Обезличивание персональных данных с 2025 года: новые правила и их применение в 2026 году

Для бизнеса, который работает с клиентскими базами, медицинскими сведениями, кадровыми документами, маркетинговой аналитикой или внутренними ИТ-системами, обезличивание персональных данных перестало быть факультативной мерой информационной гигиены. С 2025 года эта тема получила более жесткое практическое значение из-за обновленного регулирования, а в 2026 году организациям уже приходится не просто ссылаться на внутренние политики, а подтверждать, что обезличивание персональных данных проведено по правилам, с понятной целью, документально оформлено и реально исключает или существенно затрудняет идентификацию человека.

Ошибки здесь редко остаются только в плоскости комплаенса. Если компания формально объявляет массив «обезличенным», но фактически оставляет возможность обратного установления личности через связки идентификаторов, логи, служебные таблицы или сведения из смежных систем, это влияет на законность обработки, объем обязанностей оператора и риск претензий со стороны Роскомнадзора. В отдельных ситуациях спор выходит за пределы административного контроля и затрагивает договорные отношения, трудовые конфликты, репутационные потери и доказательства в судебном процессе.

Почему обезличивание персональных данных стало отдельной зоной юридического риска

Базовое регулирование по-прежнему строится вокруг Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». В статье 3 этого закона даны ключевые понятия, а сама идея обезличивания сводится к действиям, в результате которых становится невозможным без использования дополнительной информации определить принадлежность данных конкретному субъекту. На практике именно формула «без использования дополнительной информации» чаще всего становится предметом спора. Если дополнительная информация у оператора хранится рядом, легко сопоставляется и доступна тем же сотрудникам, то ссылка на обезличивание не всегда выдерживает проверку.

С юридической точки зрения обезличивание персональных данных важно не потому, что позволяет «свободно пользоваться данными», а потому, что меняет архитектуру риска. Когда оператор сокращает объем идентифицирующих признаков, разделяет массивы, убирает прямые идентификаторы и ограничивает доступ к ключам сопоставления, он снижает вероятность утечки значимых сведений и уменьшает последствия инцидента. Именно поэтому для многих компаний работает логика снижения рисков обезличиванием, особенно в маркетинге, HR, медицине, разработке цифровых продуктов и аналитике клиентского поведения.

Но у этой логики есть предел. Обезличивание персональных данных не отменяет действие закона автоматически и не превращает любой набор сведений в объект, полностью выведенный из-под правового режима. Если организация продолжает обрабатывать массив в рамках единой системы, сохраняет ключи обратной идентификации и использует данные для принятия решений в отношении конкретного лица, требования закона о персональных данных сохраняют значение. Иначе говоря, тезис «обезличенные данные и закон больше не связаны» юридически неверен.

Для компаний, которые выстраивают постоянные процессы работы с данными, проблема обычно не ограничивается одной политикой конфиденциальности. Нужна проверка локальных актов, ролей подразделений, договоров с подрядчиками, схем доступа и внутренних регламентов. В таком формате вопрос часто входит в более широкую модель абонентского юридического обслуживания, когда правовая настройка делается не разово, а в рамках регулярного сопровождения.

Какие нормы нужно учитывать в 2025 и 2026 годах

Основой остается Закон № 152-ФЗ. Для темы обезличивания прежде всего значимы статья 3 с понятийным аппаратом, статья 5 о принципах обработки персональных данных, статья 6 об условиях обработки, статья 18.1 об обязанностях оператора по принятию мер, направленных на выполнение требований закона, а также статья 19 о мерах по обеспечению безопасности персональных данных при их обработке. Обезличивание не существует отдельно от этих норм. Оно должно быть встроено в законную цель обработки, соразмерность состава данных и реальную систему защиты.

Отдельное значение имеет подзаконное регулирование, поскольку именно оно отвечает на практический вопрос, как должны выглядеть методы и организационные меры. Когда обсуждают приказ Роскомнадзора об обезличивании, обычно имеют в виду документы ведомственного уровня, которые определяют подходы к обезличиванию и требования к процедурам у операторов. Для практики важен не сам факт наличия приказа, а то, что проверяющий орган оценивает не абстрактное намерение оператора, а конкретные примененные методы, документы и возможность повторной идентификации.

