что такое обезличивание персональных данных пример
Что такое обезличивание персональных данных пример
Разработанные специалистами Роскомнадзора методические рекомендации содержат анализ процессов автоматизированной обработки обезличенных данных в информационных системах государственных и муниципальных органов власти, требования к обезличенным данным и методологию обезличивания. Документ поможет адаптировать применение технологии обезличивания к конкретным задачам государственных и муниципальных организаций, оперирующих персональными данными.
Персональные данные обезличиваются за счет того, что некоторые данные (например, фамилия, имя, отчество) или связи между ними могут быть скрыты или изменены в процессе обработки. В таком случае исходные данные возможно восстановить, используя специальную дополнительную информацию.
Для корректной обработки персональных данных и их полноценной безопасности в процессе обезличивания и восстановления критически важно сохранить все свойства исходной информации – ее полноту, структурные связи, семантическую целостность. При этом необходимо обеспечить определенный заданный уровень анонимности данных, определяющий стойкость системы к атакам по деобезличиванию.
В методических рекомендациях приведена таблица соответствия методов обезличивания свойствам обезличенных данных, описаны процедуры обезличивания. Рассмотрены вопросы организации обработки обезличенных данных, правила и рекомендации по работе с обезличенными данными. Приведены рекомендации по выбору методов и процедур обезличивания, рассмотрены наглядные примеры.
Методология обезличивания прошла обсуждение с экспертным сообществом в рамках консультативного совета при Роскомнадзоре, а также процедуру согласования в Минкомсвязи России.
Федеральные органы исполнительной власти, администрации субъектов РФ и территориальные органы Роскомнадзора проинформированы в установленном порядке.
Контроль исполнения рекомендаций государственными и муниципальными операторами персональных данных планируется осуществлять со второго квартала 2014 года.
Время публикации: 18.12.2013 13:51
Последнее изменение: 30.04.2014 13:19
Что такое обезличивание персональных данных, для чего нужно, каковы правила работы с ними?
Обращение с персональными данными как физического, так и юридического лица в Российской Федерации регламентируется законодательством. Такая информация принадлежит владельцу и может обрабатываться только при наличии согласия.
Обезличивание позволяет компании снизить приоритетность информации, обезопасить хозяев за счет сокращения и изменениях ведомостей. В этом материале мы разберемся с тем, что собой представляет обезличивание данных, в каких случаях оно используется и с какой конечной целью.
Что это такое?
Обезличивание персональной информации является составляющей частью обработки материалов. В статье 7 Федерального закона РФ от 27 июля 2006 года «О персональных данных» сообщается, что под обезличиванием ведомостей понимается действие, которое делает невозможным определение принадлежности информации к конкретному лицу. При этом, речь идет только об идентификации физического или юридического лица на основе сообщений, которые подвергаются обезличиванию.
Статья 7 ФЗ №152 от 27 июля 2006 года «О персональных данных». Конфиденциальность персональных данных
Операторы и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
Эта же информация может помочь определить, к какому россиянину относятся ведомости, если будут использованы дополнительные источники. Обезличивание проводится как при помощи автоматизированных систем (компьютеров, программ), так и без использования таких средств.
Алгоритм доступен только операторам, имеющим в своем распоряжении информацию личного характера. После обезличивания материалов с оператора снимаются требования по обеспечению максимальной конфиденциальности.
Теперь вы в общих чертах знаете, что это такое – обезличенные данные о клиентах.
Для чего необходимо?
Роскомнадзор определяет обезличивание в качестве способа защиты информации от несанкционированного использования, однако сохранить возможность пользоваться ею дальше. В некоторых случаях операторам необходимо сохранить доступ к ведомостям на длительный срок. Если ликвидировать материалы невозможно, обезличивание станет достойной альтернативой.
Хранение персональных сообщений регулируется законом, требует выполнения мероприятий по обеспечению конфиденциальности. Например, в электронном виде сведения должны храниться в информационных системах, прошедших государственную экспертизу. Переведя данные в разряд обезличенных, оператор может сократить собственные расходы на хранение информации, ведь с этого момента они больше не позволяют определить их владельца.
Пример
Многие из жителей Российской Федерации пользуются интернет-магазинами для совершения быстрых и выгодных покупок. И каждый торговый портал является оператором ПД (персональных данных). Предположим, ресурс хранит сообщения о клиентах в электронном виде.
