Обезличивание персональных данных по требованию Минцифры: риски, издержки и практические последствия для оператора

Аннотация

УДК 342.9:004.056

Исследованы правовые и практические последствия получения оператором требования о предоставлении обезличенных персональных данных по статье 13.1 Федерального закона от 27 июля 2006 г. № 152-ФЗ и постановлению Правительства РФ от 1 августа 2025 г. № 1154. Установлено, что обязанность передачи возникает из требования уполномоченного органа, а не из прекращения обработки при достижении цели обработки и не из обезличивания при обработке персональных данных в статистических или иных исследовательских целях. Сопоставлены организационные, технические и финансовые издержки исполнения; отражены процедурные стадии согласования требования и две технические модели исполнения по Правилам обезличивания: загрузка результата в государственную информационную систему, определённую для целей ст. 13.1 (федеральная государственная информационная система «Единая информационная платформа национальной системы управления данными», далее — ЕИП НСУД, ГИС), при методах введения идентификаторов, изменения состава или семантики, декомпозиции и перемешивания и обеспечение доступности через единую систему межведомственного электронного взаимодействия (СМЭВ) при методе преобразования. Сформулированы рекомендации до и после получения требования; указан инструментарий документационного обеспечения (ГЕНЕРАТОР152ФЗ).

Ключевые слова: требование Минцифры, статья 13.1 152-ФЗ, ПП № 1154, обезличенные данные, ЕИП НСУД, ГИС, оператор, издержки, Роскомнадзор, ГЕНЕРАТОР152ФЗ.

Abstract

Abstract. Legal and practical consequences for an operator receiving a request to provide depersonalised personal data under Article 13.1 of Federal Law No. 152-FZ of 27 July 2006 and Government Decree No. 1154 of 1 August 2025 were examined. The obligation to transfer data was shown to arise from the authorised body’s request, not from cessation of processing upon achievement of the processing purpose and not from depersonalisation when personal data are processed for statistical or other research purposes. Organisational, technical and financial costs of compliance were compared; procedural stages of request approval and two technical compliance models under the Depersonalisation Rules were outlined — upload to the Unified Information Platform of the National Data Management System (the state information system designated for Article 13.1) and SMEv-based availability when the transformation method applies. Recommendations before and after receiving a request were formulated; documentation support via GENERATOR152FZ was noted.

Keywords: Ministry of Digital Development request, Article 13.1 152-FZ, Government Decree No. 1154, depersonalised data, Unified Information Platform, state information system, operator, compliance costs, Roskomnadzor, GENERATOR152FZ.

Введение

С 1 сентября 2025 г. обезличивание персональных данных перестало ассоциироваться только с прекращением обработки при достижении цели обработки и с обработкой в статистических или иных исследовательских целях. Помимо условия п. 9 ч. 1 ст. 6 Федерального закона № 152-ФЗ (обработка в таких целях допускается при обязательном обезличивании, за исключением целей, указанных в ст. 15 того же закона, — продвижение товаров, работ, услуг на рынке и политическая агитация), в правовом поле появилось самостоятельное условие, при котором в соответствии с требованием уполномоченного органа у оператора возникает обязанность предоставить обезличенные персональные данные для включения в государственную информационную систему (ст. 13.1 152-ФЗ, Правила обезличивания, утверждённые постановлением Правительства РФ от 1 августа 2025 г. № 1154).

Общие требования к обезличиванию, методы по приказу Роскомнадзора № 140 и документирование обезличивания в общем порядке разобраны в материале об обезличивании персональных данных; настоящий материал посвящён тому, что происходит с оператором при получении требования Минцифры России.

Цель исследования — оценить регуляторные риски, организационные, технические и финансовые издержки исполнения требования и систематизировать практические последствия для оператора. Экспериментальный правовой режим Москвы в сфере искусственного интеллекта (ст. 6.2 Федерального закона № 123-ФЗ, уполномоченный орган города Москвы) в данном материале не разбирается — см. публикацию об экспериментальном правовом режиме Москвы.

1. Основание и обязанности

Постановление Правительства РФ от 1 августа 2025 г. № 1154 утвердило требования к обезличиванию персональных данных, методы обезличивания и Правила обезличивания персональных данных (далее — Правила). Предмет настоящей статьи — последствия применения Правил в связке со ст. 13.1 152-ФЗ: формирование состава обезличенных данных, порядок их предоставления и обязанности оператора при исполнении требования. Практика обезличивания при обработке на условии п. 9 ч. 1 ст. 6 152-ФЗ и обязательное предоставление обезличенных массивов по требованию — разные конструкции: наличие такой практики не порождает автоматически обязанность передавать данные в государственную информационную систему, а её отсутствие не исключает оператора из числа адресатов требования.

