7 способов замены персональных данных и как выбрать подходящий

Какие бывают способы замены персональных данных

Способы замены персональных данных различаются двумя свойствами: можно ли вернуть исходное значение и насколько результат похож на настоящие данные. От этих свойств зависит, для чего подходит каждый способ.

В LEXARIS доступны семь режимов замены. Ниже — как работает каждый, с примером на одной и той же строке: «Смирнова Анна Викторовна, тел. +7 912 345-67-89».

Обратимые способы: токен, псевдоним, FPE

Обратимые способы позволяют вернуть исходные значения по ключу или таблице соответствий. Они нужны, когда результат обработки должен снова стать документом о конкретном человеке — например, ответ ИИ клиенту.

Токен

Токен заменяет значение меткой типа и номера: [ФИО_1], [ТЕЛЕФОН_1]. Одно и то же значение в любом падеже получает один и тот же токен, поэтому связи в тексте сохраняются.

Было

Смирнова Анна Викторовна, тел. +7 912 345-67-89

Стало

[ФИО_1], тел. [ТЕЛЕФОН_1]

Когда использовать: для отправки документов в ИИ. Это основной режим для сценария «обезличить → отправить → восстановить», описанного в гайде как отправить документ клиента в ИИ.

Псевдоним

Псевдоним заменяет значение правдоподобным вымышленным: «Смирнова Анна Викторовна» → «Колесникова Мария Андреевна». Замена обратима по ключу.

Когда использовать: если текст должен читаться естественно — для презентаций, обучающих материалов или ИИ-задач, где метки в квадратных скобках мешают, например при редактировании стиля.

FPE — шифрование с сохранением формата

FPE шифрует значение так, что результат сохраняет исходный формат: телефон остаётся телефоном из того же числа цифр, номер счёта — номером счёта. Расшифровать можно по ключу.

Когда использовать: когда данные проходят через системы с проверкой формата — базы данных, учётные программы, валидаторы, — и нужно вернуть исходные значения.

Необратимые способы: маска, синтетика, дифференциальная приватность

Необратимые способы уничтожают связь заменённого значения с исходным. Вернуть данные нельзя ни вам, ни тому, кто получит результат. Но остальной текст документа может по-прежнему относиться к реальному человеку.

Маска

Маска скрывает значение целиком или частично: «+7 *** ***-**-89», «С******* А. В.». Часть символов можно оставить, чтобы человек мог узнать запись визуально.

Когда использовать: для документов, которые публикуются или передаются третьим лицам и не должны восстанавливаться, — выписок, копий, приложений к отчётам.

Синтетика

Синтетика заменяет данные реалистичными, но вымышленными значениями, которые проходят проверку формата. В отличие от псевдонима, обратного пути нет.

Когда использовать: для тестовых баз, демонстраций и разработки, где нужны правдоподобные данные. Подставленные значения вымышлены; остальной текст документа может по-прежнему относиться к реальному человеку.

ε-дифференциальная приватность

Дифференциальная приватность работает не с отдельными записями, а с агрегатами: к статистике добавляется контролируемый шум, и по опубликованным цифрам нельзя надёжно установить сведения о конкретном человеке. Параметр ε задаёт баланс между точностью и защитой.

Когда использовать: для отчётов, аналитики и публикации статистики — например, числа обращений по регионам.

Хеш: односторонний, но не всегда необратимый

Хеш HMAC-SHA-256 с секретным ключом превращает значение в строку фиксированной длины, из которой исходное значение не вычисляется. Но обратимость замены зависит от того, сохраните ли вы таблицу соответствий.

• С таблицей «хеш → значение» данные можно вернуть — это псевдонимизация, и для владельца таблицы данные остаются персональными.
• Без таблицы значения не вернуть. Но пока секретный ключ существует, владелец ключа может проверить предполагаемые значения — это псевдонимизация. Необратимой замена становится, когда ключ уничтожен.

Полезное свойство хеша: одинаковое значение всегда даёт одинаковый хеш. Это позволяет сопоставлять записи о том же человеке в разных таблицах, не раскрывая, кто он. Секретный ключ HMAC нужен, чтобы посторонний не мог подобрать хеш перебором известных номеров телефонов или СНИЛС.

Когда использовать: для объединения наборов данных и дедупликации, когда важно узнать «это тот же человек», а не «кто это».

Сравнительная таблица

Коротко о всех семи способах замены — в одной таблице.

Как обратимость влияет на правовой статус данных, разобрано в гайде обезличивание и псевдонимизация по 152-ФЗ.

Можно ли сочетать способы в одном документе

Да, и часто это лучший вариант. Разные данные в одном наборе решают разные задачи, поэтому один способ для всего — скорее компромисс, чем правило.

Представьте выгрузку обращений клиентов, которую нужно передать аналитику. Имена ему не нужны — их можно заменить маской. Чтобы он мог посчитать повторные обращения одного клиента, телефон стоит заменить хешем: одинаковые номера дадут одинаковые хеши. Суммы и даты остаются как есть. А если по итогам анализа нужно будет связаться с конкретными клиентами, вместо маски для имён лучше выбрать токены или псевдонимы — они обратимы.

Общий принцип такой: для каждого поля задайте вопрос «зачем получателю это значение?». Если незачем — необратимая замена. Если нужно для связи записей — хеш. Если результат вернётся к вам и должен снова стать документом о человеке — обратимый способ.

Как выбрать способ замены

Выбирайте способ по задаче: сначала решите, нужно ли возвращать исходные данные, затем — должен ли результат выглядеть как настоящий.

• Если нужно отправить документ в ИИ и восстановить ответ — выбирайте токен.
• Если нужен обратимый, но естественный текст — выбирайте псевдоним.
• Если данные идут в систему, которая проверяет формат, и их нужно вернуть — выбирайте FPE.
• Если документ уходит наружу и восстанавливать ничего не нужно — выбирайте маску.
• Если нужно связать записи об одном человеке в разных наборах — выбирайте хеш и решите, хранить ли таблицу.
• Если нужна тестовая база — выбирайте синтетику.
• Если публикуете статистику — выбирайте дифференциальную приватность.

Обратимые режимы требуют хранить ключ. Если вы хотите, чтобы он хранился только на вашем устройстве, посмотрите режим «Ключи у вас». Краткий обзор всех режимов есть в разделе 7 режимов замены, а подключение через REST, Python SDK или CLI описано в разделе API для разработчиков.