Приказ Роскомнадзора № 140: что изменилось в обезличивании персональных данных

С 1 сентября 2025 года обезличивание персональных данных регулирует приказ Роскомнадзора от 19.06.2025 № 140, который заменил приказ № 996 от 2013 года. Рассказываем, что в нём важно для оператора.

Что это за приказ

Приказ № 140 утверждает требования к обезличиванию (приложение № 1) и методы обезличивания (приложение № 2). Он зарегистрирован Минюстом 31.07.2025 за № 83110 и действует с 1 сентября 2025 года. Требования адресованы оператору персональных данных, который сам обезличивает данные. Исключены случаи, указанные в п. 9.1 ч. 1 ст. 6 152-ФЗ (обезличивание по требованию государства).

Какие методы разрешены

• Метод введения идентификаторов (п. 2 методов): данные, по которым можно определить человека, заменяются кодом, номером или иным обозначением. Должен создаваться ключ для сопоставления, который оператор хранит отдельно и не передаёт третьим лицам (п. 3).
• Метод изменения состава или семантики (п. 4-9): удаление, искажение или изменение атрибутов, в том числе замена на условные знаки или случайные значения.
• Метод перемешивания (п. 10): перестановка значений между записями.
• Метод декомпозиции (п. 11): разделение массива на части с раздельным хранением.
• Дополнительно может применяться обобщение (агрегация) атрибутов (п. 12).

Методы можно применять по отдельности или в совокупности.

Что требуется от оператора

1. Использовать методы из приложения № 2.
2. Заранее определить состав данных и субъектов, подлежащих обезличиванию.
3. Оценить достаточность выбранного метода для целей обработки.
4. Обеспечить, чтобы без дополнительной информации нельзя было определить, чьи данные.
5. Использовать информационные системы и программы, где обеспечены безопасность и конфиденциальность исходных и обезличенных данных.
6. Не хранить вместе исходные и обезличенные данные.
7. Вести учёт действий по обезличиванию в определённой оператором форме.

Также оператор принимает локальные акты (порядок обезличивания, оценка достаточности метода) и исключает доступ к ним третьих лиц.

Что это значит на практике для юриста

• Если вы обезличиваете документы клиентов перед отправкой в нейросеть, вы действуете как оператор и должны выбрать метод, оценить его достаточность и вести учёт.
• Самый простой для документов метод: введение идентификаторов. Данные заменяются кодами, а ключ хранится отдельно у вас.
• Нужна страница или журнал, подтверждающие, что и когда обезличено (без самих данных).
• Важно использовать программу, которая сама не выдаёт и не хранит ваши данные дольше необходимого.

Лайндок реализует метод введения идентификаторов: персональные данные заменяются кодами, а ключ для возврата остаётся у вас. Страница «Информация об обезличивании» помогает вести учёт действий. Оценка достаточности метода и ответственность за дальнейшую обработку остаются за оператором.