---
title: "\"Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. N 996 \"Об утверждении требований и методов по обезличиванию персональных данных\""
issuer: "Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций"
status: утратил силу
canonical: "https://bukva.ai/docs/metodicheskie-rekomendatsii-po-primeneniyu-roskomnadzor-federalnaya"
---

## "Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. N 996 "Об утверждении требований и методов по обезличиванию персональных данных"

# "Методические рекомендации по применению приказа Роскомнадзора от 5 сентября 2013 г. N 996 "Об утверждении требований и методов по обезличиванию персональных данных"

(утв. Роскомнадзором 13.12.2013)

> [!WARNING]
> Документ фактически утратил силу в связи с изданием [Приказа](https://bukva.ai/docs/prikaz-140-2025-roskomnadzor-federalnaya#p100010) Роскомнадзора от 19.06.2025 N 140, которым отменен [Приказ](https://bukva.ai/docs/prikaz-996-2013) Роскомнадзора от 05.09.2013 N 996.


<div align="right">

<a id="p100001"></a>Утверждаю<br>
Руководитель Федеральной службы<br>
по надзору в сфере связи,<br>
информационных технологий<br>
и массовых коммуникаций<br>
**А.А.ЖАРОВ**

</div>

<div align="center">

13.12.2013

</div>



## <a id="p100002"></a>МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ

**ПО ПРИМЕНЕНИЮ ПРИКАЗА РОСКОМНАДЗОРА ОТ 5 СЕНТЯБРЯ 2013 Г.**
**N 996 "ОБ УТВЕРЖДЕНИИ ТРЕБОВАНИЙ И МЕТОДОВ ПО ОБЕЗЛИЧИВАНИЮ**
**ПЕРСОНАЛЬНЫХ ДАННЫХ"**


### <a id="p100003"></a>Общие положения


<a id="p100004"></a>[Постановлением](https://bukva.ai/docs/postanovlenie-211-2012) Правительства Российской Федерации от 21 марта 2012 г. N 211 утвержден перечень мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным [законом](https://bukva.ai/docs/zakon-152-fz-2006/statya-1) "О персональных данных" и принятыми в соответствии с ним нормативными правовыми актами, операторами, являющимися государственными или муниципальными органами (далее - Перечень).
<a id="p100005"></a>В соответствии с [п. п. з) п. 1](https://bukva.ai/docs/postanovlenie-211-2012#p100029) Перечня одной из мер, направленных, в первую очередь, на минимизацию рисков причинения вреда конкретным гражданам в случае утечки их персональных данных из информационных систем персональных данных, является обезличивание персональных данных согласно требованиям и методам, установленным уполномоченным органом по защите прав субъектов персональных данных.
<a id="p100006"></a>Роскомнадзором, как уполномоченным органом по защите прав субъектов персональных данных в Российской Федерации, установлены [требования и методы](https://bukva.ai/docs/prikaz-996-2013#p100011) по обезличиванию персональных данных, обрабатываемых в информационных системах персональных данных, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ, которые утверждены приказом Роскомнадзора от 5 сентября 2013 г. N 996 (далее - Приказ).
<a id="p100007"></a>Данные методические рекомендации разработаны с целью оказания помощи операторам, осуществляющим обработку персональных данных и являющимся государственными или муниципальными органами (далее - Методические рекомендации, Операторы), в выборе предпочтительных вариантов реализации утвержденных требований и методов на практике.
<a id="p100008"></a>Методические рекомендации содержат методологию обезличивания персональных данных в информационных системах, а также построение процессов дальнейшей обработки данных, полученных в результате обезличивания (далее - обезличенные данные).
<a id="p100009"></a>Методические рекомендации содержат анализ процессов автоматизированной обработки обезличенных данных, требований к обезличенным данным и методам обезличивания, позволяющий выделить основные свойства обезличенных данных и методов обезличивания и оценить возможности их применения при решении задач обработки персональных данных с учетом вида деятельности Оператора и необходимых действий с персональными данными.
<a id="p100010"></a>В Методических рекомендациях используются следующие термины и определения:
<a id="p100011"></a>Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
<a id="p100012"></a>Деобезличивание - действия, в результате которых обезличенные данные принимают вид, позволяющий определить их принадлежность конкретному субъекту персональных данных, то есть становятся персональными данными.
<a id="p100013"></a>Информационная система персональных данных - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств, в том числе созданных и функционирующих в рамках реализации федеральных целевых программ.
<a id="p100014"></a>Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
<a id="p100015"></a>Обезличенные данные - это данные, хранимые в информационных системах в электронном виде, принадлежность которых конкретному субъекту персональных данных невозможно определить без дополнительной информации.
<a id="p100016"></a>Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
<a id="p100017"></a>Обработка обезличенных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации, с обезличенными данными, без применения их предварительного деобезличивания.
<a id="p100018"></a>Оператор - государственный орган или муниципальный орган, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
<a id="p100019"></a>Персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных) и хранимая в информационных системах в электронном виде.
<a id="p100020"></a>Персональные данные субъекта представляются в виде записи, которая является самостоятельной единицей данных, имеет определенную структуру и содержит множество значений атрибутов персональных данных субъекта.
<a id="p100021"></a>Обезличенные данные субъекта представляются в виде записи, которая является самостоятельной единицей данных, имеет определенную структуру и содержит множество значений атрибутов обезличенных данных.
<a id="p100022"></a>Атрибут персональных данных субъекта - элемент структуры персональных данных (параметр персональных данных). Атрибут имеет название и может иметь множество возможных количественных и качественных значений применительно к конкретным субъектам персональных данных.
<a id="p100023"></a>Атрибут обезличенных данных субъекта - элемент структуры обезличенных данных (параметр обезличенных данных). Атрибут имеет название и может иметь множество возможных количественных и качественных значений.
<a id="p100024"></a>Семантика атрибута персональных данных - смысловое значение названия атрибута, обозначения персональных данных.
<a id="p100025"></a>Семантика атрибута, обезличенных данных - смысловое значение названия атрибута, обозначения обезличенных данных.
<a id="p100026"></a>Персональные данные множества субъектов представлены в виде множества (массива) записей персональных данных.
<a id="p100027"></a>Ниже приводятся свойства обезличенных персональных данных, определяющие возможность их применения для конкретных видов обработки персональных данных с целью решения прикладных задач, стоящих перед Оператором в зависимости от вида его деятельности и связанных с обработкой персональных данных.
<a id="p100028"></a>Свойства обезличенных данных:
<a id="p100029"></a>Полнота - сохранение всей информации о персональных данных конкретных субъектов или группах субъектов, которая имелась до обезличивания.
<a id="p100030"></a>Структурированность - сохранение структурных связей между обезличенными данными конкретного субъекта или группы субъектов, соответствующих связям, имеющимся до обезличивания.
<a id="p100031"></a>Релевантность - возможность обработки запросов по обработке персональных данных и получения ответов в одинаковой семантической форме.
<a id="p100032"></a>Семантическая целостность - соответствие семантики атрибутов обезличенных данных семантике соответствующих атрибутов персональных данных при их обезличивании.
<a id="p100033"></a>Применимость - возможность обработки персональных данных с целью решения задач, стоящих перед Оператором, без предварительного деобезличивания всего объема записей о субъектах.
<a id="p100034"></a>Анонимность - невозможность однозначной идентификации субъектов данных, полученных в результате обезличивания, без применения дополнительной информации.
<a id="p100035"></a>Наличие перечисленных свойств обеспечивается применяемыми методами обезличивания.