Требование о предоставлении обезличенных персональных данных направляет Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации (ч. 2 ст. 13.1 152-ФЗ). Проект требования согласовывается с ФСБ России и Роскомнадзором; для операторов финансового круга в согласование вовлекается Банк России. Процедурная цепочка, установленная Правилами, предусматривает направление в ФСБ России (а для финансового круга — также в Банк России) материалов исследований, подтверждающих возможность обезличивания указанными в проекте требования методами, — не позднее чем за 30 календарных дней до даты согласования проекта требования; согласование проекта требования указанными органами осуществляется в срок не более 15 календарных дней, если иное не установлено специальными поручениями. Только после прохождения этой процедуры требование направляется оператору с указанием состава данных, методов обезличивания, параметров и сроков исполнения.

Обязанность предоставить обезличенные персональные данные возникает при наличии требования уполномоченного органа. Исполнение включает обезличивание в соответствии с указанными методами и параметрами и последующую передачу результата в ГИС либо обеспечение его доступности через СМЭВ — в зависимости от того, какие методы обезличивания указаны в требовании. Неверно полагать, что оператор, ранее не практиковавший обезличивание, не может стать адресатом требования: требование задаёт состав, методы и сроки; обезличивание выполняется во исполнение требования.

Государственная информационная система, указанная в ст. 13.1 152-ФЗ, определена постановлением Правительства РФ от 28 мая 2025 г. № 740: это ЕИП НСУД, Положение о которой утверждено постановлением Правительства РФ от 14 мая 2021 г. № 733 (в актуальной редакции). Оператор системы — Минцифры России. С порядком исполнения связаны также постановление Правительства РФ от 24 апреля 2025 г. № 538 (перечень случаев формирования федеральных составов обезличенных данных), постановления от 26 июня 2025 г. № 961 (правила формирования составов и предоставления доступа к ним) и № 966 (взаимодействие Минцифры с операторами и взаимодействие ГИС с информационными системами операторов, в том числе через СМЭВ), постановление от 22 мая 2025 г. № 702 (проверка соответствия пользователей ГИС требованиям ч. 7 ст. 13.1), а также методические рекомендации Минцифры по согласованию с ФСБ России. Их содержание в настоящей статье не исследуется; отмечены точки соприкосновения с обязанностями оператора при получении требования. Приказ Роскомнадзора № 140 устанавливает требования к обезличиванию в общем порядке и не подменяет Правила при исполнении требования по ст. 13.1; отдельные меры документирования по приказу № 140 могут использоваться в организационном контуре оператора, но не отождествляются с текстом Правил.

2. Вероятность получения требования

Постановление № 1154 не устанавливает исчерпывающего перечня отраслей, категорий операторов или минимального объёма массивов, при которых требование не может быть направлено. Формально адресатом может стать любой оператор персональных данных, обрабатывающий сведения, состав которых может быть сформирован в обезличенном виде по методам приложения «Методы обезличивания персональных данных» к постановлению № 1154.

Поскольку прямых критериев отбора в норме нет, на практике целесообразно учитывать аналитические (не нормативные) факторы, повышающие вероятность обращения внимания к массиву оператора: значительный объём и социально-экономическая значимость обрабатываемых персональных данных; отраслевую релевантность для государственной статистики и исследований (здравоохранение, образование, транспорт, финансовый сектор и др. — как гипотеза, а не закрытый перечень); наличие у оператора выстроенного контура обезличивания, который может облегчить исполнение, но одновременно сигнализировать о значимости массива; участие в экспериментальном правовом режиме Москвы в сфере искусственного интеллекта (ст. 6.2 Федерального закона № 123-ФЗ), подробнее — в публикации об экспериментальном правовом режиме Москвы.

Распространённая правовая ошибка — строить позицию на тезисе «мы не обезличиваем персональные данные, следовательно, требование к нам предъявить нельзя». Правила исходят из обратной логики: требование порождает обязанность обезличить указанный состав и предоставить результат в установленном порядке. Отсутствие прежней практики обезличивания не освобождает от исполнения; оно лишь увеличивает срочность подготовки инфраструктуры и документов.

