Что такое обезличивание по 152-ФЗ
Закон считает обезличиванием действия, после которых без дополнительной информации нельзя понять, какому человеку принадлежат данные. Важно слово «дополнительной». Если у вас есть таблица соответствия или ключ, связь с человеком никуда не делась. Просто доступ к ней теперь ограничен.
Поэтому смотрите на результат, а не на то, какие поля удалили. Удалить фамилию просто. Сложнее убедиться, что оставшиеся поля вместе не указывают на одного человека: город, дата рождения и редкая должность иногда работают не хуже паспорта.
Как обезличить персональные данные: основные методы
На практике используют несколько подходов, часто вместе. Выбор зависит от того, зачем нужны данные: для статистики, тестирования, передачи подрядчику или обучения модели.
Требования к методам обезличивания регулируются отдельными актами, и они меняются. Поэтому перед внедрением сверьте свою схему с актуальной редакцией и обсудите её с юристом.
- Замена идентификаторов: ФИО, телефон и email заменяют кодом, а таблицу соответствия хранят отдельно и под ограниченным доступом
- Обобщение: вместо точной даты рождения указывают возрастную группу, вместо адреса — регион
- Разделение: набор делят на части и хранят раздельно, чтобы ни одна часть не указывала на человека
- Перемешивание: значения переставляют между записями, общая статистика сохраняется, а связь с конкретным человеком теряется
- Удаление лишнего: поля, которые не нужны для задачи, проще не выгружать вовсе
Где обезличивание чаще всего не срабатывает
Самая частая ошибка — путать обезличивание с маскировкой. Если в выгрузке телефон показан как +7 *** ***-12-34, а ID клиента сохранён, данные остаются привязанными к человеку у каждого, кто видит вашу CRM.
Вторая ловушка — веб-аналитика. Маскировка IP в счётчике не означает, что посетитель анонимен: у счётчика обычно есть cookie-идентификатор, данные устройства и история визитов. Если такой счётчик запускается до согласия посетителя или отправляет данные иностранному сервису, это создаёт риск, и обезличивание на вашей стороне его не снимает.
Третья ловушка — порядок действий. Обезличить можно только то, что уже собрали. Если поле формы, пиксель или виджет отправили данные во внешний сервис, передача уже произошла, а основание для сбора нужно было иметь ещё до неё.
Проверьте вход: что сайт собирает до обезличивания
Обезличивание наводит порядок внутри компании. Но сначала нужно знать, что сайт собирает и куда отправляет. Это видно, если открыть сайт глазами нового посетителя: какие трекеры запускаются до клика по баннеру, к каким внешним сервисам идут запросы, что написано в формах и согласиях.
Dobrolex делает такую проверку с чистой сессии: фиксирует снимки экрана со временем, цитирует документы и связывает каждый факт с нормой. Сетевые запросы к внешним сервисам попадают в отчёт как обстоятельства, которые нужно проверить дополнительно, а не как установленный факт. Проверяются только публичные страницы, поэтому как вы обезличиваете данные на сервере и в CRM, проверка не покажет.
Проверьте сами за полчаса
- 01Выгрузка без косвенных идентификаторов. Откройте последнюю выгрузку для аналитики или подрядчика. Остались ли в ней email, ID клиента, номер заказа или точный адрес?
- 02Ключ хранится отдельно. Если вы заменяли данные кодами, проверьте, где лежит таблица соответствия и у кого к ней есть доступ.
- 03Комбинации полей. Посмотрите, не выделяют ли одного человека сочетания вроде даты рождения, города и должности. Если да, обобщите их.
- 04Счётчики до согласия. Откройте сайт в режиме инкогнито и, не трогая баннер, посмотрите в инструментах разработчика, появились ли cookie и запросы к аналитике.
- 05Иностранные сервисы. Составьте список виджетов, пикселей и форм, которые отправляют данные на внешние домены, и отметьте среди них иностранные.
- 06Формы и согласия. Сверьте поля каждой формы с целями из политики. Если поле для задачи не нужно, его лучше убрать.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 8 ст. 13.11 КоАП РФ
Нарушение требования хранить персональные данные граждан РФ в базах на территории России — штраф для юрлиц от 1 до 6 млн ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточникч. 12–14 ст. 13.11 КоАП РФ
Утечка персональных данных — штраф для юрлиц от 3 до 15 млн ₽ в зависимости от числа субъектов и идентификаторов.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Как обезличить персональные данные в выгрузке для подрядчика?
Уберите поля, которые не нужны для задачи. Прямые идентификаторы замените кодами, точные значения обобщите, а таблицу соответствия оставьте у себя под ограниченным доступом. Проверьте, что оставшиеся поля вместе не указывают на одного человека.
Если данные обезличены, они перестают быть персональными?
Это зависит от метода и от того, у кого есть ключ. При обратимом обезличивании связь с человеком сохраняется у того, кто хранит таблицу соответствия. Как квалифицировать ваш случай, лучше решать с юристом.
Маскировка части телефона — это обезличивание?
Обычно нет, если рядом остаются ID клиента, email или номер заказа. По ним человека можно найти без дополнительной информации.
Нужно ли согласие, если я сразу обезличу данные?
В момент сбора данные ещё персональные, поэтому основание для обработки нужно уже на этом этапе. Обезличивание не отменяет требований к сбору.
Решает ли обезличивание проблему со счётчиками аналитики?
Не полностью. Если счётчик запускается до согласия или отправляет cookie-идентификатор за рубеж, это создаёт риск ещё до того, как данные попадут к вам.
Покажет ли проверка сайта, правильно ли мы обезличиваем данные?
Нет. Проверка охватывает только публичные страницы: что сайт собирает, когда запускает трекеры и куда отправляет запросы. Серверная часть и внутренние процессы в неё не входят.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.