### 1. <a id="p100036"></a>МЕТОДЫ ОБЕЗЛИЧИВАНИЯ


<a id="p100037"></a>Методы обезличивания, кроме обеспечения требуемых свойств обезличенных данных, должны быть практически реализуемыми в различных программных средах и позволять решать поставленные перед Оператором задачи обработки персональных данных либо с предварительным деобезличиванием, либо без деобезличивания.
<a id="p100038"></a>К методам обезличивания, установленным [Приказом](https://bukva.ai/docs/prikaz-996-2013), относятся:
<a id="p100039"></a>метод введения идентификаторов - замена части сведений (значений персональных данных) идентификаторами с созданием таблицы (справочника) соответствия идентификаторов исходным данным;
<a id="p100040"></a>метод изменения состава или семантики - изменение состава или семантики персональных данных путем замены результатами статистической обработки, преобразования, обобщения или удаления части сведений;
<a id="p100041"></a>метод декомпозиции - разделение множества (массива) персональных данных на несколько подмножеств (частей) с последующим раздельным хранением подмножеств;
<a id="p100042"></a>метод перемешивания - перестановка отдельных значений или групп значений атрибутов персональных данных в массиве персональных данных.
<a id="p100043"></a>Применение того или иного метода обезличивания позволит получить обезличенные данные, обладающие различными свойствами, что даст возможность осуществлять все виды обработки персональных данных. В связи с этим, в описании методов обезличивания указаны условия, обеспечивающие выполнение определенных свойств и требований.
<a id="p100044"></a>Следует также отметить, что существуют виды (задачи) обработки персональных данных, когда наличие всех требуемых свойств не обязательно, например, при решении статистических задач. Таким образом, в каждом конкретном случае необходимо применять метод, который гарантирует свойства, необходимые для решения конкретных задач обработки стоящих перед Оператором.
<a id="p100045"></a>Далее, в описании методов обезличивания, приводятся рекомендации по применению утвержденных методов обезличивания.


#### <a id="p100046"></a>1.1 Метод введения идентификаторов.

<a id="p100047"></a>Метод реализуется путем замены части персональных данных, позволяющих идентифицировать субъекта, их идентификаторами и созданием таблицы соответствия (справочника идентификаторов).
<a id="p100048"></a>Применение данного метода позволяет получить обезличенные данные обладающие следующими свойствами:
<a id="p100049"></a>полнота - информация, позволяющая идентифицировать субъектов персональных данных, не удаляется, а переносится в таблицу соответствия;
<a id="p100050"></a>структурированность - каждому идентификатору после процедуры обезличивания однозначно соответствует свой набор данных;
<a id="p100051"></a>семантическая целостность - вид представления данных не меняется, они лишь переносятся в таблицу соответствия.
<a id="p100052"></a>Анонимность возможно обеспечить только при определенных правилах выбора идентификаторов и заменяемых ими персональных данных, поскольку метод не устойчив к атакам, направленным на справочники идентификаторов при косвенном деобезличивании и атакам, направленным на деобезличивание с использованием информации из справочников идентификаторов, кроме того, стойкость метода не повышается с увеличением объема обезличиваемых данных.
<a id="p100053"></a>Также обеспечивается применимость - Оператор может осуществлять обработку отдельных записей и всех обезличенных данных без деобезличивания.
<a id="p100054"></a>Обезличенные данные, полученные в результате применения названного метода, не будут обладать свойством релевантности, поскольку в запросе и в ответе на запрос изменяется вид представления персональных данных, которые были заменены идентификаторами.
<a id="p100055"></a>Применение данного метода позволит сохранить в записях связи между атрибутами обезличенных данных, соответствующие связям между атрибутами персональных данных.
<a id="p100056"></a>Метод введения идентификаторов целесообразно применять при небольшом количестве атрибутов персональных данных и небольшом объеме массива персональных данных, в связи с тем, что объем справочников будет напрямую зависеть от этих параметров. Вычислительная эффективность метода значительно снижается при частом внесении изменений в состав данных и значения атрибутов.


