Обезличенные ПДн по ст. 13.1 152-ФЗ

Регулирование обезличенных ПДн до 2024 года оставалось пробелом в ФЗ-152: закон упоминал обезличивание как допустимый способ прекращения обработки, но не устанавливал методов или требований к результату. ФЗ-233 от 08.08.2024 заполнил этот пробел, введя ст. 13.1 и установив, что оператор обязан применять конкретные методы обезличивания, утверждённые регулятором. Для юриста, проверяющего комплаенс, это означает новый раздел в аудите: наличие регламента обезличивания, соответствие применяемых методов приказу РКН, порядок передачи обезличенных данных в ЕИП НСУД.

Что такое обезличивание ПДн и чем оно отличается от анонимизации?

Обезличивание — действия, в результате которых из набора данных становится невозможным без применения дополнительной информации определить принадлежность ПДн конкретному субъекту. Определение закреплено в ст. 3 ФЗ-152 как один из видов обработки персональных данных.

Ключевое разграничение: обезличивание обратимо — существует «ключ» (дополнительная информация), позволяющий восстановить связь с субъектом. Анонимизация необратима — идентификация субъекта исключена технически и организационно. Анонимизированные данные выходят из-под действия ФЗ-152, обезличенные — нет: они по-прежнему считаются ПДн и требуют соблюдения принципов ст. 5 ФЗ-152.

Это различие критично для юриста при проверке ML-проектов и аналитических систем: если разработчик называет данные «анонимными», необходимо убедиться, что идентификация субъекта действительно невозможна, а не просто затруднена. В противном случае правовой режим ПДн сохраняется в полном объёме.

Какие методы обезличивания установлены регулятором?

Ст. 13.1 ФЗ-152, введённая ФЗ-233, обязала оператора применять методы обезличивания, утверждённые уполномоченным органом. Регулятор — Роскомнадзор — утвердил пять методов обезличивания в подзаконном акте (приказ РКН, реквизиты акта уточняйте в актуальной редакции на rkn.gov.ru).

Выбор метода зависит от целей последующей обработки. Введение идентификаторов (псевдонимизация) сохраняет аналитическую ценность данных, но требует строгого контроля над «ключом». Агрегация и обобщение применимы для статистических задач, где индивидуальные атрибуты не нужны. Декомпозиция используется при необходимости разграничить доступ нескольких систем к разным фрагментам набора.

Для юриста при аудите важно проверить: закреплён ли выбранный метод во внутреннем регламенте, соответствует ли он утверждённому перечню, есть ли порядок хранения «ключа» при псевдонимизации и кто имеет к нему доступ.

Как ст. 13.1 связана с принципами обработки ПДн из ст. 5 ФЗ-152?

Обезличивание прямо предусмотрено ст. 5 ФЗ-152 как один из способов исполнения принципа хранения данных не дольше, чем необходимо для достижения целей обработки. Оператор обязан уничтожить или обезличить ПДн, когда цель достигнута или отпала необходимость в их обработке.

На практике это означает: обезличивание — не опция, а обязанность в случаях, когда уничтожение данных технически невозможно (например, резервные копии) или нецелесообразно (аналитика при удалении учётной записи пользователя). Если оператор оставляет в системе ПДн за пределами срока хранения без обезличивания — нарушение ст. 5 ФЗ-152, фиксируемое при проверке РКН.

Принцип ст. 6 ФЗ-152 о правовых основаниях обработки распространяется и на обезличивание: оно само по себе является обработкой ПДн и должно иметь правовое основание — согласие субъекта по ст. 9 ФЗ-152 либо иное из одиннадцати оснований ст. 6. Разграничение целей обработки и цели обезличивания должно быть отражено в политике оператора по ч. 2 ст. 18.1 ФЗ-152.

Какова ответственность за нарушение требований обезличивания?

Ч. 7 ст. 13.11 КоАП устанавливает ответственность за невыполнение государственным органом — оператором ПДн — обязанности по обезличиванию либо за несоблюдение требований и методов обезличивания. Санкция по ч. 7 предусмотрена для должностных лиц; для юридических лиц применяются иные части ст. 13.11 в зависимости от конкретного нарушения.

Для коммерческих операторов нарушение режима обезличивания квалифицируется иначе: если данные, которые должны были быть обезличены, оказались обработаны или переданы без надлежащего обезличивания — это обработка ПДн с нарушением требований закона по ч. 1 ст. 13.11 КоАП (штраф 150 000 — 300 000 ₽ для юрлиц в редакции с 30.05.2025). При повторности — ч. 1.1 (300 000 — 500 000 ₽).

