос оценки риска по конкретным данным, и ответственность за него лежит на операторе.
Когда обезличивание действительно помогает
Аналитика и отчёты. Обработка в статистических и иных исследовательских целях при условии обязательного обезличивания данных прямо названа основанием в ст. 6 ч. 1 п. 9 152-ФЗ. Для динамики продаж, воронок и когортного анализа имена не нужны, и обезличенная выгрузка снимает массу вопросов. Как выбирать основание под каждую цель, подробно разобрано в статье про шесть оснований обработки по ст. 6.
Передача подрядчику. Если нужно отдать данные на анализ внешней команде, обезличенный набор без ключа передавать безопаснее, чем живую базу. Но не стоит считать, что бумаги тогда не нужны: убедитесь, что реидентификация невозможна, и зафиксируйте условия. Когда подрядчик получает настоящие ПДн, нужен договор поручения с обязательными условиями.
Тестовые среды. Разработчикам часто отдают копию боевой базы. Это одна из частых причин утечек: тестовые серверы защищены хуже. Правильный путь: прогнать выгрузку через маскирование (фамилии, телефоны, e-mail заменяются случайными значениями) и только потом передавать.
Срок хранения. По достижении целей обработки данные подлежат уничтожению либо обезличиванию (ст. 5 ч. 7 152-ФЗ). Обезличивание позволяет сохранить статистическую ценность записей, не удерживая живые профили. Подробнее про сроки хранения и акт об уничтожении.
Где обезличивание не помогает
Несколько ситуаций, в которых его считают спасением, а оно им не является.
Данные остались идентифицирующими. Если в «обезличенной» таблице сохранены уникальный e-mail, номер телефона, номер заказа с привязкой к аккаунту или идентификатор устройства, то обезличивания нет. Хеш телефона без «соли» восстанавливается перебором за минуты: вариантов всего около десяти миллиардов.
Малая выборка. Набор из 40 сотрудников, где указаны должность, отдел и стаж, обезличить нельзя: «главный бухгалтер со стажем 12 лет» в компании один. Чем меньше группа, тем выше шанс вычислить человека по косвенным признакам.
Специальные категории и биометрия. Диагноз вместе с датой приёма в небольшом отделении тоже ведёт к конкретному человеку. С такими данными работайте по правилам ст. 10 и ст. 11, а при работе с медицинскими данными оценивайте риск реидентификации особенно строго.
Сам процесс обезличивания. Забывают простое: пока вы обезличиваете, вы обрабатываете персональные данные. Основание, согласие, если оно требуется, и меры защиты нужны и для самой этой операции. Обезличивание — действие над ПДн, а не способ их обойти.
Что должно быть оформлено внутри компании
Хорошая практика, которую проверяющие воспринимают как признак зрелости оператора:
- в политике и внутренних документах описано, в каких случаях и какими методами вы обезличиваете данные;
- назначен ответственный, у которого есть доступ к ключу соответствия;
- ключ хранится отдельно от обезличенного массива, доступ журналируется;
- есть правило проверки: перед выдачей набора наружу кто-то смотрит, можно ли выделить человека по сочетанию полей;
- в реестре обработки отдельной строкой отмечено, что цель реализуется на обезличенных данных.
Всё это укладывается в меры по ст. 18.1: оператор сам определяет состав мер, необходимых для выполнения закона, и обезличивание в этот перечень вполне входит.
Что будет, если сделать неправильно
Юридически «ненастоящее» обезличивание вскрывается в двух местах.
Первое: запрос или проверка Роскомнадзора. Вы говорите, что передали «обезличенный» набор. Регулятор запрашивает файл и находит в нём телефоны. Значит, это была обычная передача ПДн, и если основания для неё не было, действует ч. 1 ст. 13.11 КоАП: для юридических лиц штраф от 150 000 до 300 000 ₽.
Второе: утечка. Если «обезличенный» массив утёк, а потом выяснилось, что людей по нему можно установить, это утечка персональных данных. Тогда начинают идти сроки: 24 часа на уведомление РКН и 72 часа на результаты внутреннего расследования. Штрафы за утечки по ст. 13.11 КоАП после ФЗ № 420-ФЗ достигают 20 млн ₽, а при повторном нарушении оборотный штраф составляет от 1 до 3% выручки (не менее 20 млн и не более 500 млн ₽). Порядок действий описан в статье про реагирование на утечку.
Что делать прямо сейчас
Откройте выгрузки, которые ваша компания отправляет за пределы бухгалтерии и CRM: аналитикам, маркетинговым агентствам, подрядчикам по разработке. Для каждой ответьте на три вопроса. Какие поля позволяют выделить человека? Хранится ли где-то ключ и кто к нему имеет доступ? Что произойдёт, если файл окажется в открытом доступе? Первые же два-три файла почти всегда выявляют поля, которые никто не собирался передавать.
Знаете ли вы, какие данные ваш сайт и формы собирают прямо сейчас и что из этого можно обезличить? Запустите бесплатный аудит на соответствие 152-ФЗ → Аудит покажет, какие персональные данные собирает ваш сайт, на каком основании и каких документов не хватает.
Нормативные акты: Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (ст. 3, 5, 6, 10, 11, 18.1); Кодекс Российской Федерации об административных правонарушениях (ст. 13.11); Федеральный закон от 30.11.2024 № 420-ФЗ; приказ Роскомнадзора от 05.09.2013 № 996.