По каждому покупателю у оператора имеются следующие сведения: ФИО, город проживания, перечень заказанных товаров. Все эти материалы являются личными, дают возможность идентифицировать лицо с большой долей вероятности или способны, в случае неконтролируемого распространения, нанести гражданину – обладателю информации – вред.
Возьмем для примера метод декомпозиции. Он предусматривает разбивку массива информации (ФИО, город проживания и перечень товаров) на несколько частей, которые будут храниться отдельно друг от друга. Все три группы по отдельности не могут стать инструментом для идентификации человека.
Однако при любом способе деперсонализации данных интернет-магазин сохранит возможность оперировать необходимыми материалами, например, использовать информацию для собственных статистических исследований по популярности ресурса в отдельном населенном пункте или востребованности определенного товара.
Правила работы
Такие правила устанавливаются региональными муниципалитетами Российской Федерации на основе уже упомянутого Федерального закона «О персональных данных».
Теперь вы знаете, каковы правила работы с обезличенными данными о клиенте.
При помощи чего возможно?
Так как же обезличить ПД? Основные методы обезличивания информации утверждены в Приказе Роскомнадзора, органа осуществляющего надзор за реализацией государственной политики в сфере массовой коммуникации. В наши дни используются четыре основных метода обезличивания.
Пошаговая инструкция: как осуществить?
Основным нормативным документом при проведении обезличивания информации остается акт «О персональных данных» правительства Российской Федерации. Обезличивание считается вариантом обработки ПД, поэтому при проведении соответствующего действия необходимо выполнять основные требования, которые предъявляются к обработке:
Обработка данных включает в себя следующие составные мероприятия:
Обезличивание данных проводится исключительно для нужд самого оператора, поскольку в процессе этого мероприятия информация теряет важность. Хранить такие ведомости удобно для самого оператора, ведь обезличенные данные даже в случае несанкционированного распространения не смогут нанести вред субъектам. Тем не менее, они остаются персональной информацией, и доступ к ним должен быть ограничен по всем законам России.
Обезличенные данные и цифровая медицина
В настоящее время можно наблюдать развитие сервисов цифровой медицины, которые используются для анализа результатов обследований на основе большого массива имеющихся данных. К примеру, уже разработаны и активно используются программы, сравнивающие рентгенограммы патологий и рентгенограммы обследуемых пациентов, и отмечающие возможные места патологий на изучаемом снимке. Данные инструменты помогают медицинским работникам быстрее обрабатывать результаты исследований и ставить диагнозы. Преимущества подобных технологий очевидны, но для их работы требуется большой объём персональных данных, что налагает на их работу ряд законных ограничений.
Ключевым вопросом при определении режима использования обезличенных данных о результатах медицинский исследований является их возможная квалификация в качестве персональных. Для прояснения данного вопроса необходимо определить, возможно ли отнести такие данные к определённому или определяемому лицу (п.1 ст.3 ФЗ «О персональных данных»). П.9 ст.3 ФЗ «О персональных данных» гласит, что обезличиванием являются «действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных». Таким образом, в результате обезличивания персональные данные нельзя будет отнести к определённому лицу, но можно будет отнести к определяемому лицу путём использования дополнительной информации. Следовательно, рассматриваемые данные допустимо относить к персональным, если речь идёт именно об обезличивании.
Необходимо помнить, что определение «уничтожения» персональных данных (п.8 ст.3 ФЗ «О персональных данных») подразумевает совершение таких действий, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных. Следовательно, ключевым различием между обезличиванием и уничтожением является возможность восстановления данных до состояния персональных. И в рамках разных информационных систем одни и те же данные могут иметь возможность восстановления, так и не иметь.
Например, при снятии рентгенограммы медицинское учреждение может использовать на снимках пометки, содержащие имя и иные идентификаторы пациента, в результате чего данные снимков можно будет признать персональными. Но если медицинское учреждение передаст такие данные третьему лицу – оператору цифрового медицинского сервиса, в информационной системе последнего такие данные не будут являться персональными. В случае же, если в рамках своей же информационной системы медицинское учреждение безвозвратно уничтожит части снимков, содержащие идентифицирующие пометки, то такие данные перестанут быть персональными в результате уничтожения и без передачи третьему лицу. И в случае, если из рентгенограммы будет удалено имя пациента, но останется номер медицинской карты, такая операция будет считаться обезличиванием, поскольку определить субъекта персональных данных можно будет, сопоставив номер карты на снимке и номер карты в картотеке.