Если в результате ненадлежащего обезличивания произошла утечка данных, позволяющая идентифицировать субъектов, — дополнительно применяются ч. 12–14 ст. 13.11 КоАП: от 3 до 15 млн ₽ в зависимости от числа затронутых субъектов. При повторной утечке — оборотный штраф по ч. 15: 1–3% совокупной годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽.

Типовые ситуации: как нарушения по ст. 13.1 выявляются на практике

Ситуация 1. Аналитический отдел торговой компании (Центральный ФО, осень 2025) использовал «псевдонимизированные» данные покупателей для построения предиктивных моделей. При проверке РКН выяснилось, что «ключ» для деанонимизации хранился в той же системе без разграничения доступа. Регулятор квалифицировал это как обработку ПДн без надлежащего обезличивания по ч. 1 ст. 13.11 КоАП. Штраф — в диапазоне минимального по части. После получения предписания компания выстроила отдельное хранилище ключей с журналом доступа и закрепила порядок в регламенте обезличивания.

Ситуация 2. IT-компания (Северо-Западный ФО, начало 2026) передала партнёру датасет для обучения ML-модели, полагая данные анонимными. Партнёр установил принадлежность части записей конкретным пользователям по косвенным признакам (сочетание геолокации, временных меток и категории покупок). Правовая проверка показала: применённый метод — простое удаление имени и телефона — не соответствует ни одному из пяти утверждённых методов. Передача квалифицирована как трансграничная передача ПДн без уведомления РКН по ст. 12 ФЗ-152 в совокупности с нарушением ст. 13.1. ⚠️ Конкретные номера дел и точные суммы штрафов по этим ситуациям менеджер уточняет при публикации.

Частые вопросы

1. Что считается обработкой ПДн по 152-ФЗ?

Обработка ПДн — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Перечень закреплён в ст. 3 ФЗ-152 и является открытым по существу, но обезличивание прямо включено в него. Это означает, что запуск процедуры обезличивания — уже обработка ПДн, требующая правового основания по ст. 6 ФЗ-152.

2. На основании чего можно обрабатывать ПДн?

Ст. 6 ФЗ-152 устанавливает одиннадцать правовых оснований обработки: согласие субъекта (п. 1), исполнение международного договора (п. 2), осуществление правосудия (п. 3), исполнение полномочий госоргана (п. 4), исполнение договора с субъектом или в его интересах (п. 5) и другие. Обезличивание как вид обработки требует одного из этих оснований. Наиболее универсальное для коммерческих операторов — согласие по ст. 9 ФЗ-152; с 01.09.2025 согласие оформляется отдельным документом (ФЗ-156 от 24.06.2025).

3. Что грозит за нарушение 152-ФЗ?

Административная ответственность по ст. 13.11 КоАП (в редакции ФЗ-420, действует с 30.05.2025) — от 30 000 ₽ (ч. 3) до оборотного штрафа 1–3% годовой выручки, не менее 20 млн ₽ и не более 500 млн ₽ (ч. 15 при повторной утечке). Уголовная ответственность — по ст. 272.1 УК РФ (введена ФЗ-421, действует с 11.12.2024): незаконное использование, передача, сбор или хранение компьютерной информации с ПДн; максимальное наказание по ч. 5 — до 10 лет лишения свободы.

4. Нужно ли уведомлять РКН малому бизнесу?

Обязанность уведомить Роскомнадзор о намерении осуществлять обработку ПДн установлена ст. 22 ФЗ-152 для всех операторов, включая малый бизнес. Исключения перечислены в ч. 2 ст. 22: в частности, освобождены операторы, обрабатывающие ПДн только работников в рамках трудового договора или получившие данные в связи с заключением договора с субъектом. Если обработка выходит за рамки исключений — уведомление обязательно. За неуведомление с 30.05.2025 — штраф 100 000 — 300 000 ₽ по ч. 10 ст. 13.11 КоАП.

Итог

Ст. 13.1 ФЗ-152, введённая ФЗ-233 от 08.08.2024, сформировала самостоятельный правовой режим для обезличенных ПДн: установлены обязательные методы, порядок передачи обезличенных данных и ответственность за их несоблюдение. Для юриста это означает необходимость проверять не только наличие согласий и политики, но и соответствие применяемых методов обезличивания утверждённому перечню, наличие регламента и организацию хранения «ключей».

Практика DATUM охватывает аудит обезличивания в составе комплексной проверки соответствия 152-ФЗ — от анализа применяемых методов до разработки регламента и формирования пакета ОРД. Сопровождение ведётся с 2014 года в рамках сети «Ветров и партнёры».

Услуги DATUM по теме

• Аудит соответствия 152-ФЗ — проверка по 38 пунктам, включая режим обезличивания
• Комплект ОРД под ключ — регламент обезличивания, политика, согласия, приказы
• DPO-аутсорсинг — функция ответственного за обработку ПДн на абонементе

9 сентября 2026 года