3. Организационные издержки

После получения требования оператору необходимо последовательно проанализировать его предмет, методы, параметры и сроки; выделить из обрабатываемых массивов персональные данные, подлежащие обезличиванию; обезличить их указанными методами с соблюдением требований постановления № 1154; зафиксировать исполнение и соблюсти сроки, установленные в требовании.

Способ передачи результата зависит от указанного в требовании метода. Если применяются методы введения идентификаторов, изменения состава или семантики, декомпозиции или перемешивания, обезличенные данные предоставляются в ЕИП НСУД. Если указан метод преобразования, оператор обеспечивает автоматизированную доступность массива через СМЭВ и направляет Минцифры сведения о параметрах метода, либо — по выбору — обезличивает данные программой Минцифры и загружает результат в ГИС.

Исполнение затрагивает несколько функций организации. Руководство принимает решения о ресурсах, приоритетах и ответственных. Лицо, ответственное за организацию обработки персональных данных (ст. 22.1 152-ФЗ; подробнее — в материале об ответственном за организацию обработки ПДн), координирует процесс и взаимодействие с регуляторами и Минцифры. ИТ-подразделение обеспечивает выделение состава, настройку или интеграцию программного обеспечения, канал передачи в ГИС или СМЭВ. Юридическая служба даёт правовую оценку требования, сроков и рисков неисполнения. Подразделение информационной безопасности контролирует раздельное хранение, исключение сведений ограниченного доступа и защиту обезличенных массивов.

Целесообразно документально зафиксировать факт и содержание полученного требования; акт (или иной документ) об обезличивании с указанием состава, методов и параметров; подтверждение передачи в ГИС или обеспечения доступности через СМЭВ; внутренний учёт действий по обезличиванию — при наличии локального порядка в логике учёта по приказу Роскомнадзора № 140, без смешения с текстом Правил. Исполнение в сжатые сроки, как правило, требует межфункциональной рабочей группы и отвлекает специалистов от текущих проектов. Для операторов без заранее выделенного контура обезличивания организационные издержки носят разовый, но высокий характер; для операторов с подготовленной инфраструктурой — преимущественно инкрементальный.

4. Технические издержки

Правила предусматривают использование безвозмездной программы Минцифры России либо иного программного обеспечения после подтверждения его соответствия требованиям Минцифры по согласованию с ФСБ России — прежде всего при исполнении требований по методам введения идентификаторов, изменения состава или семантики, декомпозиции и перемешивания. Безвозмездность лицензии на программу не означает нулевые затраты: оператор несёт расходы на интеграцию, тестирование, адаптацию под свои информационные системы и обучение персонала.

Приложение «Методы обезличивания персональных данных» к постановлению № 1154 называет пять методов: введение идентификаторов, изменение состава или семантики, декомпозицию, перемешивание и преобразование. Содержание методов по приказу Роскомнадзора № 140 разобрано в материале об обезличивании персональных данных и здесь не повторяется. Для исполнения требования существенно, что Правила обезличивания устанавливают две разные технические модели.

Первая модель — для методов введения идентификаторов, изменения состава или семантики, декомпозиции и перемешивания. Оператор обезличивает данные программой Минцифры или иным подтверждённым программным обеспечением и затем предоставляет результат в ЕИП НСУД.

Вторая модель — для метода преобразования. Оператор обезличивает данные собственными программно-аппаратными средствами, обеспечивает доступность массива через СМЭВ (постановление № 966) и сообщает Минцифры параметры метода, либо применяет программу Минцифры и загружает результат в ГИС, как при первой модели. Выбор модели определяется содержанием требования и техническими возможностями оператора; ошибка в квалификации метода ведёт к ненадлежащему исполнению.

Требования постановления № 1154 включают раздельное хранение обезличенных и исходных персональных данных; исключение из состава сведений ограниченного доступа; обеспечение безопасности обезличенных данных; возможность актуализации массива и повторного применения методов без восстановления принадлежности данных конкретному субъекту; обеспечение целостности массива, подлежащего предоставлению по требованию. Для операторов с унаследованными ИТ-архитектурами выполнение этих требований может потребовать доработки систем хранения, разграничения доступа и журналирования. На крупных массивах возрастает трудоёмкость выделения состава, тестирования корректности обезличивания, контроля канала передачи в ГИС или настройки доступности через СМЭВ; сроки, указанные в требовании, могут не совпадать с внутренними циклами релизов и обновления ИТ-инфраструктуры.