#### <a id="p100057"></a>1.2 Метод изменения состава или семантики.

<a id="p100058"></a>Метод реализуется путем обобщения, изменения значений атрибутов персональных данных или удаления части сведений, позволяющих идентифицировать субъекта.
<a id="p100059"></a>Применение данного метода позволяет получить обезличенные данные, обладающие следующими свойствами:
<a id="p100060"></a>структурированность - связь между отдельными значениями атрибутов персональных данных субъекта не нарушается;
<a id="p100061"></a>анонимность - удаление или обобщение части данных приводит к неоднозначности при идентификации с использованием обезличенных данных.
<a id="p100062"></a>Полученные обезличенные данные могут обладать свойством полноты только при проведении изменений в составе персональных данных, гарантирующих сохранность данных. При удалении части сведений полученные обезличенные данные утрачивают свойство полноты.
<a id="p100063"></a>Семантическая целостность полученных данных обеспечивается только при условии проведения изменений в составе персональных данных, сохраняющих семантику данных. Изменения должны учитывать специфику задач обработки, стоящих перед Оператором.
<a id="p100064"></a>Также обеспечиваются следующие свойства обезличенных данных:
<a id="p100065"></a>частичная релевантность, поскольку в определенных случаях возможно получить семантическое соответствие поискового запроса и полученного ответа на запрос;
<a id="p100066"></a>применимость, поскольку Оператор может осуществлять обработку, не требующую деобезличивания всего объема данных о субъектах.
<a id="p100067"></a>При выделении атрибутов персональных данных необходимо учитывать возможность проведения обезличивания с использованием данных атрибутов. При простом изменении значений отдельных атрибутов обезличивание может не произойти, поскольку произойдет только изменение состава персональных данных.
<a id="p100068"></a>Применение данного метода позволяет частично сохранить в записях связи между атрибутами обезличенных данных, соответствующие связям между атрибутами персональных данных.
<a id="p100069"></a>Метод изменения состава и семантики целесообразно применять в случае, когда возможно изменение состава и семантики, так, что задачи обработки персональных данных не требуют деобезличивания, поскольку метод не обладает свойством обратимости при любых изменениях состава и семантики данных. В противном случае необходимо использовать дополнительную информацию для проведения деобезличивания.
<a id="p100070"></a>Данный метод также целесообразно применять в случаях автономного использования Оператором обезличенных данных, когда не требуется совместимость с данными других Операторов.


#### <a id="p100071"></a>1.3 Метод декомпозиции.

<a id="p100072"></a>Метод реализуется путем разделения множества атрибутов персональных данных на несколько подмножеств и создания таблиц, устанавливающих связи между подмножествами (таблицы связей), с последующим раздельным хранением записей, соответствующих подмножествам этих атрибутов.
<a id="p100073"></a>Применение данного метода позволит получить обезличенные данные, обладающие следующими свойствами:
<a id="p100074"></a>полнота - информация о субъектах персональных данных не удаляется, а переносится в другое хранилище;
<a id="p100075"></a>структурированность - сохраняется связь между записями в разных хранилищах, что позволяет однозначно сопоставлять их;
<a id="p100076"></a>семантическая целостность - семантика и вид представления данных о субъекте не изменяется.
<a id="p100077"></a>Анонимность обеспечивается только при достаточно сложных связях между хранилищами и защите хранилищ от несанкционированного доступа, поскольку метод не устойчив к атакам, направленным на деобезличивание путем анализа данных из различных хранилищ и косвенному деобезличиванию.
<a id="p100078"></a>Также обеспечиваются следующие свойства обезличенных данных:
<a id="p100079"></a>релевантность, поскольку возможно получить семантическое соответствие поискового запроса и полученного ответа на запрос;
<a id="p100080"></a>применимость, поскольку Оператор может осуществлять обработку данных, расположенных в одном хранилище, как независимо от другого, так и при совместном их использовании, без деобезличивания всего объема обезличенных данных.
<a id="p100081"></a>Применение данного метода позволяет сохранить в записях каждого хранилища связи между атрибутами обезличенных данных, соответствующие связям между атрибутами персональных данных.
<a id="p100082"></a>Метод декомпозиции целесообразно применять при большом количестве атрибутов персональных данных, но при достаточно редком внесении изменений в состав данных и значения атрибутов.


#### <a id="p100083"></a>1.4 Метод перемешивания.

<a id="p100084"></a>Метод реализуется путем перемешивания (перестановки) отдельных значений или групп значений атрибутов персональных данных между собой.
<a id="p100085"></a>Применение данного метода позволит получить обезличенные данные, обладающие следующими свойствами:
<a id="p100086"></a>полнота - вся информация о субъектах персональных данных сохраняется;
<a id="p100087"></a>структурированность - связи между данными полностью восстанавливаются при деобезличивании;
<a id="p100088"></a>семантическая целостность - семантика и вид представления данных о субъекте не изменяется;
<a id="p100089"></a>анонимность - данные перемешиваются по каждому отдельному атрибуту записи о субъекте, что не позволяет без доступа к дополнительной (служебной) информации определить принадлежность тех или иных данных конкретному субъекту.
<a id="p100090"></a>Также обеспечиваются следующие свойства обезличенных данных:
<a id="p100091"></a>релевантность, поскольку возможно получить семантическое соответствие поискового запроса и полученного ответа на запрос;
<a id="p100092"></a>применимость, поскольку при наличии доступа к дополнительной (служебной) информации Оператор может осуществлять обработку как отдельных записей о субъектах, так и всех данных, без деобезличивания всего объема обезличенных данных.
<a id="p100093"></a>Применение данного метода не позволяет сохранить в записях связи между атрибутами обезличенных данных, соответствующие связям между атрибутами персональных данных.
<a id="p100094"></a>Метод перемешивания целесообразно применять при большом количестве атрибутов персональных данных и большом объеме массива персональных данных, поскольку стойкость метода к атакам направленным на деобезличивание увеличивается с увеличением указанных параметров, а количество дополнительной информации слабо зависит от объема массива персональных данных.
<a id="p100095"></a>Метод перемешивания эффективен при необходимости сложной обработки персональных данных, частом внесении изменений в значения атрибутов.
<a id="p100096"></a>Результаты сопоставления свойства обезличенных данных с методами обезличивания приведены в Таблице 1.


