Утверждены правила формирования составов обезличенных данных и предоставления доступа к ним

Основные вопросы, урегулированные новыми правилами: как формируются составы персональных данных, полученных в результате их обезличивания, в каком порядке предоставляется доступ к таким данным третьим лицам, исключающий возможность повторной идентификации субъекта персональных данных.

Исполнение постановления будет реализовано при участии уполномоченного органа — Минцифры, который будет формировать составы обезличенных данных на основании информации, полученной от оператора персональных данных.

При формировании составов данных Минцифры обязано учитывать угрозы повторной идентификации, например, такие как связывание данных или определение исходных значений; проверять качество обезличивания и корректность группировки; проводить проверку в течение 30 рабочих дней с момента получения данных.

Правила предоставления доступа к сведениям, содержащимся в ГИС, предусматривают направление запроса о предоставлении доступа через личный кабинет. В запросе необходимо будет указать цель предоставления доступа, планируемый результат, срок обработки составов данных, правовые основания доступа к составам данных.

Кто может обратиться с таким запросом? Граждане и юридические лица. Доступ предоставляется только при соблюдении требований закона, и может быть прекращен, если данные используются с нарушением закона либо несут риски (ущерб, вред жизни, морали, безопасности и т.д.).

Уполномоченный орган вправе отказать в доступе, заблокировать его или прекратить предоставление в случаях, если: цели использования не соответствуют закону; запрос оформлен с нарушениями; есть попытки несанкционированной передачи, извлечения или записи данных; получена информация о потенциальном вреде.

Правила расширяют возможности бизнеса по работе с обезличенными данными, особенно в сфере IT, маркетинга, логистики, HR и ретейла, поскольку использование легального канала доступа к агрегированным данным, сгруппированным по значимым признакам, позволяет разрабатывать точные прогнозные модели без нарушения законодательства о персональных данных. Кроме того, введение требований к качеству обезличивания данных (использование методов, исключающих восстановление персональных данных и идентификацию конкретных физических лиц,) способствует большей защите персональных данных граждан.

До 1 сентября у компаний, на которые будут распространяться эти правила и которые будут использовать обезличенные данные, есть время для проведения аудита IT-инфраструктуры на предмет безопасной передачи и хранения персональных данных, обновить внутренние политики и процеду­ры работы с персональными данными.

В Постановлении установлены ключевые моменты при формировании составов данных. Минцифры должно учитывать угрозы безопасности персональных данных, связанные с возможной ре-идентификацией субъекта персональных данных (например, если в обезличенных данных окажется информация, относящаяся к конкретным гражданам).

Для нейтрализации этих угроз Минцифры вправе самостоятельно вносить изменения в данные, полученные от операторов: удалять, исправлять неточные или неполные данные, преобразовывать данные в другой формат. Формирование составов данных (включая нейтрализацию угроз) должно быть завершено в течение 30 рабочих дней с момента получения обезличенных данных от операторов.

Неясно, будут ли обнаруженные Минцифры ошибки и неточности в обезличенных данных (особенно если такие ошибки способны привести к ре-идентификации субъекта) свидетельствовать о том, что оператор не выполнил требования по обезличиванию или иным образом нарушил требования о защите персональных данных, и, соответственно, приводить к привлечению оператора к ответственности за нарушение законодательства о персональных данных.

Из Постановления также следует, что получить доступ к сформированным составам данных будет несколько сложнее, чем изначально следовало из положений ст. 13.1 Закона № 152-ФЗ. Для получения доступа пользователь должен направить запрос в личном кабинете ГИС. Запрос должен содержать (1) цель предоставления доступа к составам данных (при этом допустимы только цели, прямо предусмотренные федеральными законами), (2) планируемый результат, (3) срок обработки составов данных, (4) правовые основания доступа к составам данных.

При этом не определено, какая степень конкретизации сведений в запросе ожидается от пользователя. Так, на начальном этапе пользователь может не иметь четкого представления о «планируемом результате» обработки данных, поскольку он не осведомлен о том, какие данные содержатся в ГИС.

Также возникает вопрос, о каких «правовых основаниях доступа» идет речь: должны ли пользователи указывать на наличие правовых оснований из ч. 1 ст. 6 Закона № 152-ФЗ? Если так, то для граждан и компаний самым доступным основанием может быть обработка персональных данных в статистических или иных исследовательских целях (п. 9 ч. 1 ст. 6 Закона № 152-ФЗ). Также теоретически возможно использование такого основания как осуществление законных интересов оператора (п. 9 ч. 1 ст. 6 Закона № 152-ФЗ), однако необходимо помнить, что такое основание не распространено на практике и не ясно, какая глубина обоснования наличия интереса потребуется регулятору.

По результатам рассмотрения запроса Минцифры может попросить пользователя уточнить указанные сведения или предоставить недостающую информацию — такая практика Минцифры поможет прояснить, какая информация должна содержаться в запросе, в том числе касательно правовых оснований доступа и планируемого результата обработки.

Доступ к обрабатываемым составам данных будет прекращен по достижении цели обработки, при этом в Постановлении не конкретизируется, будет ли Минцифры строго принимать во внимание срок обработки данных, указанный пользователем в запросе на доступ.

Доступ к составам обезличенных данных можно будет получить с помощью специальной ГИС. Пользователю необходимо будет через свой личный кабинет в ГИС направить запрос о предоставлении данных с указанием (1) цели предоставления доступа, (2) планируемого результата обработки данных, (3) сроков обработки и (4) правовых оснований для доступа к составам данных.

Однако в отношении содержания данного запроса не ясно какие именно правовые основания необходимы для доступа к данным — имеется ли здесь в виду соответствие пользователя предъявляемым законом требованиям или какие-либо иные основания. Отсутствие определенности в этом вопросе может затруднить процесс формирования запроса для пользователей, так как недочеты или некорректная информация в нем могут повлечь отказ Минцифры в доступе.

В течение 5 рабочих дней Минцифры проверит запрос и направлит пользователю либо уведомление о предоставлении доступа, либо мотивированный запрос об уточнении сведений. В последнем случае пользователю дается 15 рабочих дней для устранения неточностей в запросе и предоставления релевантной информации/документов. Если дополнений со стороны пользователя в ответ на запрос Минцифры не поступит, то министерство направит уведомление об отказе в предоставлении доступа.

Правилами также предусмотрены ограничения по предоставлению некоторых составов данных определенным категориям лиц, случаи отказа в предоставлении доступа к составам данным и случаи блокировки доступа.

Интересно, что в правилах упоминается ситуация, когда запрашиваемые пользователем составы данных отсутствуют. В этом случае Минцифры направляет операторам требования предоставить соответствующие обезличенные данные. Таким образом, составы данных будут формироваться согласно потребностям пользователей, но все еще в рамках установленных Правительством случаев формирования составов данных (постановление Правительства РФ от 24.04.2025 № 538).

Таким образом, из постановления Правительства № 961 видно, что процедура формирования составов обезличенных данных и предоставления доступа к ним в достаточной степени регламентирована, однако, остались еще вопросы, требующие детализации. Тем не менее, полагаем, что возможно они будут разрешены в процессе использования ГИС.