Открыть перечень
Бизнес просит расширить перечень методов, которыми он может деперсонализировать данные своих клиентов и сотрудников, а также определиться с тем, что можно считать уже обезличенными данными, следует из отзывов к проекту приказа Роскомнадзора (РКН). Документ устанавливает методы обезличивания и перечисляет требования к этой процедуре, он был опубликован на портале проектов нормативных правовых актов 16 апреля.
Среди предложенных РКН методов — введение идентификаторов (то есть замена уникальных сведений, например, номера телефона кодом или другим обозначением), изменение состава или семантики персональных данных (с изменением уникальных данных о человеке). Кроме того, РКН предлагает метод перемешивания — перестановку отдельных сведений между собой, а также возможность просто удалять все напрямую идентифицирующие человека сведения.
У представителей бизнеса есть вопросы к проекту документа. Так, по мнению комиссии по связи Российского союза промышленников и предпринимателей (РСПП), в приказе отсутствуют четкие критерии требований к конечным результатам обезличивания, а также не указано, какими способами проверять эффективность и безопасность выбранных методов. «Без таких критериев и рекомендаций любое обезличивание можно будет признать некачественным и не соответствующим требованиям», — считают в комиссии.
В то же время в АНО «Цифровая экономика» предлагают предусмотреть открытый перечень методов, то есть иметь возможность его дополнять и другими способами деперсонализации данных. Там считают, что такой «адаптивный к изменениям подход позволит оперативно использовать наиболее эффективные методы обезличивания с высоким уровнем защиты данных».
В Ассоциации больших данных (АБД, объединяет «Яндекс», VK, «Сбер», Газпромбанк, Т-Банк, Россельхозбанк, «Мегафон», «Ростелеком», билайн, МТС, ВТБ, Avito, HeadHunter и др.), в свою очередь, предложили проверять эффективность и безопасность выбранных методов с помощью оценки риска деобезличивания владельца данных. «Результаты такой оценки позволяют математически рассчитать вероятность выделения информации о конкретном человеке в обезличенном наборе данных с учетом потенциальных угроз и атак и обеспечить надлежащий уровень защищенности персональных данных», — убеждены в Ассоциации.
Вывести из серой зоны
Несмотря на отзывы бизнеса, в РКН полагают, что открытый перечень методов обезличивания «не будет отвечать принципу правовой определенности». В то же время соблюдение оператором методов обезличивания, утвержденных приказом, будет считаться выполнением им требования о невозвратности обезличивания, настаивают в надзорной службе. «В случае появления новых, отвечающих требованиям безопасности методов в акт могут быть внесены соответствующие изменения. По результатам общественного обсуждения проект приказа был дополнен еще одним методом. Таким образом, на сегодня в акте перечислены проверенные, подтвердившие свою безопасность для граждан методы», — заключают в РКН.
Свои требования к обезличиванию и методы проведения этой процедуры разработали и в Минцифры. Соответствующий проект постановления правительства был размещен министерством на regulation.gov.ru 14 апреля. В ведомстве отметили, что проект устанавливает методы, требования и правила обезличивания для создаваемой госинформсистемы (так называемого «госозера» данных). Напомним, туда бизнес по запросу должен бесплатно передавать персональные данные своих клиентов и сотрудников, предварительно их обезличив. Согласие на передачу данных от пользователя в «госозеро» в законопроекте не предусмотрено. Доступ к этим данным в первый год после размещения получат только государственные пользователи, а потом — и все остальные, кого одобрит правительство.
Директор Института исследований интернета Карен Казарян обращает внимание на то, что методы обезличивания Минцифры нужны для работы с информацией из «госозера данных», а приказ Роскомнадзора предназначен для бизнеса. Закон «О персональных данных» предусматривает использование данных в статистических целях при условии их обезличивания, напоминает он. «При этом ранее не было методов для бизнеса, компании использовали методичку для госорганов, то есть обезличивание бизнесом было в серой зоне. Когда писали поправки в закон, включили пункт, наделяющий РКН полномочиями разрабатывать правила обезличивания для бизнеса», — отметил эксперт.
По словам Казаряна, в РКН отмечали, что доработают проект приказа и будут по мере необходимости добавлять в приказ новые методы. Принятие приказа должно оказать, по его мнению, благоприятное действие на бизнес, так как выводит обезличивание бизнесом из серой зоны, заключает эксперт.
«Направлен на исправление»
По словам эксперта по защите персональных данных и соучредителя Regional Privacy Professionals Association (RPPA) Алексея Мунтяна, проект приказа РКН направлен на исправление давно возникшей ситуации. «Еще в 2013 году РКН, исполняя требование постановления правительства, определил методы обезличивания для госорганов. При этом для коммерческих компаний отдельного нормативного акта, который бы определял эти методы обезличивания, РКН не издал, потому что у него не было соответствующих полномочий — они появились с принятием поправок в закон «О персональных данных» в августе 2024 года», — согласен он с Казаряном.
Документ от РКН «эволюционно развивает» подходы и методы, которые есть в приказе от 2013 года, размышляет Мунтян. «Судя по отзывам, крупный бизнес хочет более революционных изменений — чтобы сам набор методов обезличивания был открытым, чтобы компании сами могли их выбирать. Кроме того, бизнес хочет, чтобы РКН контролировал не то, как они обезличивают данные, а сам результат этого процесса. Это желание понятно, бизнес сейчас много инвестирует в новые технологии обработки данных», — добавил он. Впрочем, понятна и позиция РКН, считает Мунтян: похоже, надзорная служба хочет, чтобы средний и малый бизнес лучше ориентировался в более понятных и простых методах обезличивания, чем уходил в сложные методы.
Директор юридического департамента DRC Ольга Захарова отмечает, что очень сложно установить четкие критерии невозвратности обезличивания. «Оно заключается в том, что всегда есть «ключ», который позволяет этот процесс сделать обратимым. Главный вопрос заключается в обеспечении сохранности этих «ключей», то есть раздельного хранения массивов исходных персональных данных и тех, что обезличены, а также в исключении возможности консолидации участников, владеющих этими данными», — поясняет она. При этом открытость перечня методов обусловлена развитием технологий и появлением новых решений, полагает она: это позволит внедрить более совершенные техники обезличивания персональных данных.
В целом подход к методике нельзя назвать новым, так как, по сути, в ней дублируются ранее утвержденные методы из приказа Роскомнадзора от 2013 года для госорганов, также считает управляющий партнер Comply Артем Дмитриев. В качестве нового метода в рассматриваемых нормативных правовых актах выступает только преобразование, то есть обобщение, добавил он. «При этом более технологичные подходы, например, метод дифференциальной приватности, основанный на математическом моделировании «шума» и применяемый в аналитике больших данных, пока в российской методике не учитываются», — заключает Дмитриев.
