Что такое обезличивание персональных данных? Разъяснительная заметка.

Когда применяется обезличивание ПД?

Иногда на практике возникают споры о том, относятся ли обезличенные данные к персональным

Какой в данном случае есть риск для субъектов ПД?

Для повышения юридической грамотности и улучшения понимания законодательства, которое регулирует обработку персональных данных, предлагаем ознакомиться с настоящей заметкой.

Согласно положениям ст.3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных" (далее - Закон о персональных данных) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), а обезличивание персональных данных – это действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных (п. 9 ст. 3 Закона о персональных данных).

Таким образом, Закон о персональных данных не содержит определения самих обезличенных данных, а только раскрывает понятие "обезличивание".

Также определение обезличенных данных имеется в Методических рекомендациях Роскомнадзора от 13 декабря 2013 года, согласно которым обезличенными данными признаются данные, хранимые в информационных системах в электронном виде, которые невозможно отнести к конкретному субъекту без дополнительной информации.

Требования и методы обезличивания персональных данных урегулированы в Приказе Роскомнадзора от 05.09.2013 N 996 "Об утверждении требований и методов по обезличиванию персональных данных".

Данный Приказ также устанавливает свойства, которыми должны обладать обезличенные данные:

1.     полнота,

2.     структурированность,

3.     релевантность,

4.     семантическая целостность,

5.     применимость и анонимность.

Под анонимностью понимается невозможность однозначной идентификации субъектов данных, полученных в результате обезличивания, без применения дополнительной информации. При этом законом не предусмотрено, что именно следует понимать под «дополнительной информацией» - имеется ли ввиду информация, которую собрал оператор, или вообще любая информация.

ВАЖНО! Данным Приказом также установлен закрытый перечень следующих методов обезличивания персональных данных для государственных и муниципальных органов:

·                   метод введения идентификаторов, который подразумевает замену части значений обезличенными идентификаторами;

·                   метод изменения состава или семантики, предусматривающий обобщение, удаление или замену отдельных значений;

·                   метод декомпозиции, требующий от оператора разбиения множества данных на несколько подмножеств с их раздельным хранением;

·                   метод перемешивания, который подразумевает перестановку отдельных значений или групп значений в датасете.

Эти методы подчиняются обязательному принципу –принципу обратимости. Также ПД субъекта должны обладать возможностью косвенного деобезличивания с использованием информации других операторов. Какой из перечисленных методов выбрать – решает оператор, учитывая свои цели обработки, виды операций и категории персональных данных. Не запрещено применять одновременно несколько методов.

Все иные процедуры, которые не перечислены в Приказе Роскомнадзора N 996, не являются допустимыми методами обезличивания.

Когда применяется обезличивание ПД?

1) Может быть применено по заявлению самого субъекта ПД (его законного представителя), но может быть и предложено самим оператором с целью обеспечения конфиденциальности данных, а также защиты в случае хищения/утечки и тп.

2) Применяется по указанию закона: для реализации таких законных оснований обработки данных, как обработка в статистических и исследовательских целях (п. 9 ч. 1 ст. 6 Закона о персональных данных), в целях повышения эффективности государственного и муниципального управления. При этом установлен общий запрет на обработку обезличенных данных в статистических и исследовательских целях в сфере прямого маркетинга и политической агитации при отсутствии письменного согласия субъекта (ст. 15 Закона о персональных данных).

ВАЖНО! Если операторы ПД ссылаются на нежелание или невозможность удаления ПД по ч. 7 ст. 5 Закона о персональных данных (якобы обезличивание является альтернативой уничтожению данных после достижения их целей обработки), то эта ссылка не является состоятельной и противоречит закону, поскольку ч. 4 ст. 21 Закона предусматривает обязанность оператора уничтожить данные в случае достижения целей обработки.

Иногда на практике возникают споры о том, относятся ли обезличенные данные к персональным.

Изучив научную литературу, можно получить ответ на этот вопрос. Как следует из законного определения, персональными данными является информация, которая относится к косвенно определяемому лицу. Понятие определяемого лица, заимствованное из европейского законодательства, подразумевает, что сведения не обязательно должны указывать на конкретное лицо, но должны позволять выделить лицо среди других с использованием любой дополнительной информации. Также одним из признаков персональных данных является то, что они относятся к физическому лицу. Под этим понимается, что:

·        информация каким-либо образом касается лица,

·        обрабатывается с целью, которая влияет на восприятие лица,

·        имеет последствия для этого лица. Обработка обезличенных данных в большинстве случаев будет удовлетворять этим критериям (См.: Савельев А.И. Научно-практический постатейный комментарий к Федеральному закону "О персональных данных". 2-е изд., перераб. и доп. М., 2021).