#### <a id="p100097"></a>Таблица 1 - Соответствие методов обезличивания свойствам обезличенных данных



<table>
<colgroup><col width="29%"><col width="21%"><col width="17%"><col width="16%"><col width="16%"></colgroup>
<tr><td><a id="p100098"></a>Метод обезличивания</td><td rowspan="2"><a id="p100099"></a>Метод введения идентификаторов</td><td rowspan="2"><a id="p100100"></a>Метод изменения состава или семантики</td><td rowspan="2"><a id="p100101"></a>Метод декомпозиции</td><td rowspan="2"><a id="p100102"></a>Метод перемешивания</td></tr>
<tr><td><a id="p100103"></a>Свойства обезличенных данных</td></tr>
<tr><td><a id="p100104"></a>Полнота</td><td><a id="p100105"></a>+</td><td><a id="p100106"></a>+/-</td><td><a id="p100107"></a>+</td><td><a id="p100108"></a>+</td></tr>
<tr><td><a id="p100109"></a>Структурированность</td><td><a id="p100110"></a>+</td><td><a id="p100111"></a>+</td><td><a id="p100112"></a>+</td><td><a id="p100113"></a>+</td></tr>
<tr><td><a id="p100114"></a>Релевантность</td><td><a id="p100115"></a>+/-</td><td><a id="p100116"></a>+</td><td><a id="p100117"></a>+</td><td><a id="p100118"></a>+</td></tr>
<tr><td><a id="p100119"></a>Семантическая целостность</td><td><a id="p100120"></a>+</td><td><a id="p100121"></a>+/-</td><td><a id="p100122"></a>+</td><td><a id="p100123"></a>+</td></tr>
<tr><td><a id="p100124"></a>Применимость</td><td><a id="p100125"></a>+</td><td><a id="p100126"></a>+</td><td><a id="p100127"></a>+</td><td><a id="p100128"></a>+</td></tr>
<tr><td><a id="p100129"></a>Анонимность</td><td><a id="p100130"></a>+/-</td><td><a id="p100131"></a>+</td><td><a id="p100132"></a>+/-</td><td><a id="p100133"></a>+</td></tr>
<tr><td colspan="5"><a id="p100134"></a>+ безусловное наличие свойства<br>+/- условное наличие свойства, см. описание метода</td></tr>
</table>



### 2. <a id="p100135"></a>ПРОЦЕДУРЫ ОБЕЗЛИЧИВАНИЯ


<div align="center">

<a id="p100136"></a>Процедура обезличивания обеспечивает практическую реализацию метода обезличивания и задается своим описанием.<br>
<a id="p100137"></a>Допускается программная реализация процедуры различными способами и средствами, доступными Оператору.<br>
<a id="p100138"></a>Различные способы реализации одной процедуры должны обеспечивать одинаковые результаты.<br>
<a id="p100139"></a>Описание процедуры обезличивания должно обеспечивать однозначную трактовку проводимых действий по обезличиванию/деобезличиванию и включает:<br>
<a id="p100140"></a>алгоритмы обезличивания и деобезличивания;<br>
<a id="p100141"></a>параметры процедур обезличивания/деобезличивания;<br>
<a id="p100142"></a>оценку объема дополнительных данных (параметры процедуры) для проведения обезличивания;<br>
<a id="p100143"></a>правила проведения процедуры и выбора значений параметров процедуры;<br>
<a id="p100144"></a>характеристики процедуры, связанные с качеством обезличенных данных, ее трудоемкостью, стойкость к различным атакам.

</div>



#### <a id="p100145"></a>2.1. Процедура реализации метода введения идентификаторов

<a id="p100146"></a>Каждому значению идентификатора должно соответствовать одно значение атрибута и каждому значению атрибута должно соответствовать одно значение идентификатора.
<a id="p100147"></a>Таблицы соответствия (дополнительные данные) создаются для каждого атрибута персональных данных, значения которых заменяются идентификаторами.
<a id="p100148"></a>При обезличивании персональные данные в исходном множестве заменяются идентификаторами согласно таблице соответствия. Деобезличивание достигается обратной заменой идентификаторов на значения персональных данных по таблице соответствия.
<a id="p100149"></a>На этапе реализации процедуры обезличивания определяются следующие параметры:
<a id="p100150"></a>перечень таблиц соответствия (перечень атрибутов, для которых происходит замена значений идентификаторами);
<a id="p100151"></a>правила вычисления идентификаторов - наборов символов, однозначно соответствующих значениям атрибутов персональных данных субъекта;
<a id="p100152"></a>объемы таблицы соответствия - количество строк таблицы соответствия, содержащих идентификатор и соответствующее ему значение.
<a id="p100153"></a>В качестве атрибутов, значения которых заменяются идентификаторами, как правило, выбираются атрибуты, однозначно идентифицирующие субъекта персональных данных.
<a id="p100154"></a>Количество идентификаторов и объем таблиц соответствия, как правило, равны исходному количеству субъектов персональных данных. Возможны случаи, когда идентификатор вычисляется в зависимости от значения соответствующего атрибута.
<a id="p100155"></a>Таблицы соответствия должны быть доступны ограниченному числу сотрудников Оператора.
<a id="p100156"></a>Программное обеспечение, реализующее процедуру, должно обеспечивать внесение изменений и поддержку актуальности таблиц соответствия.


