Федеральный закон «О персональных данных» устанавливает принципы и условия обработки персональных данных. Один из принципов: «ѕперсональные данные подлежат уничтожению либо обезличиванию по достижении целей обработкиѕ», а сама «ѕобработка персональных данных осуществляется в статистических или иных исследовательских целях¾ при условии обязательного обезличивания персональных данных». Таким образом, закон устанавливает, что в некоторых случаях существует необходимость обезличивания персональных данных. Однако кроме определения обезличивания, приведенного в законе, никаких пояснений процедуры обезличивания в нормативных документах до недавнего времени не было. Операторы могли обезличивать персональные данные по своему усмотрению, главное, чтобы в результате без получения дополнительной информации становилась неясной их принадлежность конкретному лицу.
Уже почти два года тому назад, 21 марта 2012 года, вышло постановление Правительства РФ № 211, определившее, что для операторов — государственных или муниципальных органов — одной из мер по защите персональных данных в информационных системах является их обезличивание согласно требованиям и методам, установленным Роскомнадзором.
Такие требования и методы появились позже — 5 сентября 2013 года, с выходом приказа Роскомнадзора № 996. Приказ ввел ряд новых положений: уточнил задачи обезличивания, определил свойства обезличенных данных и методов обезличивания, а также требования к ним и предложил четыре метода:
метод введения идентификаторов;
метод изменения состава или семантики;
метод декомпозиции;
метод перемешивания.
Недавно, 13 декабря 2013 года Роскомнадзор выпустил Методические рекомендации по применению приказа № 996. В них подробнее описываются приведенные в приказе методы, предлагаются процедуры их реализации, описывается организация обработки обезличенных данных и правила работы с ними, приводятся некоторые рекомендации по выбору конкретного метода для целей оператора, а также демонстрируются примеры применения всех четырех методов.
Выпущенные Роскомнадзором документы должны существенно помочь операторам, поскольку ранее тему обезличивания регуляторы обходили стороной, и у оператора могло возникнуть немало вопросов относительно правильной реализации требований закона в этой узкой области. Однако к этим документам также имеется несколько вопросов.
< ... >
Полную версию статьи смотрите на страницах журнала «Защита информации. Инсайд»
