Обезличивание персональных данных
Алексей Логинов 11 сентября 2026 Время чтения ≈ 9 мин.
Обезличивание это действия, после которых по данным нельзя определить конкретного человека без дополнительной информации. Ключевые слова тут последние три: почти всё, что называют обезличиванием на практике, проваливается именно на них.
Что закон называет обезличиванием
Определение из статьи 3 152-ФЗ короткое: обезличивание это действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
Проверка формулируется одним вопросом. Возьмите выгрузку и спросите: может ли кто-то, у кого на руках только она, показать пальцем на человека? Если да, обезличивания не произошло, как бы файл ни назывался.
Важное следствие: обезличенность это свойство не одной строки, а всей таблицы вместе с тем, что известно снаружи. Одна и та же выгрузка может быть обезличенной для постороннего и прозрачной для коллеги из соседнего отдела.
Удалить имя мало
Самое частое заблуждение звучит так: убрали ФИО, телефон и почту, значит обезличили. Посмотрим, что остаётся.
На картинке смоделированный корпоративный опрос: 500 ответов, пять обычных полей анкеты, ни одного имени. Пока в таблице пол и город, уникальных нет вовсе. Добавили отдел, и каждый четвёртый оказывается единственным в своей комбинации. Добавили стаж, и единственными становятся шесть человек из десяти.
Такие поля называют квазиидентификаторами. По отдельности ни одно из них человека не выдаёт, а вместе они работают как составной ключ.
Как человека находят на практике
Опознание не требует хакерских навыков. Достаточно знать про коллегу то, что знают все вокруг.
Из пятисот строк фильтр по полу оставляет 291, по городу 111, по возрасту 36, а по отделу уже одного. Пятое поле ничего не меняет, человек определён на четвёртом шаге. При этом в файле нет ни имени, ни почты, ни идентификатора.
Отсюда практическое правило: опасны не поля с именем, а сочетание безобидных полей. Проверять надо комбинации, а не колонки по одной.
Критерий, который можно посчитать
«На глаз кажется обезличенным» это не критерий. Измеримый критерий называется k-анонимностью и формулируется так: в выгрузке нет ни одной комбинации квазиидентификаторов, которая встречается реже k раз. Практический ориентир для опросов k равен пяти.
Считается он в одну строчку: сгруппировать таблицу по всем квазиидентификаторам и посмотреть на минимальный размер группы. Если минимум равен единице, в выгрузке есть люди, которых видно поимённо.
Довести выгрузку до нужного k помогает укрупнение категорий. Возраст в три группы вместо пяти, отделы в три дивизиона вместо восьми, города в две группы, стаж в две. Доля уникальных падает с 60 процентов до одного.
Но именно тут прячется главное: укрупнение почти решает задачу, а не решает её полностью. Шесть человек остались единственными в своих группах даже после всех слияний. Их строки надо убрать или слить руками, иначе k так и останется единицей.
Три разные вещи, которые путают
Обезличивание, псевдонимизация и удаление решают разные задачи, и подменять одно другим дорого.
| Что делаем | Можно ли вернуть человека | Остаются ли персональные данные |
|---|---|---|
| Псевдонимизация: имя заменили на код, таблица соответствия сохранена | да, по таблице соответствия | да, режим обработки не меняется |
| Обезличивание: связь с человеком разорвана, дополнительной информации нет | нет | нет |
| Удаление: данных больше не существует | нет | нет, вместе с самими данными |
Псевдонимизацию выдают за обезличивание чаще всего. Пока где-то лежит файл, который связывает код с человеком, «дополнительная информация» существует, и данные остаются персональными со всеми обязанностями оператора.
Что делать с выгрузкой опроса
- Выписать квазиидентификаторы. Все поля, которые сужают круг: отдел, должность, стаж, город, возраст, пол, филиал, дата приёма.
- Укрупнить категории. Возраст в группы по десять лет, отделы в дивизионы, города в федеральные округа. Точность падает, пригодность для анализа остаётся.
- Посчитать k. Сгруппировать по всем квазиидентификаторам и найти минимальный размер группы.
- Разобраться с остатком. Строки в группах меньше пяти слить с соседними, убрать у них часть полей или исключить из выгрузки.
- Проверить открытые ответы. Свободный текст опознаётся по деталям, и никакое укрупнение его не спасёт. Либо выносить отдельно и читать глазами, либо не отдавать вместе с полями.
- Уничтожить связку. Если оставили таблицу соответствия, обезличивания не вышло.
Частые ошибки
- Обезличили выгрузку, оставили исходную базу. Обезличенной считается не копия, а то, что вы отдаёте. Пока исходник на месте, обязанности оператора никуда не делись.
- Опубликовали разрез по маленькой группе. Сводная таблица с ячейкой «юристы, 3 ответа, средний балл 2,1» выдаёт людей не хуже построчной выгрузки.
