«Мы обезличили данные, значит, 152-ФЗ на них больше не распространяется» — заманчивый вывод, на котором строят рискованные решения. Обезличивание действительно снижает требования, но только настоящее и необратимое. Разберём, где проходит грань.
Что такое обезличивание по закону
Закон 152-ФЗ определяет обезличивание как действия, в результате которых без использования дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту. Ключевые слова здесь — «без использования дополнительной информации». Именно они определяют, освобождает обезличивание от обязанностей или нет.
🪤 Находка: обратимое обезличивание не освобождает от закона
Есть большая разница между двумя ситуациями. Если данные обработаны так, что восстановить личность нельзя вообще никак, — это анонимные данные, и они действительно выходят из-под 152-ФЗ. Но если данные лишь заменены на условные идентификаторы, а где-то хранится «ключ», позволяющий связать их обратно с человеком, — это обратимое обезличивание. Такие данные по-прежнему считаются персональными, потому что принадлежность к субъекту устанавливается «с использованием дополнительной информации» — того самого ключа.
На практике большинство бизнес-сценариев — именно обратимое обезличивание: заменили имя на ID клиента, но в другой таблице ID сопоставлен с реальным человеком. Это удобно и полезно для безопасности, но обязанности оператора по 152-ФЗ сохраняются.
Простой тест: можете ли вы или кто-то в компании снова связать «обезличенные» записи с конкретными людьми? Если да — данные остаются персональными, и все требования закона к ним применяются. По-настоящему свободны от 152-ФЗ только данные, которые нельзя вернуть к человеку никем и никак.
Зачем тогда обезличивать
Даже обратимое обезличивание полезно: оно снижает ущерб при утечке. Если утечёт таблица с идентификаторами вместо имён и телефонов, а «ключ» останется защищённым, реальный вред меньше. Это часть мер по безопасности данных, а не способ выйти из-под закона. Сокращать риск помогает и своевременное уничтожение данных, для которых цель уже достигнута, и сбор только необходимого.
Вопросы про обезличивание
Что такое обезличивание персональных данных?
Действия, в результате которых без использования дополнительной информации невозможно определить принадлежность данных конкретному субъекту (ст. 3 152-ФЗ). Ключевое — можно ли восстановить связь с человеком.
Освобождает ли обезличивание от требований 152-ФЗ?
Только если оно необратимо. Если данные лишь заменены на идентификаторы, а где-то хранится ключ для обратной связи с человеком, это обратимое обезличивание — данные остаются персональными, и обязанности оператора сохраняются.
Как понять, вышли ли данные из-под закона?
Простой тест: можете ли вы или кто-то в компании снова связать записи с конкретными людьми? Если да — данные остаются персональными. Свободны от 152-ФЗ только данные, которые нельзя вернуть к человеку никак.
Зачем обезличивать, если обязанности сохраняются?
Обезличивание снижает ущерб при утечке: если утечёт таблица с идентификаторами, а ключ защищён, реальный вред меньше. Это мера безопасности, а не способ выйти из-под закона.
Продукт по теме
Похожие материалы
Источники
- Федеральный закон от 27.07.2006 № 152-ФЗ, ст. 3 (определение обезличивания) — consultant.ru
Определение обезличивания сверено с текстом ст. 3 152-ФЗ на 11.07.2026. Разграничение обратимого и необратимого обезличивания — толкование определения «без использования дополнительной информации».