С 30 ноября 2024 года в России приняты законы, которые навсегда изменили отношение к персональным данным. Теперь за утечку информации компаниям грозят не только миллионные штрафы, но и уголовная ответственность — до 5 лет лишения свободы.
Законодательство уже работает, а значит, каждая компания, которая хранит и обрабатывает персональные данные, должна не просто «навести порядок», а внедрить эффективные и проверяемые решения по их защите. В этом материале рассказываем, как соблюсти новые требования и подобрать надежные инструменты.
По порядку: законы о деперсонализации и их требования к бизнесу
Основной ФЗ‑152 «О персональных данных» от 27 июля 2006 г.
Установил базовые требования обработки данных.
- Получать осознанное и конкретное согласие субъекта на обработку персональных данных.
- Не передавать данные третьим лицам без основания.
- Обеспечивать защиту персональных данных: использовать сертифицированные ИБ-средства, ограничивать доступ, шифровать данные.
- Удалять или обезличивать данные по окончании целей обработки.
- Реагировать на утечки и уведомлять Роскомнадзор.
- С 1 марта 2023 года уведомлять Роскомнадзор о начале обработки данных, кроме случаев полностью бумажной обработки или систем ГИС.
Постановление Правительства от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»
Обязывает защищать данные при автоматизированной обработке в информационных системах. Документ устанавливает четыре уровня защищенности:
- 1 уровень — если обрабатываются специальные категории данных (например, здоровье, биометрия, политические взгляды), и утечка может нанести тяжелый вред субъекту (например, дискриминация, уголовное преследование). Требуется максимальная защита (СКЗИ, журналирование, контроль целостности и др.).
- 2 уровень — если утечка персональных данных общего характера (ФИО, паспорт, адрес) способна нанести средний вред (например, мошенничество, утрата конфиденциальности). Меры схожи с первым уровнем, но допускаются упрощения по криптографии и мониторингу.
- 3 уровень — вред от утечки незначителен, но данные все еще позволяют идентифицировать личность. Нужна защита от несанкционированного доступа, авторизация, базовые механизмы контроля.
- 4 уровень — применяется в ограниченных случаях, например, при обезличенных или сильно ограниченных наборах данных, где идентификация субъекта практически исключена. Минимальный набор мер — например, пароли и физическая безопасность.
На практике у большинства компаний уровень защищенности соответствует 2-му или 3-му уровню по Постановлению №1119. Проблема в том, что эти данные редко сосредоточены в одном месте: они «размазаны» по множеству систем: CRM, бухгалтерии, HR-сервисам, внешним интеграциям. Каждая такая точка — потенциальный риск. Именно поэтому требования к деперсонализации касаются не только «основной базы клиентов», но и всех окружных систем, где так или иначе появляются персональные данные.
Шифрование —
обязательная мера защиты, если в системе обрабатываются персональные данные 1-го или 2-го уровня защищенности. Применяются только сертифицированные средства криптографической защиты (СКЗИ), зарегистрированные в ФСБ. Это предотвращает доступ к ПДн даже в случае физического доступа к оборудованию.Журналирование —
фиксация всех действий с ПДн: кто, когда, откуда и какие данные запрашивал, просматривал, изменял или удалял. Журналы защищаются от изменения и хранятся в течение минимум 1 года. Это критически важно для расследования инцидентов и доказательства соблюдения закона при проверках Роскомнадзора или ФСТЭК.Обезличивание (или деперсонализация) —
процесс, при котором маскируются все элементы, позволяющие идентифицировать конкретного человека. При этом данные сохраняют структуру и смысловую целостность: имя становится другим именем, номер паспорта — другим, но похожим по формату номером, дата рождения — другой реалистичной датой.Поправки к ФЗ-152: что изменилось в требованиях к локализации персональных данных
С 2011 года компании обязаны хранить и обрабатывать персональные данные граждан РФ только на территории России. С 1 июля 2025 года введен запрет на сбор данных через «чужие» cookie и аналитику (Google Analytics и другие) без локализации или разрешения.
Приказ Роскомнадзора от 5 сентября 2013 г. N 996 «Об утверждении требований и методов по обезличиванию персональных данных»
Устанавливает требования и методы деперсонализации персональных данных.
Цель деперсонализации: сделать так, чтобы со структурой данных можно было продолжать работать внутри компании (например, для тестирования, аналитики или обучения моделей машинного обучения), но при этом никто не смог бы их скопировать или своровать.
Деперсонализация ≠ Шифрование
Оба метода защищают данные, но делают это по-разному.Анонимность
Структурированность
Семантическая
целостность
Полнота
Применимость
Релевантность
Новые требования по защите данных: что принесли ФЗ-420 и ФЗ-421
Новый административный кодекс вводит штрафы до 500 млн руб. для юридических лиц и до 800 тыс. для IT‑директоров. Административные штрафы за утечку зависят от числа затронутых субъектов:
- до 10 000 человек — до 3–5 млн руб.;
- до 100 000 — еще выше;
- крупные утечки — до 500 млн руб.
В УК РФ добавлена статья 272.1 об уголовной ответственности
до 5 лет лишения свободы, ответственность за незаконное хранение, сбор, использование и передачу персональных данных.
Эти меры уже вступили в силу с 30 мая 2025 года.