5. Финансовые издержки и санкционный контур

Норма не предусматривает компенсации оператору расходов на исполнение требования. Передача обезличенных данных осуществляется на безвозмездной основе; безвозмездность программы Минцифры не отменяет прямых затрат оператора — на фонд оплаты труда специалистов, вовлечённых в исполнение; услуг подрядчиков (интеграция, аудит, доработка ИС); инфраструктуры (серверы, каналы связи, средства защиты информации). К косвенным издержкам относятся отвлечение персонала от основных задач, сдвиг сроков иных проектов, обучение сотрудников работе с программой Минцифры или подтверждённым ПО, а также репутационные издержки при публичном характере отрасли.

Неисполнение или ненадлежащее исполнение требования, а также нарушения порядка обработки персональных данных при обезличивании влекут риск привлечения к административной ответственности по ст. 13.11 КоАП РФ. Следует различать составы о нарушении установленного порядка обработки и составы, связанные с утечками персональных данных (в том числе ч. 15 и 18 ст. 13.11 КоАП с оборотными штрафами): последние не подменяют ответственность за нарушение порядка исполнения требования, но могут дополнительно возникнуть при некорректном обезличивании, если данные фактически остаются идентифицируемыми. Отдельный риск — квалификация некорректно обезличенного массива как обработки идентифицируемых персональных данных вне надлежащего правового основания; оператору целесообразно документировать соответствие выбранных методов требованиям и фиксировать результаты проверки достаточности обезличивания.

6. Подготовка оператора к исполнению требования

До получения требования целесообразно провести инвентаризацию массивов персональных данных, потенциально подпадающих под формирование обезличенных составов; оценить техническую готовность — возможность выделения состава, обезличивания и передачи в ГИС (при методах введения идентификаторов, изменения состава или семантики, декомпозиции и перемешивания) либо обеспечения доступности через СМЭВ (при методе преобразования); заложить в бюджет резерв на внеплановые работы и назначить ответственных (включая лиц по ст. 22.1 152-ФЗ); актуализировать локальные акты и уведомление в Роскомнадзор при наличии меры обезличивания в перечне применяемых мер.

При получении требования следует проверить его предмет, признаки прохождения согласования, объём состава, указанные методы обезличивания, параметры и сроки — в том числе определить, относится ли исполнение к первой модели (загрузка в ГИС) или ко второй (метод преобразования и доступность через СМЭВ). Следует создать рабочую группу с участием руководства, ответственного по ст. 22.1, ИТ, юристов и подразделения информационной безопасности; выбрать программное обеспечение — программу Минцифры или иное подтверждённое ПО для первой модели, собственные программно-аппаратные средства с интеграцией в СМЭВ либо программу Минцифры с загрузкой в ГИС для второй; зафиксировать обезличивание, подтверждение передачи или доступности и соблюсти сроки требования.

Формирование согласованного пакета документов — политика обработки персональных данных, локальные акты о порядке обезличивания, акты и журналы учёта действий — снижает риски формальных нарушений при проверках и облегчает исполнение внепланового требования. Конструктор документов «ГЕНЕРАТОР152ФЗ» позволяет подготовить указанные документы в едином стиле с иными локальными актами оператора; использование инструмента не заменяет техническую настройку обезличивания, но упорядочивает организационный контур.

Заключение

Проведённое исследование позволяет сформулировать следующие выводы.

1. С 1 сентября 2025 г. обезличивание персональных данных приобрело новое измерение: помимо обработки на условии п. 9 ч. 1 ст. 6 152-ФЗ (приказ Роскомнадзора № 140) оператор может получить требование о предоставлении обезличенных данных по ст. 13.1 152-ФЗ и Правилам обезличивания, утверждённым постановлением № 1154. Обязанность возникает из требования Минцифры, а не из факта прежнего обезличивания.
2. Формально адресатом требования может стать любой оператор; критерии отбора в постановлении № 1154 не исчерпывающе закреплены. Повышенная вероятность получения требования определяется аналитически (объём массива, отрасль, готовность инфраструктуры), но не освобождает от подготовки операторов, не попадающих в эти факторы.
3. Исполнение требования требует отработанной организационной цепочки: анализ требования, выделение состава, обезличивание, передача в ГИС или обеспечение доступности через СМЭВ (в зависимости от указанного метода), фиксация исполнения. Задействованы руководство, лицо по ст. 22.1 152-ФЗ, ИТ, юристы и подразделение информационной безопасности.
4. Правила обезличивания задают две технические модели исполнения: при методах введения идентификаторов, изменения состава или семантики, декомпозиции и перемешивания — обезличивание подтверждённым ПО и предоставление в ГИС; при методе преобразования — собственные средства и доступность через СМЭВ либо программа Минцифры с загрузкой в ГИС. Параллельно действуют требования к раздельному хранению, безопасности, актуализации и целостности обезличенного массива.
5. Передача обезличенных данных безвозмездна для государства, но не для оператора: прямые и косвенные издержки нормой не компенсируются. Неисполнение или ненадлежащее обезличивание создаёт риск ответственности по ст. 13.11 КоАП РФ без подмены составов штрафами за утечки (оборотные санкции ч. 15 и 18 ст. 13.11 — отдельный контур).

