Оператор должен обезличить персональные данные, если эта обязанность возложена на него федеральными законами, в частности Федеральным законом от 27.07.2006 N 152-ФЗ «О персональных данных». В иных случаях решение о том, обезличивать персональные данные или нет, принимается оператором по своей инициативе (часть 7 ст. 5, пп. 9, 9.1 части 1 ст. 6, часть 2.1 ст. 10, часть 1 ст. 13.1 Федерального закона от 27.07.2006 N 152-ФЗ).
В частности, обязанность обезличить персональные данные возникает по требованию Минцифры России об их предоставлении. Цель такого требования – сформировать составы обезличенных данных, которые сгруппированы по определенному признаку таким образом, что их последующая обработка не позволит определить принадлежность конкретному субъекту. Такие составы данных Минцифры России формирует в определенных Правительством РФ случаях по решению уполномоченных лиц или Правительственной комиссии по предупреждению и ликвидации ЧС и обеспечению пожарной безопасности.
Взаимодействие с Минцифры России можно организовать различными способами, например через личный кабинет в этой информсистеме. Также определены способы взаимодействия информсистемы оператора с ЕИП НСУД, в которую должны быть предоставлены обезличенные персональные данные.
Если оператору персональных данных поступило требование Минцифры России, он обязан обезличить персональные данные и направить их в ЕИП НСУД. Если у оператора нет доступа к ЕИП НСУД и он не подключен к системе межведомственного электронного взаимодействия (СМЭВ), срок предоставления обезличенных данных, указанный в требовании Минцифры России, должен быть не менее 30 рабочих дней, а в остальных случаях – не менее пяти рабочих дней (п. 3 Правил, утвержденных Постановлением Правительства РФ от 26.06.2025 N 966).
Чтобы исполнить требование, нужно сделать следующее (части 3, 4 ст. 13.1 Федерального закона от 27.07.2006 N 152-ФЗ, п. 4 Правил, утвержденных Постановлением Правительства РФ от 26.06.2025 N 966):
- обезличить персональные данные с соблюдением Требований, Правил и Методов обезличивания, установленных Постановлением Правительства РФ от 01.08.2025 N 1154 (с учетом содержания требования);
- подписать обезличенные данные УКЭП;
- предоставить такие данные в ЕИП НСУД с использованием личного кабинета в этой информсистеме или СМЭВ. Если нет технической возможности подключиться к ним, данные передаются нарочным в адрес Минцифры России на съемном носителе, с соблюдением мер по защите информации.
Если запрошенных данных у оператора нет, в течение пяти рабочих дней со дня получения требования нужно направить мотивированный отказ. Если нет только части данных, отказ направляется в отношении этой части и предоставляются те данные, которые есть (п. 5 Правил, утвержденных Постановлением Правительства РФ от 26.06.2025 N 966).
Есть и иные случаи, когда оператор должен обезличить персональные данные. Порядок и условия их обезличивания определены специальными законами, в частности, в рамках экспериментальных правовых режимов, если на оператора и субъекта (участника) экспериментального правового режима распространяются такие требования.
На заметку: о том, какие меры должен принять оператор, чтобы начать обезличивать персональные данные, рассказано в Готовом решении в СПС КонсультантПлюс.
Инструменты для работы с персональными данными, которые помогут выполнить все требования законодательства и избежать привлечения к ответственности, представлены в Алгоритме «Безопасная работа с персональными данными в 2025 году» на нашем сайте.
Читайте подробнее
Бухгалтерам
Кадровикам