Таким образом, при использовании данных медицинских исследований оператор цифрового медицинского сервиса должен убедиться в отсутствии возможности их восстановления – в противном случае на процессы обработки данных будут распространяться ограничения, связанные с их персональным характером. И в этом случае необходимо исходить из того, к какой категории будут относиться персональные данные медицинских исследований.
Специальными персональными данным (ч.1 ст.10 ФЗ «О персональных данных») являются данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни. Не вызывает сомнений, что данные медицинских исследований можно отнести к специальным в случае их квалификации в качестве персональных. В качестве допустимых оснований обработки в рассматриваемых обстоятельствах можно назвать следующие (ч.2 ст.10 ФЗ «О персональных данных»):
— наличие письменного согласия – для оператора цифрового медицинского сервиса получение письменных согласий является затруднительным, но возможным, если получение согласий будет поручено медицинскому учреждению;
— осуществление обработки в медико-профилактических целях, в целях установления медицинского диагноза, оказания медицинских и медико-социальных услуг при условии, что обработка персональных данных осуществляется лицом, профессионально занимающимся медицинской деятельностью и обязанным в соответствии с законодательством Российской Федерации сохранять врачебную тайну – в данном случае не ясно, относится ли это основание исключительно к субъекту персональных данных или также к третьим лицами (например, в случае использования снимков других пациентов для установления диагноза иному пациенту), и, кроме того, данное основание подразумевает необходимость наличия лицензии на медицинскую деятельность, что, впрочем, не является абсолютным препятствием для оператора цифрового медицинского сервиса;
— необходимость обработки данных для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных либо жизни, здоровья или иных жизненно важных интересов других лиц в условиях невозможности получения согласия субъекта персональных данных – данное основание может быть применимо, но с оговоркой, что обработка персональных данных в информационной системе цифрового медицинского сервиса хотя и является полезной, но может не являться необходимой, а то обстоятельство, что получение согласия субъекта невозможно, подлежит доказыванию.
Независимо от квалификации данных медицинских исследований в качестве персональных необходимо также затронуть и аспект врачебной тайны. Согласно ч.1 ст.13 ФЗ «Об основах охраны здоровья граждан в Российской Федерации» врачебной тайной являются сведения о факте обращения гражданина за оказанием медицинской помощи, состоянии его здоровья и диагнозе, иные сведения, полученные при его медицинском обследовании и лечении. Поскольку даже в случае отсутствия возможности восстановления данных исследования до уровня персональных, такие данные по-прежнему будут относиться к иным сведениями, полученным при медицинском обследовании или лечении, а, следовательно, к врачебной тайне.
Ч.3 ст.13 ФЗ «Об основах охраны здоровья граждан в Российской Федерации» допускает передачу сведений, содержащих врачебную тайну, с письменного согласия гражданина или его законного представителя в целях медицинского обследования и лечения пациента, проведения научных исследований, их опубликования в научных изданиях, использования в учебном процессе и в иных целях. При этом п.8 ч.4 ст.13 ФЗ «Об основах охраны здоровья граждан в Российской Федерации» допускает передачу данных в медицинскую организацию и без письменного согласия. Таким образом, оператор цифрового медицинского сервиса будет вынужден либо получать соответствующую лицензию, либо получать письменные согласия от пациентов, что наравне с получением письменного согласия на обработку персональных данных целесообразнее поручить медицинскому учреждению, непосредственно проводящему обследование.
Удаляем персональные данные из общего доступа: нововведения с 1 марта
 |
| vladimirobradovic75@gmail.com / Depositphotos.com |
1 марта вступили в силу поправки в Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (далее – Закон № 152-ФЗ). На кого распространяется новый закон, при каких условиях и каким образом можно удалить свои персональные данные из общего доступа – в нашем материале.
Зачем нужен новый закон?
Закон направлен на создание механизмов защиты прав и свобод субъектов персональных данных, чьи персональные данные участвуют в общедоступном обороте. В соответствии с мнением депутатов Госдумы, действующая на момент внесения законопроекта на рассмотрение правовая конструкция позволяла третьим лицам осуществлять сбор и последующее неконтролируемое использование указанных персональных данных на интернет-сайтах в целях, отличных от цели их первоначального распространения, а равно с ориентиром на иные целевые аудитории, что нарушает принцип целеполагания, установленный ст. 5 Закона № 152-ФЗ.
