Новые требования к обезличиванию персональных данных
🔎Контекст
В развитие Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и в целях реализации его положений, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) утвердила Приказ от 19 июня 2025 г. № 140.
Главная цель — установление единых, строгих и конкретных требований к процедуре обезличивания персональных данных, а также исчерпывающего перечня допустимых методов для обеспечения эффективной защиты прав субъектов персональных данных при дальнейшей обработке обезличенной информации.
⚖️ Нормативный акт: Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 19 июня 2025 г. N 140 "Об утверждении требований к обезличиванию персональных данных и методов обезличивания персональных данных, за исключением случаев, указанных в пункте 91 части 1 статьи 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных"
😶🌫️ Указом вводятся новые правила для операторов. В частности, ужесточаются требованию к процессу деперсонализации:
🛡️Использование только тех программ, которые обеспечивают конфиденциальность.
oТребуется обосновать, что выбранный метод деперсонализации достаточен для достижения целей дальнейшей обработки обезличенных данных. Оценка базируется на категориях субъектов, категориях данных и правовых основаниях обработки.
🛡️Исключено совместное хранение данных, подлежащих обезличиванию.
oДеперсонализация должна гарантировать, что без дополнительной информации невозможно установить принадлежность обезличенных данных конкретному субъекту.
🛡️Обязательность учета совершаемых действий.
oОбязателен детальный учет всех действий по деперсонализации и всех последующих операций с обезличенными данными в форме, позволяющей подтвердить эти действия.
😶🌫️ Конкретизация и ограничение методов деперсонализации:
⚙️ Применяться должны только методы, поименованные в приказе, либо по отдельности, либо в комбинации:
😶🌫️ Новый метод преобразования массива персональных данных:
😶🌫️Новые требования к документации.
📑Теперь оператор обязан разработать нормативные акты для:
📅 Вступление в силу: 1 сентября 2025 года.
⚖️ Комментарий НИП:
«Приказ № 140 Роскомнадзора знаменует собой ужесточение регулирования в сфере деперсонализации персональных данных. Им нормативно закреплен исчерпывающий перечень допустимых методов обезличивания, введены требования к оценке их достаточности, документированию всего процесса и обеспечению технической безопасности. Этот порядок устанавливает новый, более высокий уровень контроля со стороны регулятора. Несоблюдение требований, вступающих в силу 1 сентября 2025 года, сопряжено с рисками административной ответственности.
📌 Юридическая фирма «Надмитов, Иванов и Партнёры» оказывает комплексные юридические услуги по адаптации бизнеса к новым требованиям в сфере защиты персональных данных: разрабатывает и актуализирует необходимые локальные нормативные акты, защищает интересы клиентов во взаимодействии с Роскомнадзором, в том числе при проведении проверок и разрешении споров, связанных с применением новых правил деперсонализации.
Email: info@nplaw.ru
Тел.: +7 (495) 649-87-12
В развитие Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и в целях реализации его положений, Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) утвердила Приказ от 19 июня 2025 г. № 140.
Главная цель — установление единых, строгих и конкретных требований к процедуре обезличивания персональных данных, а также исчерпывающего перечня допустимых методов для обеспечения эффективной защиты прав субъектов персональных данных при дальнейшей обработке обезличенной информации.
⚖️ Нормативный акт: Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 19 июня 2025 г. N 140 "Об утверждении требований к обезличиванию персональных данных и методов обезличивания персональных данных, за исключением случаев, указанных в пункте 91 части 1 статьи 6 Федерального закона от 27 июля 2006 г. N 152-ФЗ "О персональных данных"
😶🌫️ Указом вводятся новые правила для операторов. В частности, ужесточаются требованию к процессу деперсонализации:
🛡️Использование только тех программ, которые обеспечивают конфиденциальность.
oТребуется обосновать, что выбранный метод деперсонализации достаточен для достижения целей дальнейшей обработки обезличенных данных. Оценка базируется на категориях субъектов, категориях данных и правовых основаниях обработки.
🛡️Исключено совместное хранение данных, подлежащих обезличиванию.
oДеперсонализация должна гарантировать, что без дополнительной информации невозможно установить принадлежность обезличенных данных конкретному субъекту.
🛡️Обязательность учета совершаемых действий.
oОбязателен детальный учет всех действий по деперсонализации и всех последующих операций с обезличенными данными в форме, позволяющей подтвердить эти действия.
😶🌫️ Конкретизация и ограничение методов деперсонализации:
⚙️ Применяться должны только методы, поименованные в приказе, либо по отдельности, либо в комбинации:
- Введение специальных идентификаторов: Обязательное создание и безопасное хранение "ключа" для сопоставления идентификатора и исходных данных. Ключ хранится отдельно от обезличенных данных и не передается третьим лицам.
- Изменение состава или семантики данных: удаление, искажение, изменение атрибутов.
- Перемешивание и декомпозиция данных: выделение данных, позволяющих идентифицировать субъекта без доп. информации, и замена их на код/номер.
😶🌫️ Новый метод преобразования массива персональных данных:
- Дополнительный метод, применяемый в сочетании с другими, исключительно для разрыва связи между атрибутами и субъектами.
- Возможно использовать метод для исключения связи между атрибутами и субъектами персональных данных.
😶🌫️Новые требования к документации.
📑Теперь оператор обязан разработать нормативные акты для:
- Регламентации всего процесса деперсонализации и оценки достаточности методов.
- Защиты информации о применяемых методах и системах от доступа третьих лиц.
- Конкретных методов.
- Безопасного хранения данных.
📅 Вступление в силу: 1 сентября 2025 года.
⚖️ Комментарий НИП:
«Приказ № 140 Роскомнадзора знаменует собой ужесточение регулирования в сфере деперсонализации персональных данных. Им нормативно закреплен исчерпывающий перечень допустимых методов обезличивания, введены требования к оценке их достаточности, документированию всего процесса и обеспечению технической безопасности. Этот порядок устанавливает новый, более высокий уровень контроля со стороны регулятора. Несоблюдение требований, вступающих в силу 1 сентября 2025 года, сопряжено с рисками административной ответственности.
📌 Юридическая фирма «Надмитов, Иванов и Партнёры» оказывает комплексные юридические услуги по адаптации бизнеса к новым требованиям в сфере защиты персональных данных: разрабатывает и актуализирует необходимые локальные нормативные акты, защищает интересы клиентов во взаимодействии с Роскомнадзором, в том числе при проведении проверок и разрешении споров, связанных с применением новых правил деперсонализации.
Email: info@nplaw.ru
Тел.: +7 (495) 649-87-12
Может быть интересно
ФНС опубликовала рыночные котировки цифровых валют для целей налогообложения майнинга
Юридическая фирма «Надмитов, Иванов и Партнеры» рассказывает информацию, касающуюся порядка определения налоговой базы при получении дохода в виде цифровой валюты, в том числе в результате майнинга.
ПодробнееОграничения на вывоз наличной валюты и золота в страны ЕАЭС
Юридическая фирма «Надмитов, Иванов и Партнеры» рассказывает про установление ограничений на вывоз наличной валюты и золота в страны ЕАЭС.
ПодробнееВС РФ встал на сторону российского банка в споре с клиентом из-за санкций
Юридическая фирма «Надмитов, Иванов и Партнеры» рассказывает про решение ВС РФ, который отменил решения трех инстанций, взыскавших с «Минбанка» 59 400 долларов США, которые были заблокированы в американском банке.