С 2025 года компании стали внимательнее относиться к тому, что внутреннее описание процесса должно соответствовать фактической ИТ-модели. Если в положении написано, что данные обезличены путем замены идентификаторов кодами, но технически таблица соответствия хранится в той же базе и доступна широкому кругу сотрудников, это слабая позиция. Обезличивание персональных данных оценивается не по названию операции, а по результату и защищенности дополнительной информации.

Кроме того, на 2026 год уже очевидна тенденция к более детальному контролю качества локальной документации. Оператору недостаточно сослаться на общие формулировки о безопасности информации. Нужны регламенты, которые объясняют, какие данные обезличиваются, для какой цели, на каком этапе, какими средствами, кто получает доступ к ключам сопоставления, как ведется учет операций и когда массив подлежит удалению либо дальнейшей трансформации. Именно здесь обезличивание персональных данных становится вопросом не только ИБ, но и корпоративного управления процессами.

Когда данные действительно считаются обезличенными

Юридически значим не ярлык «анонимизировано», а фактическая невозможность определить конкретное лицо без дополнительной информации. Поэтому обезличивание персональных данных нельзя сводить к механическому удалению фамилии и имени. В ряде массивов человека позволяют распознать дата рождения, должность, подразделение, регион, история покупок, номер договора, IP-идентификатор, координаты, медицинский профиль или редкая совокупность характеристик. Чем уникальнее набор, тем выше риск обратной идентификации.

По этой причине правила обезличивания данных в компании должны учитывать не только прямые, но и косвенные идентификаторы. Особенно это важно для аналитических систем, где разные базы «сцепляются» между собой. Если маркетинговый модуль, CRM, бухгалтерская система и база обращений в службу поддержки могут быть сопоставлены по внутреннему идентификатору, формальное обезличивание одной выгрузки не всегда имеет самостоятельное значение.

На практике чаще применяются несколько подходов одновременно. Один массив очищается от прямых идентификаторов, во втором используется укрупнение параметров, в третьем часть сведений заменяется псевдонимами. Но даже после этого оператор должен оценить вероятность повторной идентификации с учетом собственных ресурсов, смежных баз и доступа сотрудников. Обезличивание персональных данных считается добросовестно проведенным тогда, когда компания может показать не только метод, но и результат оценки риска обратного установления личности.

• из набора удалены или заменены прямые идентификаторы субъекта;
• дополнительная информация, позволяющая восстановить связь с человеком, хранится отдельно и доступ к ней ограничен;
• состав оставшихся атрибутов не позволяет без несоразмерных усилий установить личность;
• цель дальнейшего использования массива не предполагает принятия решений в отношении конкретного лица.

Если хотя бы одно из этих условий не выдерживается, компания рискует оказаться в ситуации, когда под видом обезличенного массива фактически продолжает обрабатывать персональные данные в полном объеме правовых обязанностей.

Документы и внутренние процедуры, без которых обезличивание персональных данных не работает

Одна из самых частых ошибок состоит в том, что обезличивание персональных данных выполняется техническим подразделением, а юридическая часть остается на уровне общего положения о персональных данных. В итоге организация не может внятно объяснить, на каком основании и для какой цели создан обезличенный массив, кто санкционировал процедуру, каким образом ограничен доступ к исходным данным и где закреплен порядок уничтожения либо раздельного хранения ключей сопоставления.

Корректная модель обычно включает несколько связанных документов. Это не бюрократия ради формы, а способ показать законность и управляемость процесса. Если дело дойдет до проверки или спора, именно документы позволяют доказать, что обезличивание персональных данных не было декларативным.

• локальный акт или раздел внутренней политики, где закреплены цели, методы и порядок обезличивания;
• регламент доступа к исходным массивам и дополнительной информации, позволяющей восстановить идентификацию;
• описание ИТ-процесса, включая журналы операций, разграничение ролей и сроки хранения;
• условия в договорах с подрядчиками, если обработка, хранение или аналитика передаются внешнему исполнителю.