#### <a id="p100157"></a>2.2. Процедура реализации метода изменения состава или семантики

<a id="p100158"></a>Процедура реализации метода должна содержать правила удаления либо замены значений персональных данных субъектов на новые значения, вычисляемые по заданным правилам.
<a id="p100159"></a>При замене значений атрибутов на новые требуется устанавливать правила обратной замены, если это необходимо для деобезличивания.
<a id="p100160"></a>На этапе реализации процедуры обезличивания необходимо определить следующие параметры:
<a id="p100161"></a>перечень атрибутов персональных данных, подлежащих удалению;
<a id="p100162"></a>перечень атрибутов персональных данных, подлежащих замене на новые значения;
<a id="p100163"></a>правила вычисления значений для замены (обратной замены) персональных данных субъектов.
<a id="p100164"></a>Программная реализация процедуры должна обеспечить возможность внесения изменений и дополнений в состав обезличенных данных, динамическое вычисление значений для замены при занесении новых субъектов, проверку и поддержку актуальности данных.


#### <a id="p100165"></a>2.3. Процедура реализации метода декомпозиции

<a id="p100166"></a>Процедура реализации метода по заданному правилу (алгоритму) производит разделение исходного массива персональных данных на несколько частей, каждая из которых содержит заданный набор атрибутов всех субъектов. Сведения, содержащиеся в каждой части, не позволяют идентифицировать субъектов персональных данных.
<a id="p100167"></a>Деобезличивание осуществляется по заданному набору связей (используются таблицы связей, являющиеся дополнительными данными) между раздельно хранимыми частями.
<a id="p100168"></a>На этапе реализации процедуры обезличивания необходимо определить следующие параметры:
<a id="p100169"></a>перечень атрибутов, составляющих подмножества персональных данных;
<a id="p100170"></a>таблицы связей между подмножествами персональных данных;
<a id="p100171"></a>адреса хранения подмножеств персональных данных.
<a id="p100172"></a>Правила разделения исходного массива данных определяются таким образом, чтобы каждая из раздельно хранимых частей не содержала сведений, позволяющих однозначно идентифицировать субъекта персональных данных.
<a id="p100173"></a>Программная реализация процедуры должна обеспечивать согласованное внесение изменений и дополнений во все подмножества и таблицы связей, поиск данных о субъекте во всех подмножествах, поддержку актуальности таблиц связей, проверку полноты данных (согласование подмножеств).


#### <a id="p100174"></a>2.4. Процедура реализации метода перемешивания

<a id="p100175"></a>Метод перемешивания реализуется путем перемешивания отдельных значений или групп значений атрибутов субъектов персональных данных между собой.
<a id="p100176"></a>Перемешивание проводится по установленному правилу.
<a id="p100177"></a>Деобезличивание достигается с использованием процедуры, обратной процедуре перемешивания.
<a id="p100178"></a>Для реализации процедуры необходимо определить алгоритм перемешивания и его параметры.
<a id="p100179"></a>На этапе реализации процедуры обезличивания необходимо определить следующие параметры:
<a id="p100180"></a>набор параметров алгоритма перемешивания (дополнительные данные для обезличивания/деобезличивания);
<a id="p100181"></a>значения параметров алгоритма перемешивания (дополнительные данные для обезличивания/деобезличивания).
<a id="p100182"></a>Выбор параметров перемешивания зависит от алгоритма перемешивания, требуемой стойкости к атакам, и объема обезличиваемых персональных данных.
<a id="p100183"></a>Программная реализация процедуры должна обеспечивать возможность внесения изменений и дополнений в состав обезличенных данных, добавление новых пользователей, поддержку актуальности данных и возможность повторного перемешивания с новыми параметрами без предварительного деобезличивания.


### 3. <a id="p100184"></a>ОРГАНИЗАЦИЯ ОБРАБОТКИ ОБЕЗЛИЧЕННЫХ ДАННЫХ


<a id="p100185"></a>При использовании Оператором процедуры обезличивания не допускается совместное хранение персональных данных и обезличенных данных.
<a id="p100186"></a>Обезличивание персональных данных субъектов должно производиться Оператором перед внесением их в информационную систему.
<a id="p100187"></a>Оператор вправе обрабатывать в информационной системе обезличенные данные, полученные от третьих лиц.
<a id="p100188"></a>В процессе обработки обезличенных данных Оператором, при необходимости, может проводиться деобезличивание. После обработки персональные данные, полученные в результате такого деобезличивания, уничтожаются.
<a id="p100189"></a>Обработка персональных данных до осуществления процедур обезличивания и после выполнения операций деобезличивания должна осуществляться в соответствии с действующим законодательством Российской Федерации с применением мер по обеспечению безопасности персональных данных.
<a id="p100190"></a>Обработка обезличенных данных должна осуществляться с использованием технических и программных средств, соответствующих форме представления и хранения данных.
<a id="p100191"></a>Обработка персональных данных организаций, не обладающих квалифицированным персоналом либо достаточными материально-техническими средствами, возможна с привлечением сторонних организаций - Операторов на основании договора. При использовании технологий "облачной" обработки персональных данных возможна обработка одним Оператором обезличенных данных нескольких подобных организаций.
<a id="p100192"></a>При обработке обезличенных данных необходимо выделять зоны ответственности Операторов, субъектов и/или организаций, поручивших обработку Оператору.
<a id="p100193"></a>Алгоритмы для реализации процедур обезличивания и программное обеспечение должны обеспечивать переносимость на различные аппаратные платформы.
<a id="p100194"></a>Действия, связанные с внесением изменений и дополнений в массив обезличенных данных, следует проводить в режиме транзакций и отражать в соответствующем журнале.
<a id="p100195"></a>Следует вести архив запросов на обработку данных.
<a id="p100196"></a>Субъект персональных данных должен иметь возможность получить сведения о составе его персональных данных, имеющихся у Оператора.
<a id="p100197"></a>Хранение и защиту дополнительной (служебной) информации, содержащей параметры методов и процедур обезличивания/деобезличивания, следует обеспечить в соответствии с внутренними процедурами обеспечения конфиденциальности, установленными у Оператора. При этом должно обеспечиваться исполнение установленных правил доступа пользователей к хранимым данным, резервного копирования и возможности актуализации и восстановления хранимых данных.
<a id="p100198"></a>Процедуры обезличивания/деобезличивания должны встраиваться в процессы обработки персональных данных как их неотъемлемый элемент, а также максимально эффективно использовать имеющуюся у Оператора инфраструктуру, обеспечивающую обработку персональных данных.
<a id="p100199"></a>Оператору рекомендуется разработать и применять при осуществлении своей деятельности документацию, включающую:
<a id="p100200"></a>описание применяемых процедур и их программного обеспечения;
<a id="p100201"></a>инструкции по проведению процедур обезличивания/деобезличивания;
<a id="p100202"></a>инструкции по обработке обезличенных данных;
<a id="p100203"></a>инструкции проведения контроля качества обезличенных данных и процедур обезличивания;
<a id="p100204"></a>порядок взаимодействия с другими Операторами;
<a id="p100205"></a>инструкции по обеспечению безопасности дополнительной (служебной) информации, содержащей параметры методов и процедур обезличивания/деобезличивания;
<a id="p100206"></a>техническую и эксплуатационную документацию, поставляемую с программными средствами, обезличивания/деобезличивания.


