Работа с персональными данными граждан и юрлиц в России регламентируется законодательством. Эта информация является собственностью исключительно ее носителя. Использовать персональные данные можно только с согласия их владельца. Многие субъекты гражданского оборота осуществляют обезличивание информации для снижения ее приоритетности. Разберемся в статье, что собой представляет эта процедура.
Общие сведения
В настоящее время используются методы обезличивания персональных данных, рекомендуемые Роскомнадзором. Эта госструктура контролирует и координирует деятельность операторов. Ключевой нормативный документ, закрепляющий основные методы по обезличиванию персональных данных, - Приказ № 996, утвержденный Роскомнадзором в 2013 г. Для эффективной их реализации составлены специальные Методические рекомендации.
Утвержденные Роскомнадзором методы обезличивания персональных данных
К способам и инструментам обработки личной информации предъявляются особые требования. В частности, они должны обладать такими свойствами, наличие которых способствовало бы эффективному их применению в разных программных средах, решению задач, поставленных перед операторами.
Методами обезличивания персональных данных, рекомендуемыми Роскомнадзором, являются следующие способы:
- Введение идентификаторов. Оно предполагает замену части данных (их значений) специальными кодами. При этом формируется таблица соответствия идентификаторов исходным сведениям.
- Изменение семантики или состава информации. Как указывается в пояснениях Роскомнадзора, обезличивание персональных данных этим способом осуществляется их заменой результатами статистического преобразования, обобщения, обработки или удаления части данных.
- Декомпозиция. Использование этого метода обезличивания персональных данных предполагает разделение массива информации на несколько частей. Хранение этих подмножеств осуществляется раздельно.
- Перемешивание. Этот метод обезличивания персональных данных предполагает перестановку значений атрибутов либо их групп в массиве информации.
Использование какого-либо способа позволяет получить сведения с разными свойствами. В результате обезличивания персональных данных оператор получает возможность применять различные виды обработки. В этой связи при описании способов указываются условия, посредством которых обеспечивается реализации установленных требований и определенных свойств.
Надо отметить, что существуют такие задачи обработки информации, при которых наличие всех свойств необязательно. Примером могут являться статические виды обработки. Следовательно, методы обезличивания персональных данных являются эффективными в том случае, если в конкретной ситуации они обеспечивают реализацию свойств, необходимых для решения поставленных задач.
Введение идентификаторов
При обезличивании персональных данных этим способом можно получить информацию, обладающую следующими свойствами:
- Полнотой. Это значит, что сведения, посредством которых можно идентифицировать субъектов, не удаляются, а заносятся в таблицу соответствия.
- Структурированностью. У каждого идентификатора после процедуры обработки (обезличивания) персональных данных есть соответствующий набор сведений.
- Семантической целостностью. Это означает, что вид представления информации остается неизменным. Сведения только переносятся в таблицу.
При определенном порядке выбора идентификатора и данных, заменяемых им, можно также обеспечить анонимность информации. Обезличивание персональных данных этим способом создается угроза атак на справочники. При этом увеличение массива информации не повышает устойчивость метода.
Вместе с тем введение идентификаторов позволяет обеспечить применимость сведений. Оператор получает возможность обрабатывать отдельные записи и всю обезличенную информацию без деобезличивания.
Полученные в результате использования этого метода сведения не обладают релевантность. Это связано с тем, что в запросе и ответе на него вид представления данных, замененных соответствующими кодами, изменяется.
Значение введения идентификаторов
Обезличивание персональных данных посредством замены их специальными кодами позволяет сохранить связи между атрибутами полученных сведений и личной информации.
Введение идентификаторов целесообразно при небольшом числе элементов и незначительном объеме массива. Дело в том, что от этого будет зависеть размер справочников.
При частых корректировках эффективность метода снижается.
Изменение семантики или состава
Обезличивание персональных данных этим способом предполагает корректировку атрибутов сведений или удаление части информации, позволяющей идентифицировать субъекта. В результате использования этого метода можно получить данные:
- Структурированные. Это означает, что после обезличивания персональных данных связь между теми или иными значениями их атрибутов остается неизменной.
- Анонимные. Обобщение либо удаление части информации влечет неоднозначность при идентификации.
Нюансы применения
При выделении компонентов персональных данных следует принять во внимание возможность обезличивания с их использованием. В случае простого изменения значений корректируется только состав информации. В таких условиях может не произойти обезличивание.
Корректировка семантики и состава целесообразна тогда, когда для этого есть возможность, а для выполнения поставленных перед оператором задач не требуется деобезличивание. Это обуславливается тем, что этот процесс необратим. Для деобезличивания в таких случаях необходимо использовать дополнительные данные.
Корректировку семантики и состава информации целесообразна также при автономном применении обезличенных сведений, когда совместимость с данными иных операторов не нужна.
Декомпозиция
Как выше говорилось, этот способ предполагает разделение массива атрибутов информации на несколько подмножеств. При этом составляются таблицы, устанавливающие связи между ними. Записи впоследствии хранятся отдельно в соответствии с подмножествами.
