Обезличивание данных

Происхождение и история термина

Практическая задача состоит в том, чтобы дать исследователю полезные сведения о людях, ограничив раскрытие их личности. В статье 2002 года Латания Суини рассматривала, почему удаление явных идентификаторов не решает эту задачу: оставшиеся признаки можно сопоставить с другой таблицей. В той же работе изложена модель k-анонимности, которая требует повторяемости определённых сочетаний признаков. Это документированный этап развития методов, а не утверждение о первом применении обезличивания. ^[2]

В руководстве NIST SP 800-188, выпущенном в сентябре 2023 года, технические преобразования рассматриваются вместе с выбором получателей, условий доступа и проверкой результатов. Так история подхода включает переход от вопроса «что удалить из таблицы» к вопросу «как организовать раскрытие данных». ^[3]

Суть и механизм

Прямой идентификатор указывает на человека непосредственно. Квазиидентификатор — признак или их сочетание, которое помогает установить личность при сопоставлении с другими сведениями. Например, возраст и район по отдельности могут быть распространёнными, а их сочетание — редким в конкретном наборе. Поэтому анализируют не только названия столбцов, но и значения в строках. ^[2]

Псевдонимизация сохраняет связь записей с условным обозначением. Допустим, вместо имени стоит код «участник А», а соответствие кода имени хранится отдельно. Исследователь может сопоставлять повторные обращения, не видя имени; владелец таблицы соответствий способен восстановить связь. Это учебная иллюстрация технического смысла псевдонимизации, описанного NIST. ^[3]

В GDPR, регламенте ЕС, пункт 5 статьи 4 дополнительно требует раздельного хранения информации, позволяющей восстановить связь, и её защиты техническими и организационными мерами. Простого переименования столбца недостаточно. Анонимность оценивают через идентифицируемость: мотив 26 предлагает учитывать способы установления личности, использование которых разумно ожидать, в том числе затраты, время и доступные технологии. Для оператора, способного воспользоваться ключом соответствий, одна замена имени кодом не делает человека неидентифицируемым. ^[4]

Российский закон формулирует обезличивание через дополнительную информацию. Уничтожение он определяет иначе — через невозможность восстановить содержание сведений в информационной системе либо уничтожение материальных носителей. Следовательно, обезличивание не обязательно означает стирание всех исходных записей. ^[1]

Виды и классификации

Российский приказ Роскомнадзора № 140 перечисляет введение идентификаторов, изменение состава или смысла атрибутов, перемешивание и разделение массива. Дополнительно к указанным методам может применяться преобразование массива, описанное пунктом 12 приложения № 2. Выбор оценивают с учётом целей, категорий данных, людей и правовых оснований обработки. Это нормативный перечень для области действия приказа, а не общий рейтинг надёжности алгоритмов. ^[6]

Технический метод следует отличать от способа предоставления данных. NIST рассматривает, например, открытую публикацию, передачу на условиях соглашения и работу в изолированной среде с контролем выдаваемых результатов. Один и тот же набор оказывается в разных условиях риска, если его получает известная исследовательская группа или любой посетитель сайта. ^[3]

Как применяется на практике

Учебный пример: медиа анализирует восемь обращений, каждое от отдельного вымышленного человека. Имена и контакты исключены. Для демонстрации оставлены возраст, район и тема; обозначения А и Б — вымышленные районы.

Сначала выберем для сравнения только сочетание возраста и района. Первые четыре строки уникальны по этим двум признакам. Последние четыре образуют две пары. Доля строк с неповторяющимся сочетанием равна 4 / 8 × 100% = 50%. Знаменатель — все восемь записей, а не число различных сочетаний. Такая проверка следует логике сравнения квазиидентификаторов в модели Суини. ^[2]

Теперь заменим точный возраст интервалами: от двадцати до двадцати девяти лет и от сорока до сорока девяти. Получатся две группы по четыре записи: младшая в районе А и старшая в районе Б. Доля уникальных строк по выбранным признакам станет нулевой. Минимальная численность группы совпадающих записей увеличится с одного до четырёх; относительно именно этих признаков таблица удовлетворяет условию k-анонимности при k = 4. ^[2]