### 4. <a id="p100207"></a>ПРАВИЛА РАБОТЫ ОПЕРАТОРОВ С ОБЕЗЛИЧЕННЫМИ ДАННЫМИ


<a id="p100208"></a>Оператору следует:
<a id="p100209"></a>обеспечить соответствие процедур обезличивания/деобезличивания персональных данных требованиям к обезличенным данным и методам обезличивания;
<a id="p100210"></a>обеспечить соответствие процедур обезличивания/деобезличивания условиям и целям обработки персональных данных;
<a id="p100211"></a>убедиться, что при реализации процедур обезличивания/ деобезличивания, а также при последующей обработке обезличенных данных не нарушаются права субъекта персональных данных.
<a id="p100212"></a>В случае, когда обработка обезличенных данных была поручена Оператору третьим лицом, Оператору следует соблюдать все требования, предъявляемые этим лицом.
<a id="p100213"></a>В процессе реализации процедуры обезличивания персональных данных Оператору следует соблюдать все регламентные требования, предъявляемые к выбранному способу реализации процедуры обезличивания.
<a id="p100214"></a>При хранении обезличенных данных Оператору следует:
<a id="p100215"></a>организовать раздельное хранение обезличенных данных и дополнительной (служебной) информации о выбранном методе реализации процедуры обезличивания и параметрах процедуры обезличивания;
<a id="p100216"></a>обеспечивать конфиденциальность дополнительной (служебной) информации о выбранном методе реализации процедуры обезличивания и параметрах процедуры обезличивания.
<a id="p100217"></a>При передаче вместе с обезличенными данными информации о выбранном методе реализации процедуры обезличивания и параметрах процедуры обезличивания Оператору следует обеспечить конфиденциальность канала (способа) передачи данных.
<a id="p100218"></a>В ходе реализации процедуры деобезличивания Оператору следует:
<a id="p100219"></a>реализовать все требования по обеспечению безопасности получаемых персональных данных при автоматизированной обработке на средствах вычислительной техники, участвующих в реализации процедуры деобезличивания и обработке деобезличенных данных;
<a id="p100220"></a>обеспечить обработку и защиту деобезличенных данных в соответствии с требованиями Федерального [закона](https://bukva.ai/docs/zakon-152-fz-2006/statya-1) от 27.07.2006 N 152-ФЗ "О персональных данных".


### 5. <a id="p100221"></a>РЕКОМЕНДАЦИИ ПО ВЫБОРУ МЕТОДОВ И ПРОЦЕДУР ОБЕЗЛИЧИВАНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ



#### <a id="p100222"></a>5.1. Методология выбора методов и процедур обезличивания

<a id="p100223"></a>При выборе методов и процедур обезличивания персональных данных Оператору следует руководствоваться целями и задачами обработки персональных данных.
<a id="p100224"></a>Обезличивание персональных данных, обработка которых осуществляется с разными целями, может осуществляться разными методами.
<a id="p100225"></a>Возможно объединение различных методов обезличивания в одну процедуру.
<a id="p100226"></a>Для решения каждой задачи обработки Оператор определяет требуемые свойства обезличенных данных и метода обезличивания, которые зависят от набора действий, осуществляемых Оператором с персональными данными (сбор, хранение, изменение, систематизация, осуществление выборки, поиск, передача и т.д.) в соответствии с принципом разумной достаточности (определяется минимально необходимый перечень свойств). Целесообразно предусмотреть возможность обработки обезличенных данных без предварительного деобезличивания.
<a id="p100227"></a>При выборе метода и процедуры обезличивания также следует учитывать:
<a id="p100228"></a>объем персональных данных, подлежащих обезличиванию (некоторые методы неэффективны на малых объемах);
<a id="p100229"></a>форму представления данных (отдельные записи, файлы, таблицы баз данных и т.д.);
<a id="p100230"></a>область обработки обезличенных данных (необходим ли другим Операторам доступ к обезличиваемым данным);
<a id="p100231"></a>способы хранения обезличенных данных (локальное хранение, распределенное хранение и т.д.);
<a id="p100232"></a>применяемые в информационной системе Оператора меры по обеспечению безопасности данных.


#### <a id="p100233"></a>5.2. Рекомендации по выбору методов обезличивания в соответствии с классом задач обработки

<a id="p100234"></a>Ниже представлены типовые классы задач, состоящие из наиболее часто встречающихся задач обработки персональных данных в государственных и муниципальных органах. Проведенная классификация позволяет Оператору применять наиболее эффективные для данного класса методы.
<a id="p100235"></a>В Таблице 2 приведены рекомендации по выбору метода обезличивания в зависимости от класса решаемых задач. Рекомендованные методы ранжированы в порядке убывания эффективности их применения.