Необходимо понимать, что обезличенные данные всегда относятся к косвенно определяемому лицу.

Обезличиванию всегда можно задать обратный процесс, то есть используя ключ, персонифицировать их.

Как с технической точки зрения, так и с финансовой указанные процессы для оператора не являются сложными или невыгодными.

Какой в данном случае есть риск для субъектов ПД?

Персонифицировать данные теоретически может любой субъект, если добудет необходимую дополнительную информацию, полученную из разных источников.

Как защитить свои права?

К счастью для субъектов ПД, закон обезличенные данные признает персональными, что подтверждается п. 9.1 ч. 1 ст. 6 Закона о персональных данных.

И даже в п. 13.1 ч. 5 ст. 10 Федерального закона "Об экспериментальных правовых режимах в сфере цифровых инноваций в Российской Федерации" от 31.07.2020 N 258-ФЗ, используется выражение "обработка персональных данных, полученных в результате обезличивания". Приказ Роскомнадзора N 996 в п. 4 тоже указывает, что свойством обезличенных данных является их полнота, т.е. сохранение всей информации о конкретных субъектах или группах субъектов, которая имелась до обезличивания. При этом важно помнить, что методы деобезличивания должны в обязательном порядке соответствовать требованию обратимости (п. 5 Приказа).

Таким образом, тот факт, что обезличенная информация тоже является персональными данными, свидетельствует о невозможности (или значительном затруднении) обрабатывать обезличенные ПД третьими лицами на произвольных основаниях и использовать их в своих целях. Также не будем забывать о том, что закон возлагает на оператора соответствующие обязанности по принятию мер для обеспечения безопасности таких данных, взаимодействию с субъектами и надзорным органом.

Есть еще и такое условие, предусмотренное законом: оператор ПД обязан сообщать субъекту ряд сведений об обработке его персональных данных, когда они получены не от самого субъекта, а, например, от другого оператора либо путем прогнозирования или анализа существующей информации (ч. 3 ст. 18 Закона о персональных данных).

Кроме того, в пользу субъектов ПД свидетельствует и тот факт, что обработка в научных, исследовательских и статистических целях, исходя из буквального толкования закона, допустима только в отношении обычной категории персональных данных.

Следовательно, специальные (например, медицинские данные) и биометрические данные не могут обрабатываться на этом основании, несмотря на то что обезличенные медицинские, физиологические и поведенческие сведения представляют большой интерес для бизнеса и развития технологий.

Итак, мы разобрались в вопросе и установили, что в соответствии с законодательством обезличенные данные признаются персональными данными и подлежат защите, в связи с чем основания и условия их обработки значительно ограничены.

Вместе с тем, исходя из практики, учитывая наличие пробелов в законодательстве, а также – множество других факторов, мы не можем утверждать, что обезличивание ПД в настоящее время является решением всех проблем при защите ПД.

Не стоит возлагать слишком много надежд на рассматриваемый способ ОПД для защиты данных, но и демонизировать обезличивание или воспринимать его как нарушение законодательства тоже не стоит.

В настоящее время мы проводим большую, масштабную работу, направляя запросы в госорганы, анализируя ответы и изучая законодательство и судебную практику, чтобы подготовить корректные с точки зрения и эффективные правовые рекомендации, связанные с защитой персональных данных в сфере образования.

Исходя из изложенного, большинство наших материалов посвящено отказу от автоматизированной ОПД в пользу традиционной ОПД, напомним, что это прежде всего:

- ЗАЯВЛЕНИЕ ОБ ОТКАЗЕ ОТ ЭЛЕКТРОННОЙ ФОРМЫ ГОСУСЛУГ (ОБЩЕЕ) 

- ЗАЯВЛЕНИЕ ОБ ОТКАЗЕ ОТ АВТОМАТИЗИРОВАННОЙ ОПД

- Как отказаться от ОПД автоматизированным способом? Пошаговый алгоритм.

- Как правильно отказаться от ОПД в образовательных организациях?

- Когда невозможно отказаться от ОПД?

- Недопустимость отказа в отзыве согласия на ОПД. Произвольное толкование закона в свою пользу для ограничения прав школьников и их семей

- Согласие на обработку персональных данных при медицинском вмешательстве