Обезличивание по 152-ФЗ: когда токены ещё персональные данные, а когда уже нет

Что такое обезличивание по 152-ФЗ

Обезличивание по 152-ФЗ — это действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту. Так оно определено в пункте 9 статьи 3 закона.

Ключевые слова здесь — «без использования дополнительной информации». Закон не требует, чтобы связь с человеком была уничтожена навсегда. Он требует, чтобы по самим обезличенным данным личность установить было нельзя. Дополнительная информация — таблица соответствий, ключ шифрования, словарь псевдонимов — может существовать, но должна храниться отдельно.

Отсюда главный практический вывод: статус данных зависит от того, кто на них смотрит и что у него есть.

Когда токены — ещё персональные данные

Токены остаются персональными данными для того, у кого есть таблица соответствий. Для того, у кого её нет, это обезличенные данные.

Возьмём фразу «Заказчик [ФИО_1], тел. [ТЕЛЕФОН_1]». Если вы отправили её ИИ-сервису, определить, о ком идёт речь, ему существенно затруднено: не хватает дополнительной информации (если в тексте не осталось косвенных признаков). Но у вас, как у оператора, хранится таблица «[ФИО_1] → Смирнова Анна Викторовна». Для вас эта строка по-прежнему содержит персональные данные, и все обязанности оператора сохраняются.

Такой подход в международной практике называют псевдонимизацией. В 152-ФЗ отдельного термина нет, но по смыслу он укладывается в определение обезличивания: идентификаторы заменены, а исходные значения хранятся отдельно.

Обратимые и необратимые методы обезличивания

Обратимые методы позволяют вернуть исходные данные по ключу или таблице, необратимые — нет. Выбор зависит от задачи: для работы с ИИ нужна обратимость, для передачи данных на тестирование или в аналитику — чаще нет.

Ниже — сравнение семи режимов замены, которые использует LEXARIS, с точки зрения обратимости и статуса данных.

Важная оговорка про необратимые методы: они убирают связь только для заменённых полей. Если в тексте остались редкие сочетания признаков — должность, город, дата события, — человека иногда можно узнать по контексту. Поэтому результат любого метода стоит проверять целиком. Подробно о каждом режиме — в гайде 7 способов замены персональных данных, а краткий обзор — в разделе режимы замены.

Методы обезличивания по Приказу РКН № 140

Приказ Роскомнадзора № 140, принятый в 2025 году, устанавливает требования к обезличиванию и методы, которыми его можно выполнять. Среди них — метод введения идентификаторов, метод изменения состава или семантики, метод декомпозиции и метод перемешивания.

• Введение идентификаторов — замена сведений идентификаторами с отдельным хранением таблицы соответствий. По смыслу это то, что делают токены и псевдонимы.
• Изменение состава или семантики — обобщение, замена или удаление части сведений. Сюда близки маскирование и замена синтетическими значениями.
• Декомпозиция — разделение набора данных на части, которые хранятся раздельно.
• Перемешивание — перестановка отдельных значений между записями.

Соотнесение конкретного технического режима с методом из приказа — вопрос оценки в вашей организации. Перед тем как ссылаться на приказ во внутренних документах, проверьте его актуальную редакцию на портале официального опубликования.

Реестр обезличивания: как подтвердить свои действия

Реестр обезличивания фиксирует, какие данные, когда и каким методом были обезличены. Он нужен, чтобы при проверке показать не только результат, но и процедуру.

В LEXARIS для каждого задания формируется акт об обезличивании с указанием применённого метода, а реестр помогает документировать обезличивание по Приказу РКН № 140. Реестр можно выгрузить в PDF или CSV, а также в формате SMEV-XML для ЕИП НСУД (подключение к СМЭВ — на стороне оператора), если ваша организация передаёт туда обезличенные данные. Реестр не заменяет внутренние документы — политику обработки, приказы и оценку вреда, — но экономит время на сборе фактов.

Частые заблуждения об обезличивании

Вокруг обезличивания много упрощений, которые приводят к неверным решениям. Три самых распространённых:

• «Обезличенные данные — больше не персональные». Это верно только для того, у кого нет дополнительной информации. Оператор, хранящий таблицу соответствий, продолжает обрабатывать персональные данные.
• «Достаточно убрать ФИО». Человека можно определить по номеру телефона, СНИЛС, адресу, реквизитам счёта и даже по сочетанию должности, города и даты. Заменять нужно все идентифицирующие сведения, а не только имя.
• «Чёрный прямоугольник в PDF — это обезличивание». Если под прямоугольником остался текстовый слой или исходное изображение, данные можно извлечь. В сканах данные нужно закрашивать в самом изображении.

Отдельно стоит помнить, что таблица соответствий сама по себе — массив персональных данных. Её утечка обнуляет смысл обезличивания, поэтому хранить её нужно не менее защищённо, чем исходные документы.

Что это значит для юриста и DPO

Для юриста и ответственного за обработку персональных данных обезличивание — инструмент снижения рисков, а не способ вывести данные из-под закона. Особенно когда метод обратим.

1. Определите, у кого дополнительная информация. Если таблица соответствий хранится у вас, для вас данные остаются персональными. Если её нет ни у кого, это уже необратимое обезличивание.
2. Разведите данные и ключи. Получатель обезличенного текста не должен иметь доступа к таблице. Максимальное разделение даёт режим, в котором ключи хранятся только в вашем браузере, — см. гайд «Ключи у вас».
3. Выбирайте метод под задачу. Для работы с ИИ — токены; для тестовых баз — синтетика; для отчётов — агрегаты с дифференциальной приватностью.
4. Документируйте. Реестр, описание метода и места хранения ключей пригодятся при проверке и при расследовании инцидента.
5. Помните о трансграничной передаче. Отправка обезличенного текста зарубежному ИИ-сервису снижает риск, но не исключает квалификацию как трансграничной передачи (ст. 12 закона № 152-ФЗ); оцените с юристом, нужно ли уведомление РКН.

Обезличивание также влияет на последствия возможной утечки: документ с токенами без таблицы раскрывает гораздо меньше. Как это соотносится с действующими штрафами, разобрано в гайде штрафы за утечку персональных данных после 30 мая 2025 года. Практический порядок работы с ИИ описан в статье как отправить документ клиента в ИИ без персональных данных, а сведения о защите и хранении данных собраны в разделе соответствие 152-ФЗ.