О методах обезличивания по приказу Роскомнадзора № 140 и документировании обезличивания в общем порядке — в материале об обезличивании персональных данных; об экспериментальном режиме Москвы — в публикации об экспериментальном правовом режиме Москвы.

Список литературы

1. Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (ред. от 26 июля 2026 г.) // Собрание законодательства РФ. – 2006. – № 31 (ч. 1). – Ст. 3451.
2. Постановление Правительства РФ от 14 мая 2021 г. № 733 «Об утверждении Положения о федеральной государственной информационной системе „Единая информационная платформа национальной системы управления данными“ и о внесении изменений в некоторые акты Правительства Российской Федерации» (в ред. постановлений Правительства РФ, в том числе от 28 мая 2025 г. № 740) // Собрание законодательства РФ. – 2021. – № 21. – Ст. 3585.
3. Постановление Правительства РФ от 24 апреля 2025 г. № 538 «Об утверждении перечня случаев формирования составов персональных данных, полученных в результате обезличивания персональных данных…» // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/ (дата обращения: 03.09.2026).
4. Постановление Правительства РФ от 22 мая 2025 г. № 702 «Об утверждении Правил проверки соответствия пользователей государственной информационной системы, определённой в соответствии с частью 2 статьи 13.1 Федерального закона „О персональных данных“, требованиям, указанным в части 7 статьи 13.1…» // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/ (дата обращения: 03.09.2026).
5. Постановление Правительства РФ от 28 мая 2025 г. № 740 «О государственной информационной системе федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, указанной в статье 13.1 Федерального закона „О персональных данных“» // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/ (дата обращения: 03.09.2026).
6. Постановление Правительства РФ от 26 июня 2025 г. № 961 «О формировании составов персональных данных, полученных в результате обезличивания персональных данных, сгруппированных по определённому признаку…» // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/document/0001202506270025 (дата обращения: 02.09.2026).
7. Постановление Правительства РФ от 26 июня 2025 г. № 966 «Об утверждении Правил взаимодействия федерального органа исполнительной власти, осуществляющего функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере информационных технологий, с операторами и взаимодействия государственной информационной системы, определённой в соответствии с частью 2 статьи 13.1 Федерального закона „О персональных данных“, и информационных систем операторов» // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/ (дата обращения: 03.09.2026).
8. Постановление Правительства РФ от 1 августа 2025 г. № 1154 «Об утверждении требований к обезличиванию персональных данных, методов обезличивания персональных данных и Правил обезличивания персональных данных» // Собрание законодательства РФ. – 2025. – № 32. – Ст. 4929.
9. Приказ Роскомнадзора от 19 июня 2025 г. № 140 «Об утверждении требований к обезличиванию персональных данных и методов обезличивания персональных данных, за исключением случаев, указанных в пункте 9.1 части 1 статьи 6 Федерального закона от 27 июля 2006 г. № 152-ФЗ „О персональных данных“» // Зарегистрирован в Минюсте России 31 июля 2025 г., регистрационный № 83110.
10. Кодекс Российской Федерации об административных правонарушениях от 30 декабря 2001 г. № 195-ФЗ (ст. 13.11) // Собрание законодательства РФ. – 2002. – № 1 (ч. 1). – Ст. 1.
11. Обезличивание персональных данных в российском праве: правовая квалификация, границы «обезличенности» и обязанности оператора // Генератор152ФЗ. – URL: https://генератор152фз.рф/pages/articles/obezlichivanie-personalnyh-dannyh.html (дата обращения: 02.09.2026).
12. ГЕНЕРАТОР152ФЗ: конструктор документов в сфере персональных данных [Электронный ресурс]. – URL: https://генератор152фз.рф/ (дата обращения: 02.09.2026).

Сведения об авторе

Афанасьев Александр Александрович, специалист по информационной безопасности, магистр управления персоналом, юрист, e-mail: info@генератор152фз.рф.