Однако все обращения младшей группы посвящены долгам. Если наблюдателю уже известно, что конкретный человек входит в эту группу, он узнает тему его обращения, даже не выбрав одну строку из четырёх. Этот вывод непосредственно следует из устройства учебной таблицы. Различие между установлением личности и раскрытием атрибута также описано NIST. Поэтому нулевая доля уникальных строк не равна нулевому риску раскрытия. ^[3]

Как измерить или проверить

Проверка должна называть признаки, получателя и доступную ему дополнительную информацию. В примере тема обращения не входит в выбранную пару признаков. Если она известна извне и помогает сопоставлению, исходный выбор придётся пересмотреть. Суини прямо оговаривает зависимость модели от правильного определения квазиидентификатора. ^[2]

Для пустого набора доля уникальных строк не вычисляется: знаменатель равен нулю. Для непустого набора отсутствие уникальных сочетаний — результат проверки только выбранных признаков. Его нельзя переводить в «процент обезличенности» или вероятность успешного узнавания человека.

Полезность проверяется отдельно. После объединения возрастов исследование сохраняет возможность сравнивать широкие возрастные группы, но уже не отвечает на вопрос о точном возрасте заявителей. NIST рекомендует проверять и защиту, и пригодность преобразованных сведений для заявленной задачи. ^[3]

Ошибки, ограничения и спорные вопросы

Нельзя считать случайный код доказательством анонимности: код может связывать несколько публикаций. Не гарантирует её и отсутствие имён. Повторные выпуски таблиц способны раскрыть больше сведений при сопоставлении, чем каждый выпуск по отдельности; такие атаки рассмотрены в исследовании Суини. ^[2]

Учебный пример показывает свойства маленькой таблицы. Он не устанавливает достаточность метода для реальных обращений, где возможны свободный текст, редкие обстоятельства и дополнительные источники информации. Решение о публикации требует оценки конкретного набора и правового основания.

Правовой аспект

На 30 октября 2026 года используется редакция 152-ФЗ от 26 июля 2026 года. Обезличивание входит в обработку персональных данных. Пункт 9 части 1 статьи 6 предусматривает его обязательность при статистических или иных исследовательских целях, исключая цели статьи 15 — продвижение товаров, работ, услуг прямыми контактами и политическую агитацию. Это отдельное основание со своими условиями, а не разрешение любой публикации под названием исследования. ^[1]

С 1 сентября 2025 года действует приказ РКН № 140; прежний приказ № 996 отменён. Новый приказ, помимо выбора методов, требует исключить совместное хранение исходного массива и результата, учитывать действия и принимать предусмотренные локальные акты. Из его области исключены случаи пункта 9.1 части 1 статьи 6. ^[6]

Для предоставления обезличенных сведений по требованию Минцифры в специальном режиме статьи 13.1 предусмотрено постановление Правительства № 1154, действующее с 1 сентября 2025 года. Пункт 1 его требований охватывает также предусмотренный законом московский механизм. Обязанность оператора по статье 13.1 связана с получением установленного требования; это не всеобщая обязанность самостоятельно выгружать любые обезличенные таблицы. Положения, вводящие этот режим, вступили в силу по статье 3 закона № 233-ФЗ. ^{[1, 7, 8]}

В США правило HIPAA для охраняемой медицинской информации допускает два пути: документированное экспертное заключение об очень малом риске идентификации либо Safe Harbor. Второй требует предусмотренного удаления идентификаторов и отсутствия фактического знания, что оставшиеся сведения позволяют идентифицировать человека. Это специальный американский режим, а не российская инструкция. ^[5]

Частые вопросы

Связанные термины

• Персональные данные
• 152-ФЗ о персональных данных
• Согласие на обработку персональных данных
• Оператор персональных данных
• Уведомление РКН об обработке персональных данных
• Политика конфиденциальности