#### <a id="p100236"></a>Таблица 2 - Сопоставление задач обработки методам обезличивания



| <a id="p100237"></a>Класс задач | <a id="p100238"></a>Задачи обработки | <a id="p100239"></a>Метод обезличивания |
| --- | --- | --- |
| <a id="p100240"></a>Статистическая обработка и статистические исследования ПД | <a id="p100241"></a>- осуществление выборки по заявленным параметрам;<br>- проведение исследований по заданным параметрам субъектов. | <a id="p100242"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод изменения состава или семантики. |
| <a id="p100243"></a>Сбор и хранение ПД | <a id="p100244"></a>- внесение персональных<br>данных субъектов в информационную систему на основе анкет, заявлений и прочих документов. | <a id="p100245"></a>- метод декомпозиции;<br>- метод перемешивания;<br>- метод введения идентификаторов. |
| <a id="p100246"></a>Обработка поисковых запросов (поиск данных о субъектах и поиск субъектов по известным данным) | <a id="p100247"></a>- поиск информации о субъектах;<br>- печать и выдача субъектам документов в установленной форме, содержащих персональные данные;<br>- выдача справок, выписок, уведомлений по запросам субъектов или уполномоченных органов. | <a id="p100248"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод введения идентификаторов. |
| <a id="p100249"></a>Актуализация<br>ПД | <a id="p100250"></a>- внесение изменений в существующие записи о субъектах на основе обращений субъектов, решений судов и других уполномоченных органов;<br>- внесение изменений в существующие записи о субъектах на основе исследований, выполнения органом своих функций или требований законодательства РФ. | <a id="p100251"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод введения идентификаторов. |
| <a id="p100252"></a>Интеграция данных различных Операторов | <a id="p100253"></a>- поиск информации о субъектах;<br>- передача данных смежным органам. | <a id="p100254"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод введения идентификаторов. |
| <a id="p100255"></a>Ведение учета субъектов ПД | <a id="p100256"></a>- прием анкет, заявлений;<br>- ведение учета персональных данных в соответствии с функциями органа. | <a id="p100257"></a>- метод декомпозиции;<br>- метод перемешивания;<br>- метод введения идентификаторов. |


<a id="p100258"></a>При наличии в системе нескольких классов задач рекомендуется выбирать общий метод для всех этих классов, либо совместно применять несколько методов.
<a id="p100259"></a>Практическая реализация методов и обработка обезличенных данных может проводиться с применением различных информационных технологий.
<a id="p100260"></a>В [Таблице 3](#p100263) приведены рекомендации по выбору типа технологии обработки обезличенных данных.
<a id="p100261"></a>Методы ранжированы в порядке их предпочтительности.
<a id="p100262"></a>При составлении таблицы учитывались возможности обеспечения безопасности данных.


#### <a id="p100263"></a>Таблица 3 - Типы технологий обработки обезличенных данных



| <a id="p100264"></a>Технология | <a id="p100265"></a>Метод обезличивания |
| --- | --- |
| <a id="p100266"></a>Клиент - сервер с использованием серверов Оператора | <a id="p100267"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод введения идентификаторов. |
| <a id="p100268"></a>Распределенная обработка на нескольких удаленных серверах (объектные вычисления) | <a id="p100269"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод введения идентификаторов. |
| <a id="p100270"></a>Центры обработки данных | <a id="p100271"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод введения идентификаторов. |
| <a id="p100272"></a>Облачные вычисления | <a id="p100273"></a>- метод перемешивания;<br>- метод декомпозиции;<br>- метод введения идентификаторов. |






<a id="p100274"></a>Приложение

<a id="p100275"></a>**ПРИМЕРЫ РЕАЛИЗАЦИИ МЕТОДОВ ОБЕЗЛИЧИВАНИЯ**

<a id="p100276"></a>Исходный вид таблицы персональных данных:


| <a id="p100277"></a>ФИО | <a id="p100278"></a>Дата рождения | <a id="p100279"></a>Адрес проживания | <a id="p100280"></a>Номер телефона | <a id="p100281"></a>Диагноз |
| --- | --- | --- | --- | --- |
| <a id="p100282"></a>Иванов Иван Иванович | <a id="p100283"></a>01.02.1970 | <a id="p100284"></a>г. Москва, ул. Тверская, д. 1, кв. 1. | <a id="p100285"></a>+7 495-111-1111 | <a id="p100286"></a>Сердечная недостаточность |
| <a id="p100287"></a>Петров Петр Петрович | <a id="p100288"></a>02.03.1975 | <a id="p100289"></a>г. Самара, ул. Ленина, д. 2, кв. 2. | <a id="p100290"></a>+7 846-121-2311 | <a id="p100291"></a>ВИЧ |
| <a id="p100292"></a>Сидоров Иван Петрович | <a id="p100293"></a>03.04.1970 | <a id="p100294"></a>г, Москва, ул. Кутузова, д. 3, кв. 3. | <a id="p100295"></a>+7 495-222-1111 | <a id="p100296"></a>Хронические мигрени |



### <a id="p100297"></a>А.1. Применение метода введения идентификаторов


<a id="p100298"></a>Таблица обезличенных данных (Атрибут ФИО заменен на идентификатор)


| <a id="p100299"></a>Идентификатор | <a id="p100300"></a>Дата рождения | <a id="p100301"></a>Адрес проживания | <a id="p100302"></a>Номер телефона | <a id="p100303"></a>Диагноз |
| --- | --- | --- | --- | --- |
| <a id="p100304"></a>АА12345 | <a id="p100305"></a>01.02.1970 | <a id="p100306"></a>г. Москва, ул. Тверская, д. 1, кв. 1. | <a id="p100307"></a>+7 495-111-1111 | <a id="p100308"></a>Сердечная недостаточность |
| <a id="p100309"></a>ББ23456 | <a id="p100310"></a>02.03.1975 | <a id="p100311"></a>г. Самара, ул. Ленина, д. 2, кв. 2. | <a id="p100312"></a>+7 846-121-2311 | <a id="p100313"></a>ВИЧ |
| <a id="p100314"></a>ВВ34567 | <a id="p100315"></a>03.04.1970 | <a id="p100316"></a>г. Москва, ул. Кутузова, д. 3, кв. 3. | <a id="p100317"></a>+7 495-222-1111 | <a id="p100318"></a>Хронические мигрени |