Если компания использует данные работников, параллельно нужно проверить кадровый контур. Сведения из личных дел, табелей, медицинских документов, систем контроля доступа и внутренних расследований требуют отдельной оценки правового режима. В ряде случаев проблема выявляется именно на стыке трудового права и защиты данных, когда формально безопасный ИТ-процесс не согласуется с кадровыми документами и локальными актами. Здесь полезен предварительный кадровый аудит, особенно если организация уже использует HR-аналитику и автоматизированные системы оценки персонала.

Отдельная зона риска связана с подрядчиками. Если обезличенный массив передается для аналитики, разработки модели, тестирования продукта или маркетингового исследования, договор должен четко определять статус сторон, пределы использования информации, обязанности по безопасности, порядок возврата и удаления данных, запрет на попытки деобезличивания и последствия нарушения. Без этой части даже качественно выстроенное обезличивание персональных данных внутри компании может быть обесценено действиями контрагента.

Как Роскомнадзор оценивает правила обезличивания данных на практике

Проверка со стороны Роскомнадзора обычно строится не вокруг теории, а вокруг конкретных вопросов. Орган смотрит, есть ли у оператора правовое основание обработки, соблюден ли заявленный объем данных, как оформлены локальные документы, какие меры безопасности приняты и можно ли по факту восстановить личность субъекта. Поэтому правила обезличивания данных должны быть не только написаны, но и исполнимы в реальной системе.

Если в ходе контроля выясняется, что оператор сохранил простую связку «код клиента — ФИО — телефон» в доступной внутренней таблице без достаточных ограничений, а обезличенный массив свободно используется в подразделениях, позиция о надлежащем обезличивании заметно слабеет. Аналогичная проблема возникает, когда служебные файлы с ключами сопоставления пересылаются по электронной почте, хранятся в общих папках или не имеют срока удаления.

В отраслях с повышенной чувствительностью сведений контроль обычно строже. Это касается медицинских организаций, лабораторий, клиник и сервисов телемедицины, где массивы часто содержат данные о состоянии здоровья. Для таких операторов вопрос о том, насколько корректно проведено обезличивание персональных данных, связан не только с законом о персональных данных, но и с отраслевыми обязанностями по соблюдению врачебной тайны, лицензионных требований и цифровых контуров учета. В подобных ситуациях правовая оценка нередко требует участия медицинских юристов, поскольку ошибка может затронуть сразу несколько режимов регулирования.

Нельзя исключать и административную ответственность. Вопрос о квалификации конкретного нарушения зависит от фактических обстоятельств и состава выявленных действий, но сам по себе тезис «данные были обезличены» не освобождает оператора, если режим оказался фиктивным. Обезличивание персональных данных должно подтверждаться не формулировками в документах, а устройством системы доступа, хранения и использования информации.

Где компании чаще всего ошибаются в 2026 году

В 2026 году основная проблема уже не в незнании терминов, а в разрыве между юридическим описанием и реальной практикой. Многие компании научились писать положения о защите данных, но не выстроили технически устойчивую модель. Поэтому типичные ошибки повторяются даже у крупных операторов.

Первая ошибка состоит в том, что обезличивание персональных данных подменяется псевдонимизацией без достаточной изоляции ключей. Вторая связана с тем, что организация продолжает использовать обезличенный массив для адресных действий в отношении человека, например для оценки благонадежности, таргетирования предложений или анализа поведения конкретного работника. Третья ошибка возникает при интеграции нескольких систем, когда повторная идентификация становится возможной через сопоставление косвенных признаков.

Четвертая ошибка встречается в договорной работе. Подрядчику передают данные «в обезличенном виде», но в тексте договора не фиксируют запрет на обратную идентификацию, порядок защиты служебных таблиц, ответственность за нарушение и процедуру удаления информации после завершения задачи. Когда спор переходит в плоскость убытков, нарушения конфиденциальности или претензий регулятора, недостатки договора становятся самостоятельной проблемой. Если конфликт уже возник и затронул обязательства сторон, нередко требуется сопровождение арбитражного спора, поскольку вопрос о данных перерастает в спор о договоре, убытках и распределении ответственности.

Пятая ошибка более тонкая. Компания полагает, что обезличенный массив можно хранить бессрочно, раз в нем «нет персональных данных». Но срок хранения должен быть связан с целью обработки, внутренними регламентами и реальной потребностью бизнеса. Избыточное хранение даже трансформированных массивов ухудшает позицию оператора, если не доказана разумная необходимость такого объема и срока.