- Посчитали k один раз. Добавили в отчёт новый фильтр, и k пересчитывается заново: каждое новое поле дробит группы.
- Сочли обезличивание способом обойти согласие. Собирать данные всё равно надо на законном основании, обезличивание применяется к тому, что уже собрано.
Отдельно про методы: требования и методы обезличивания, утверждённые приказом Роскомнадзора, формально адресованы государственным и муниципальным органам. Для компании это полезный ориентир, а не прямая обязанность. Конкретный набор действий стоит согласовать с юристом.
Обезличивание вместо уничтожения
Когда цель обработки достигнута, данные положено уничтожить. Обезличивание это второй выход из той же двери.
Для исследований он часто удобнее. Опрос удовлетворённости закрыт, персональные данные респондентов больше не нужны, но сами ответы нужны: по ним считают динамику, сравнивают волны, строят бенчмарк. Уничтожить всё означает потерять историю. Обезличить означает сохранить цифры и снять с себя обязанности оператора по этому массиву.
Условие одно и жёсткое: обезличивание должно быть настоящим. Если после него человека можно вернуть, массив остался персональными данными, срок хранения продолжает течь, и теперь вы храните их без цели, что само по себе нарушение.
Как это сделано в WebAsk
Начинать удобнее не с обезличивания, а с того, чтобы не собрать лишнего: что не собрано, то не надо обезличивать. Про это отдельная карточка про анонимный опрос, там про метаданные, персональные ссылки и воспринимаемую анонимность.
Когда ответы уже собраны, работа идёт с выгрузкой. Экспорт в таблицу даёт файл, в котором можно укрупнить категории и посчитать k до того, как файл уйдёт заказчику исследования или в зарубежный сервис. Полезно и то, что сводные отчёты считаются по всей выборке: пока вы не строите разрез по мелкой группе, отдельный человек в них не проступает.
Практика, которая экономит время: решать вопрос с фильтрами на этапе анкеты. Если отдел нужен для аналитики, но в отделе шесть человек, спрашивать стоит сразу дивизион.
Коротко
- Обезличивание это невозможность определить человека без дополнительной информации.
- Удаления имени недостаточно: пяти обычных полей анкеты хватает, чтобы шесть человек из десяти стали единственными.
- Измеримый критерий это k-анонимность, для опросов ориентир k равен пяти.
- Укрупнение категорий снимает почти всю уникальность, остаток надо доубирать руками.
- Псевдонимизация обезличиванием не считается, пока жива таблица соответствия.
- Обезличивают то, что отдают; исходная база при этом остаётся персональными данными.
Вопросы и ответы
Что такое обезличивание персональных данных простыми словами?
Это изменение данных так, чтобы по ним нельзя было понять, кто конкретно за ними стоит, и чтобы понять это было нельзя без какой-то дополнительной информации со стороны. Проверка простая: если человек, у которого есть только ваша выгрузка, может показать пальцем на конкретного сотрудника, обезличивания не произошло.
Достаточно ли удалить имя, телефон и почту?
Нет. Остаются квазиидентификаторы: отдел, стаж, город, возраст, пол. По отдельности они безобидны, вместе работают как составной ключ. На смоделированной выгрузке из 500 ответов пяти таких полей хватило, чтобы 60 процентов респондентов оказались единственными в своей комбинации.
Что такое k-анонимность и какое k брать?
k-анонимность означает, что любая комбинация квазиидентификаторов встречается в выгрузке не реже k раз. Считается группировкой по всем таким полям с поиском минимального размера группы. Для опросов обычный ориентир k равен пяти: это тот же порог, по которому не показывают срезы отчёта по маленьким группам.
Чем обезличивание отличается от псевдонимизации?
При псевдонимизации имя заменено кодом, но таблица соответствия сохранена, и человека можно вернуть. Это и есть та самая дополнительная информация из определения, поэтому данные остаются персональными и обязанности оператора сохраняются. Обезличивание предполагает, что вернуть человека нельзя ни по какой таблице.
Обезличивание отменяет необходимость согласия?
Нет. Основание нужно на момент сбора: обезличивают уже собранное. Обезличивание снимает часть обязанностей с того, что вы отдаёте дальше, но не задним числом легализует сбор.
Что делать с открытыми ответами?
Свободный текст опознаётся по деталям: описанная ситуация, стиль, конкретный случай. Укрупнение категорий его не спасает. Рабочие варианты это выносить открытые ответы в отдельный файл без демографических полей, вычищать конкретику руками или предупреждать респондента, чтобы он не писал опознаваемых подробностей.
Можно ли считать обезличенной сводную таблицу?
Не всегда. Ячейка с тремя ответами по маленькому отделу выдаёт людей не хуже построчной выгрузки, особенно если рядом есть средний балл. Правило то же: разрезы по группам меньше пяти человек не показывать.
Опубликовано 11 сентября 2026