<a id="p100319"></a>Таблица идентификаторов


| <a id="p100320"></a>Идентификатор | <a id="p100321"></a>ФИО |
| --- | --- |
| <a id="p100322"></a>АА12345 | <a id="p100323"></a>Иванов Иван Иванович |
| <a id="p100324"></a>ББ23456 | <a id="p100325"></a>Петров Петр Петрович |
| <a id="p100326"></a>ВВ34567 | <a id="p100327"></a>Сидоров Иван Петрович |


<a id="p100328"></a>А.2. Применение метода изменения состава или семантики


| <a id="p100329"></a>Дата рождения | <a id="p100330"></a>Адрес проживания | <a id="p100331"></a>Диагноз |
| --- | --- | --- |
| <a id="p100332"></a>01.02.1970 | <a id="p100333"></a>г. Москва | <a id="p100334"></a>Сердечная недостаточность |
| <a id="p100335"></a>02.03.1975 | <a id="p100336"></a>г. Самара | <a id="p100337"></a>ВИЧ |
| <a id="p100338"></a>03.04.1970 | <a id="p100339"></a>г. Москва | <a id="p100340"></a>Хронический мигрени |


<a id="p100341"></a>Атрибуты ФИО и номер телефона были удалены. Атрибут Адрес проживания был обобщен до города проживания.

<a id="p100342"></a>А.3. Применение метода декомпозиции

<a id="p100343"></a>Исходная таблица персональных данных разбивается на две таблицы, хранимые раздельно.

<a id="p100344"></a>Таблица 1.                                                Таблица 2.


<table>
<colgroup><col width="4%"><col width="25%"><col width="12%"><col width="4%"><col width="4%"><col width="20%"><col width="17%"><col width="15%"></colgroup>
<tr><td><a id="p100345"></a>N</td><td><a id="p100346"></a>ФИО</td><td><a id="p100347"></a>Дата рождения</td><td rowspan="4"></td><td><a id="p100348"></a>N</td><td><a id="p100349"></a>Адрес проживания</td><td><a id="p100350"></a>Номер телефона</td><td><a id="p100351"></a>Диагноз</td></tr>
<tr><td><a id="p100352"></a>1</td><td><a id="p100353"></a>Иванов Иван Иванович</td><td><a id="p100354"></a>01.02.1970</td><td><a id="p100355"></a>1</td><td><a id="p100356"></a>г. Москва, ул. Тверская, д. 1, кв. 1.</td><td><a id="p100357"></a>+7 495-111-1111</td><td><a id="p100358"></a>Сердечная недостаточность</td></tr>
<tr><td><a id="p100359"></a>2</td><td><a id="p100360"></a>Петров Петр Петрович</td><td><a id="p100361"></a>02.03.1975</td><td><a id="p100362"></a>2</td><td><a id="p100363"></a>г. Самара, ул. Ленина, д. 2, кв. 2.</td><td><a id="p100364"></a>+7 846-121-2311</td><td><a id="p100365"></a>ВИЧ</td></tr>
<tr><td><a id="p100366"></a>3</td><td><a id="p100367"></a>Сидоров Иван Петрович</td><td><a id="p100368"></a>03.04.1970</td><td><a id="p100369"></a>3</td><td><a id="p100370"></a>г. Москва, ул. Кутузова, д. 3, кв. 3.</td><td><a id="p100371"></a>+7 495-222-1111</td><td><a id="p100372"></a>Хронические мигрени</td></tr>
</table>


<div align="center">

<a id="p100373"></a>Таблица 3 (Таблица связей между Таблицей 1 и Таблицей 2)

</div>



| <a id="p100374"></a>N | <a id="p100375"></a>Номер строки Таблицы 1 | <a id="p100376"></a>Номер строки Таблицы 2 |
| --- | --- | --- |
| <a id="p100377"></a>1 | <a id="p100378"></a>1 | <a id="p100379"></a>1 |
| <a id="p100380"></a>2 | <a id="p100381"></a>2 | <a id="p100382"></a>2 |
| <a id="p100383"></a>3 | <a id="p100384"></a>3 | <a id="p100385"></a>3 |


<a id="p100386"></a>А.4. Применение метода перемешивания


#### <a id="p100387"></a>Таблица обезличенных данных



| <a id="p100388"></a>N | <a id="p100389"></a>ФИО | <a id="p100390"></a>Дата рождения | <a id="p100391"></a>Адрес проживания | <a id="p100392"></a>Номер телефона | <a id="p100393"></a>Диагноз |
| --- | --- | --- | --- | --- | --- |
| <a id="p100394"></a>1 | <a id="p100395"></a>Сидоров Иван Петрович | <a id="p100396"></a>02.03.1975 | <a id="p100397"></a>г. Москва, ул. Тверская, д. 1, кв. 1. | <a id="p100398"></a>+7 495-222-1111 | <a id="p100399"></a>Сердечная недостаточность |
| <a id="p100400"></a>2 | <a id="p100401"></a>Петров Петр Петрович | <a id="p100402"></a>01.02.1970 | <a id="p100403"></a>г. Самара, ул. Ленина, д. 2, кв. 2. | <a id="p100404"></a>+7 495-111-1111 | <a id="p100405"></a>ВИЧ |
| <a id="p100406"></a>3 | <a id="p100407"></a>Иванов Иван Иванович | <a id="p100408"></a>03.04.1970 | <a id="p100409"></a>г. Москва, ул. Кутузова, д. 3, кв. 3. | <a id="p100410"></a>+7 846-121-2311 | <a id="p100411"></a>Хронические мигрени |




<a id="p100412"></a>

---