Что дает бизнесу снижение рисков обезличиванием и где проходят границы этого инструмента

С практической точки зрения снижение рисков обезличиванием действительно работает, когда компания использует этот инструмент для аналитики, тестирования, статистической обработки, внутреннего обучения систем, подготовки управленческой отчетности и исследования поведения групп, а не конкретных лиц. В таких сценариях обезличивание персональных данных позволяет сократить чувствительность массива, снизить последствия возможного несанкционированного доступа и точнее разграничить роли сотрудников и подрядчиков.

Но этот инструмент не должен использоваться как формальное прикрытие избыточного сбора данных. Закон № 152-ФЗ требует, чтобы содержание и объем обрабатываемых сведений соответствовали заявленным целям, а обрабатываемые данные не были избыточными по отношению к таким целям. Поэтому если оператор собирает лишние сведения, а затем пытается решить проблему последующим обезличиванием, это не всегда исправляет исходное нарушение принципа соразмерности.

Не менее важно учитывать связь темы с интеллектуальной собственностью и цифровыми продуктами. Когда обезличенные массивы используются для обучения моделей, разработки алгоритмов, тестирования сервисов и аналитики пользовательского поведения, на первый план выходят вопросы договорного распределения прав, режима коммерческой тайны и допустимости использования результатов обработки. В таких проектах правовая защита часто строится на стыке комплаенса и договорной техники, а при создании собственных цифровых решений может потребоваться настройка режима защиты интеллектуальной собственности.

Именно поэтому обезличивание персональных данных нельзя рассматривать в отрыве от бизнеса. Для одной компании это способ безопаснее строить аналитику продаж, для другой — элемент защиты медицинской информации, для третьей — условие законной работы с кадровыми данными и внутренними исследованиями. Юридический смысл во всех случаях один: нужно показать, что оператор контролирует цикл данных, а не просто переименовал файл или скрыл очевидные идентификаторы.

Как выстроить правовую позицию, если процесс уже создан или есть претензии регулятора

Когда процесс обезличивания уже работает, основная задача состоит не в переписывании документов «с нуля», а в сопоставлении трех уровней: цели обработки, технической модели и доказательной базы. Если хотя бы один уровень выпадает, позиция становится уязвимой. Поэтому сначала оценивают, какие категории сведений используются, какие основания обработки заявлены, где и как возникают ключи сопоставления, кто фактически имеет к ним доступ и для каких операций используется обезличенный массив.

Если претензии уже предъявлены, важно не ограничиваться общей перепиской с регулятором. Нужен предметный анализ локальных актов, договоров, схем доступа, журналов операций, переписки с подрядчиками и фактических маршрутов данных. Обезличивание персональных данных как предмет спора обычно требует доказать либо реальное соблюдение требований, либо, если нарушения были, показать их объем, причины и корректирующие меры без создания новых рисков признания более широких нарушений.

В юридической работе по таким вопросам особое значение имеет аккуратная формулировка позиции. Излишне категоричные ответы иногда вредят больше, чем сами недостатки процесса. Если обстоятельства неоднозначны, разумнее строить объяснение через конкретные меры, ограничения доступа, цель использования массива и оценку вероятности идентификации, а не через декларации о полном отсутствии персональных данных. Обезличивание персональных данных оценивается содержательно, и правовая позиция должна быть столь же содержательной.

Для бизнеса здесь важен один практический вывод. Чем раньше оператор сопоставит локальные документы, ИТ-процессы и договорную модель, тем меньше вероятность, что вопрос об обезличенных массивах перерастет в спор о незаконной обработке данных, нарушении конфиденциальности или ненадлежащем исполнении обязательств. В 2026 году формальный подход уже не работает: обезличивание персональных данных должно быть доказуемым, управляемым и встроенным в общую систему защиты информации.

Если вам нужна надежная команда юристов с большим практическим опытом, обращайтесь в ООО ЮК Шмелева и партнеры. Заявку можно оставить на сайте нашей юридической компании или позвонить по телефону 8 (800) 201 56 52. Отзывы о нашей работе можно посмотреть на Яндекс.Картах.