Теперь субъект персональных данных имеет право обратиться к любому оператору персональных данных с требованием удалить его персональные данные из общего доступа без дополнительных условий доказывания факта неправомерной обработки персональных данных. Требовать от оператора блокирования или уничтожения персональных данных можно было и раньше, однако с соблюдением условия – необходимо было доказать, что они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав (в соответствии с ч. 1 ст. 14 Закона № 152-ФЗ). Новый закон позволяет осуществлять соответствующие запросы только по причине того, что персональные данные принадлежат субъекту.
Основное отличие нововведений от предыдущей правовой конструкции заключается в том, что любой человек теперь сам может принять решение в отношении того, какие персональные данные могут использоваться публично. Субъект персональных данных сам устанавливает их перечень, при этом причины можно не указывать – оператор обязан удалить данные из общего доступа просто потому, что они относятся к определенному или определяемому лицу. Согласие должно быть выражено отдельно от других согласий на обработку персональных данных.
Что нового вводит закон в отношении законодательства о персональных данных?
Поправки вводят новый термин – персональные данные, разрешенные субъектом персональных данных для распространения. К ним относятся такие персональные данные, доступ неограниченного круга лиц к которым предоставлен их субъектом (подп. 1.1 ст. 3 Закона 152-ФЗ). Такое разрешение выражается путем дачи согласия на обработку персональных данных. Согласие должно оформляться отдельно от других согласий субъекта персональных данных на обработку его персональных данных. Оператор обязан обеспечить субъекту возможность определить перечень персональных данных по каждой категории, указанной в таком согласии (ч. 1 ст. 10.1 Закона № 152-ФЗ). Субъект также имеет право ограничить обработку персональных данных оператором – например, если в согласии не было прямого разрешения на распространение персональных данных, оператор имеет право их обрабатывать, но без распространения (ч. 4 ст. 10.1 Закона № 152-ФЗ). При этом молчание и бездействие субъекта персональных данных не является согласием на обработку (ч. 8 ст. 10.1 Закона № 152-ФЗ).
На кого распространяются положения закона?
Под ответственность попадают все операторы, которые выкладывают персональные данные в общий доступ. К таким оператором относятся, например, социальные сети. Таким образом согласие может быть предоставлено непосредственно оператору (в соответствии с п.1 ч. 6 ст. 10.1 Закона № 152-ФЗ), то есть направлено в письменном виде самой социальной сети. Впоследствии предоставление согласия можно будет совершать с использованием системы Роскомнадзора как уполномоченного органа по защите прав субъектов персональных данных – соответствующие поправки вступают в силу с 1 июля текущего года. Согласие должно быть рассмотрено оператором в срок не позднее трех рабочих дней (ч. 9 ст. 10.1 Закона № 152-ФЗ).
Каким образом можно прекратить обработку персональных данных в общем доступе?
Любое лицо, чьи персональные данные находятся в общем доступе, может прекратить такую обработку, включая передачу, распространение, предоставление и доступ к персональным данным. Закон определяет перечень сведений, которые должно содержать такое требование:
Таким образом, с момента поступления оператору соответствующего требования прекращается действие согласия на обработку персональных данных, разрешенных для распространения. Оператор обязан прекратить передачу (распространение, предоставление, доступ) персональных данных в течение трех рабочих дней с момента получения требования субъекта персональных данных.
Также субъект имеет право обратиться с соответствующим требованием в суд (в соответствии с ч. 14 ст. 10.1 Закона № 152-ФЗ). Оператор обязан прекратить передачу персональных данных в срок, указанный во вступившем в законную силу решении суда. Если такого указания в решении суда нет – в течение трех рабочих дней с момента вступления решения суда в законную силу.
Важно обратить внимание, что субъект персональных данных вправе обратиться с таким требованием к любому лицу, обрабатывающему его персональные данные, в случае несоблюдения положений законодательства. Иными словами, гражданство и местонахождение оператора не имеют значения – если осуществляется обработка персональных данных субъекта-гражданина РФ, то требования закона на этот случай распространяется.
Какая ответственность предусмотрена для операторов за неисполнение требований закона?