Главные способы защиты: шифрование и деперсонализация
Шифрование
требуется в работающих системах, где вы реально обрабатываете персональные данные клиентов — например, в CRM, в интернет-магазине, в приложении банка, на сервере авторизации.Деперсонализация
нужна там, где вам не важно, кто конкретно пользователь, а важно сохранить структуру данных. Она особенно важна, когда данные используются вне продуктивного контура: например, в тестовых средах, где с ними работают внешние подрядчики. Такие среды зачастую не защищены так же строго, как основная инфраструктура, и если в них попадают реальные персональные данные — компания автоматически нарушает закон. Здесь деперсонализация данных — не опция, а обязанность. И если она реализована вручную, через скрипты или устаревшие ETL-системы, компания по-прежнему в зоне риска.Когда нужно шифровать, а когда — обезличивать
Шифрование
+ Контроль доступа
Вы обрабатываете ПДн в «боевой» системе Деперсонализация
обязательна
Вы создаете тестовую/аналитическую копию Деперсонализация
+ шифрование
Вы передаете данные третьим лицам Шифрование и ограничение доступа
Вы храните данные в облакеВажно
- Шифрование не отменяет необходимости деперсонализации.
- Деперсонализация не освобождает от применения СКЗИ (средств криптографической защиты информации) при передаче данных.
- В тестовых средах или BI-сценариях только шифрования недостаточно — данные всё равно читаются.
Это особенно важно, когда данные используются вне продуктивного контура: например, в тестовых средах, где с ними работают внешние подрядчики. Такие среды зачастую не защищены так же строго, как основная инфраструктура, и если в них попадают реальные персональные данные — компания автоматически нарушает закон. Здесь деперсонализация данных — не опция, а обязанность. И если она реализована вручную, через скрипты, или устаревшие ETL-системы, компания по-прежнему в зоне риска.
Как выбрать инструмент шифрования базы данных
Если у вас база данных с персональными данными клиентов —
Если вы передаете данные по сети (API, веб) —
Если вы госкомпания или работаете с государством —
Если у вас разработка или DevOps-среда —
Если вы работаете с файлами (архивы, резервные копии) —
Как выбрать инструмент деперсонализации базы данных
ETL-процессы
ETL —
аббревиатура от Extract, Transform, Load, что в переводе означает извлечение, преобразование и загрузку. Такие решения часто применяются в построении хранилищ данных, BI-систем, а также в некоторых случаях — для деперсонализации.Сначала данные извлекаются (Extract) из источника — например, из базы клиентов, CRM, бухгалтерской системы или другого сервиса. Затем они проходят этап преобразования (Transform): данные нормализуются, фильтруются, очищаются, и при необходимости, обезличиваются или агрегируются. И наконец, данные загружаются (Load) в новое хранилище или тестовую среду, где с ними можно безопасно работать.
На первый взгляд ETL — удобный способ обезличивания: можно взять данные, прогнать их через ETL-сценарий, и на выходе получить безопасную копию. Однако в реальности у таких решений есть ряд критичных ограничений.
Готовые инструменты: сравнение
DataSan («Перфоманс Лаб»)
Методы маскирования
Автопоиск данных
Скорость обработки
Стоимость
Доступность в России
Основные сценарии
Сайт: https://datasan.ru/
Сфера: Обезличивание данных (Т1 / SFERA)
Методы маскирования
Автопоиск данных
Скорость обработки
Стоимость
Доступность в России
Основные сценарии
Oracle Data Masking and Subsetting (Oracle)
Методы маскирования
Автопоиск данных
Скорость обработки
Стоимость
Доступность в России
Основные сценарии
ARX (open-source)
Методы маскирования
Автопоиск данных
Скорость обработки
Стоимость
Доступность в России
Основные сценарии
Модуль «Деперсонализация клиентских данных» (HF Labs)
Методы маскирования
Автопоиск данных
Скорость обработки
Стоимость
Доступность в России
Основные сценарии
- обезличивание клиентских данных после завершения срока хранения по требованиям ФЗ‑152 при сохранении аналитических связей;
- возможность распознавания «экс‑клиента», если он снова обращается, путём сравнения нового хеша с базой существующих, даже при частичных изменениях данных (смена фамилии, формат адреса, опечатки и пр.);
- предотвращение ошибочного обезличивания, когда у клиента сохраняются активные договоры или согласия — в таких случаях деперсонализация не выполняется.
Сайт: https://hflabs.ru/uniform-client/depersonalizaciya-klientskih-dannyh
Грамотно внедренные инструменты обезличивания дают не только юридическую защиту. Они помогают ускорять разработку, тестировать новые продукты без риска утечек, безопасно делиться данными внутри команды и использовать их для аналитики и машинного обучения. Иными словами, деперсонализация превращается в мост между безопасностью и гибкостью: компания соблюдает требования регулятора и при этом сохраняет возможность работать с данными так, как того требует рынок.
Дальнейшие действия: внедряем процесс по шагам
Аудит данных
Оценка рисков
Выбор подхода
Инструменты
Пробный период
Внедрение в процессы
Контроль и поддержка
регулярно проверяйте корректность работы инструмента, обновляйте методики и фиксируйте результаты для возможных проверок Роскомнадзора.