При применении декомпозиции можно получить данные, обладающие:
- Полнотой. В данном случае она обеспечивается путем перенесения сведений в другое хранилище.
- Структурированностью. Между записями, находящимися в разных хранилищах, сохраняется связь. Это позволяет однозначно сопоставить данные.
- Семантической целостностью. Вид представления сведений и их семантика остаются неизменными.
Анонимность информации можно обеспечить исключительно при наличии между хранилищами сложных связей и защите их от несанкционированного доступа. Дело в том, что метод декомпозиции не устойчив к атакам к косвенному деобезличиванию и деобезличиванию посредством анализа сведений из разных хранилищ.
Кроме этого, обеспечиваются:
- Релевантность. Она достигается тем, что при применении декомпозиции можно добиться семантического соответствия поискового запроса и ответа на него.
- Применимость. У оператора появляется возможность обрабатывать информацию, находящуюся в одном хранилище и самостоятельно, и при использовании данных совместно с другими субъектами без деобезличивания всей массы сведений.
Использование декомпозиции обеспечивает сохранение в записях связей между атрибутами обезличенных и персональных данных. Этот метод целесообразно применять при достаточно большом количестве элементов, но при редкой корректировке их значения и состава информации.
Перемешивание
Этот метод реализуется посредством перестановки отдельных значений элементов данных или их групп между собой. При перемешивании можно получить сведения, обладающие:
- Полнотой, поскольку сохраняется вся информация о носителях данных.
- Структурированностью. Она обеспечивается за счет того, что связи между сведениями при деобезличивании полностью восстанавливаются.
- Семантической целостностью.
- Релевантностью.
- Применимостью.
Перемешивание, однако, не обеспечивает сохранения связей между атрибутами обезличенных и персональных данных.
Этот способ целесообразен при большом количестве элементов сведений, большом массиве информации. Обуславливается это увеличением устойчивости метода к атакам при увеличении указанных параметров. При этом объем дополнительных данных мало зависит от объема информации.
Перемешивание очень эффективно при сложной обработке, частых изменениях значений атрибутов.
Обработка обезличенной информации
Существует ряд правил, обязательных для соблюдения всеми операторами. В первую очередь, запрещено совместное хранение обезличенных и персональных данных.
Изменение информации должно осуществляться до внесения ее в систему.
Оператор может обрабатывать обезличенные сведения, поступившие от третьих лиц.
В процессе работы с информацией оператор может осуществлять деобезличивание в необходимых случаях. Обработанные персональные данные, полученные после этой процедуры, подлежат уничтожению.
Работа с информацией до обезличивания и после деобезличивания должна осуществляться в порядке, установленном действующим законодательством. Обработка сведений производится с применением программных и технических средств, соответствующих виду представления и форме хранения данных.
Работа с персональной информацией организаций, не располагающих квалифицированными сотрудниками или необходимыми материально-техническими средствами, допускается с привлечением сторонних субъектов – операторов. Взаимодействие этих лиц осуществляется на договорной основе. При применении "облачных" технологий один оператор может обрабатывать обезличенные данные нескольких таких организаций.
Особенности организации процесса
В ходе обработки обезличенной информации должны быть выделены зоны ответственности каждого оператора, субъектов/организаций, которые поручили им работу с данными. Алгоритмы реализации процедур и программное обеспечение должно быть таким, чтобы сведения можно было перенести на любые аппаратные платформы.
Внесение дополнений и изменение обезличенных данных производятся в режиме транзакций. Каждое такое действие отражается в соответствующем журнале. Кроме этого, необходимо вносить сведения в архив запросов.
У субъекта персональной информации должен быть доступ к составу его личных сведений, которыми располагает оператор.
Дополнительно
Хранение и защита дополнительных (служебных) данных, в которых содержатся параметры методов и процедур деобезличивания/обезличивания, обеспечивается посредством реализации режима конфиденциальности, установленного у оператора. При этом необходимо соблюдать правила предоставления доступа пользователей к хранимой информации, резервному копированию и возможности ее восстановления (актуализации).
Обезличивание/деобезличивание должны встраиваться в процесс обработки данных в качестве неотъемлемых элементов. При их осуществлении инфраструктура оператора должна использоваться максимально эффективно.
Необходимая документация
Операторам рекомендуется разработать и использовать в своей деятельности документы, включающие в себя:
- Описание программного обеспечения и процедур, применяемых в ходе работы.
- Инструкции по проведению деобезличивания и обезличивания.
- Правила обработки обезличенных сведений.
- Порядок взаимодействия прочими операторами.
- Инструкции по защите дополнительных (служебных) данных, содержащих параметры процедур и методов деобезличивания/обезличивания.
- Эксплуатационную и техническую документацию, прилагаемую к программным средствам.
Рекомендации для операторов
Лицам, осуществляющим обработку обезличенной информации, надлежит обеспечить соответствие процедур требованиям законодательства и методам, утвержденным Роскомнадзором, целям и условиям обработки. Операторам также следует убедиться, что в ходе работы с данными права их обладателей не нарушены.
Если оператор осуществляет обработку по поручению третьего лица, ему надлежит выполнять все требования, предъявленные этим субъектом.