Ответственность операторов за нарушение законодательства о персональных данных регламентируется ст. 13.11 КоАП. На данный момент санкции за обработку персональных данных без согласия субъекта предусмотрены следующие:
С 27 марта текущего года вступят в силу поправки об ужесточении ответственности оператора за нарушение положений законодательства о персональных данных (Федеральный закон от 24 февраля 2021 г. № 19-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях»). Во-первых, все существующие санкции в виде штрафов увеличиваются вдвое. Также упраздняется такой вид санкции как предупреждение. И, наконец, устанавливаются санкции за повторное нарушение.
После вступления в силу поправок санкции будут предусмотрены следующие:
При повторном нарушении предусмотрены следующие штрафы:
Обезличивание персональных данных
Допустим, не удалось доказать, что данный набор ПД принадлежит (принадлежал ранее) только одному лицу. А какие еще возможны варианты? Их два – либо данный набор может принадлежать более, чем одному лицу, либо – менее, чем одному, т.е. никому.
К первому случаю относится любой недостаточный набор ПД (ПД могут принадлежать многим людям одновременно, например, имя или дата рождения) или избыточный набор ПД (например, специально указаны два имени), и здесь очень важно, сколько именно потенциальных субъектов, и чем ограничена эта группа людей (например, человека легче найти по имени, если известно, что это работник предприятия – не надо забывать, что свойства самого набора ПД – это тоже информация!).
Ко второму случаю относятся искаженные ПД (кодировка, маскировка, криптография и т.п.), и здесь возможность идентификации зависит только от степени искажения.
Таким образом, если мы найдем и технически реализуем способ обработки, который приведет ПД к описанным случаям, то значит – мы обезличили ПД. Найти такие способы несложно – можно например их взять из стандарта США NIST SP 800-122 (название можно перевести как «Способы защиты конфиденциальности ПД»). Но официально он у нас не принят, поэтому перейдем сразу к рассмотрению технической реализации.
Первый случай гораздо интересней из-за своей неочевидности. Неочевидность состоит как раз в реализации обратимости. Очень легко можно сделать набор ПД и недостаточным и избыточным – убрать часть данных или добавить лишние, но убранное нельзя выбросить – придется его поместить в другое место, которое не будет доступно одновременно (ни на каком рабочем месте) с оставшимся набором ПД. Если же ПД добавлены, то в недоступное место должна быть спрятана информация об этой разнице.
В стандарте NIST SP 800-122 этот способ указан, как «разделение баз данных с использованием перекрестных ссылок». Такое разделение используется повсеместно при работе с любыми базами данных, но там не стоит задача обезличивания, поэтому базы хоть и разделены в разные хранилища, но имеют логическую связь и потому обрабатываются одновременно.
Стыковка (сопоставление) этих баз для реализации обратимости должна производиться по некому коду (идентификатору) – уникальному, но абсолютно абстрактному (нельзя использовать номера документов человека – эти реквизиты будут в справочнике). Суть стыковки состоит в сравнении идентификатора из одной базы с идентификатором другой базы – когда они одинаковы, значит, информация двух баз состыкована. Если сравнение производится на рабочем месте справочной ИСПДн, то здесь обезличенная база может быть доступна (доступность будет односторонняя, и при этом класс ИСПДн будет выше 3-го), но если сравнение производится на рабочем месте обезличенной ИСПДн, то база-справочник на этом месте недоступна, и в этом случае идентификатор из справочника может попасть в обезличенную базу только через внешний носитель. При этом внешний носитель не должен иметь реальных реквизитов того человека, код которого в нем записан. Хотя может иметь абстрактные признаки (цвет, рисунок и т.п.).
Для того, чтобы человека можно было обслуживать в рамках обезличенной базы, он должен каждый раз предъявлять этот самый внешний носитель, т.е. постоянно носить его с собой. При этом внешний носитель может иметь любую природу (бумажный, пластиковый, металлический), а абстрактные признаки носителя будут понятны только хозяину и позволят легко отличить свой носитель от чужих.
Такой способ обезличивания кажется настолько простым, что возникают сомнения в его эффективности и надежности. Насколько уменьшатся затраты на создание системы защиты с использованием обезличивания? Что будет, если человек потеряет этот носитель, или его украдут с целью получения доступа к ПД хозяина? Подобные вопросы возникают, и наверняка будут возникать, но это не может служить причиной для отказа от новых технологий, а только поводом для дальнейшего их совершенствования.
Несмотря на остроту проблемы и простоту реализации, данный способ использования внешних носителей в процессе обезличивания ПД был запатентован только в апреле 2011 года нашей организацией (патент №103414).