Журнал учёта передачи обезличенных данных

Форма учёта выгрузок, из которых убраны прямые идентификаторы: кому передан набор, какие поля в нём остались, для какой цели и на каком основании.

Обезличенность — свойство не набора, а ситуации. Два безобидных по отдельности среза при сопоставлении дают конкретного человека, поэтому важно знать, что тому же получателю уже отдавали.

Статусрекомендуемый; обязателен при регулярной передаче выгрузок Основаниеп. 9 ст. 3 152-ФЗ, ст. 5 и ст. 7 152-ФЗ Публичностьвнутренний Кто утверждаетруководитель организации (приказом) Обновленоиюль 2026

Содержание

01 Назначение

Зачем нужен документ

Обезличивание кажется операцией с набором данных: убрали фамилии — и дальше это уже не персональные данные, можно передавать свободно. На практике всё зависит не от набора, а от того, с чем его сопоставят. Возраст, район, должность и дата операции по отдельности не значат ничего, а вместе нередко указывают на одного человека — особенно в небольшом населённом пункте или в узкой профессии.

Отсюда назначение журнала: помнить, что уже отдано тому же получателю. Первая выгрузка безопасна, вторая по тем же людям в другом разрезе — уже нет: получатель складывает срезы и восстанавливает связь.

Второе назначение — зафиксировать состав переданных полей. Именно он определяет, было обезличивание настоящим или формальным. Если в выгрузке остались телефон, адрес или точная дата рождения, никакого обезличивания не произошло: удалили подпись, а не идентификацию.

Основание обработки фиксирует журнал согласий — там судьба данных до обезличивания. Здесь начинается то, что с ними происходит после, и это разные вопросы: цель обработки согласием не отменяется тем, что из набора убрали имена.

02 Ответственность

Чем грозит отсутствие

Здесь важно разделить две ситуации, потому что состав в кодексе узкий и на всех операторов не распространяется.

ч. 7 ст. 13.11 КоАП РФ — только государственные и муниципальные органы

Должностное лицо6 000 – 12 000 ₽

Организациясостав не применяется

Специальный состав за нарушение требований к обезличиванию адресован операторам, являющимся государственными или муниципальными органами, и наказывает только должностных лиц. Для коммерческой организации риск лежит совсем в другом месте: если обезличивание оказалось мнимым, переданный набор остаётся персональными данными — а значит, передача считается их неправомерным распространением, и санкция определяется числом субъектов в выгрузке по частям 12–14 той же статьи, то есть миллионами рублей.

Удаление фамилии — не обезличивание. Телефон, адрес электронной почты и точная дата рождения идентифицируют человека не хуже имени.

Риск накапливается по выгрузкам. Каждый новый срез по тем же людям повышает шанс восстановить личность сопоставлением.

Без журнала невозможно оценить, что уже ушло. Решение о новой выгрузке принимается вслепую, а последствия считаются по совокупности.

03 Синонимы и поисковые названия

Как ещё называют этот документ

—Журнал учёта обезличенных данных образец

—Учёт передачи выгрузок для аналитики

—Как вести журнал передачи обезличенных данных

—Реестр выгрузок персональных данных контрагентам

—Форма учёта передачи данных без идентификаторов

—Журнал передачи данных исследователям и подрядчикам

—Учёт состава полей в переданной выгрузке

—Порядок передачи обезличенных сведений третьим лицам

Обезличивание и псевдонимизация — не одно и то же, хотя ищут их одинаково. Если где-то остаётся таблица соответствия, позволяющая вернуть имена, данные не обезличены: они остаются персональными, и режим передачи для них другой.

04 Обязательное содержание

Что должно быть в документе

Критерий полноты: по записи можно повторить проверку — взять те же поля и оценить, можно ли по ним узнать человека.

Дата передачи и номер записи. Хронология нужна, чтобы видеть накопление выгрузок по одному получателю.

Получатель. Организация, подразделение или исследователь с реквизитами. Обобщение вида «партнёру» обесценивает журнал.

Основание передачи. Договор с номером и датой, поручение обработки, внутренняя аналитическая задача.

Цель. Конкретная: расчёт спроса, исследование оттока, проверка гипотезы. Цель ограничивает то, какие поля вообще нужны.

Состав переданных полей. Главная графа: перечислением, а не «обезличенные сведения о клиентах». Именно по ней потом видно, было обезличивание настоящим или формальным.

Число записей в выгрузке. Оно определяет масштаб последствий, если выяснится, что набор не обезличен.

Применённый метод. Удаление полей, огрубление (год вместо даты, город вместо адреса), агрегирование до групп. Метод объясняет, почему идентификация невозможна.

Отметка о предыдущих передачах этому получателю. Прямая ссылка на строки журнала — тот самый накопленный риск.

Кто подготовил и кто согласовал. Выгрузка данных наружу — не единоличное решение исполнителя.

05 Правовая база

Требования законодательства

п. 9 ст. 3 152-ФЗопределение обезличивания персональных данных

ст. 5 152-ФЗсоответствие обработки заявленным целям

ст. 7 152-ФЗконфиденциальность персональных данных

ст. 6 152-ФЗоснования обработки, включая поручение обработки

ч. 7 ст. 13.11 КоАПобезличивание: только госорганы, должностные лица

ч. 12–14 ст. 13.11 КоАПесли обезличивание мнимое — состав об утечке

Закон определяет обезличивание через результат: действия, после которых невозможно определить принадлежность данных конкретному субъекту без дополнительной информации. Слово «невозможно» здесь ключевое и проверяется не намерением, а фактом. Если по оставшимся полям человека узнать всё-таки можно, обезличивания не произошло, каким бы ни был замысел.

06 Связи в комплекте

Как связан с другими документами

Журнал замыкает жизненный цикл данных с той стороны, где они покидают организацию.

Согласия — основание, которое не исчезает. Журнал согласий фиксирует цели; выгрузка для аналитики должна укладываться в них, а не появляться из ниоткуда после удаления имён.

Политика — публично заявленные цели. Политика обработки называет, зачем организация вообще собирает данные; передача наружу не может выходить за эти рамки.

События ИБ — чем сверять журнал. Перечень регистрируемых событий фиксирует сами выгрузки: сопоставление показывает те, что ушли мимо журнала.

Инструкция пользователя — кто вообще может выгружать. Инструкция пользователя запрещает выгрузки без служебной необходимости; журнал показывает те, что были признаны необходимыми.

Уничтожение — что должно произойти потом. Акт об уничтожении применяется к рабочим копиям выгрузок: они живут до конца задачи, а не вечно.

07 Актуализация

Когда обновлять документ

Записи добавляются при каждой передаче, а сам порядок пересматривают при изменении состава получателей и методов обезличивания.

Появился новый получатель выгрузок

Подрядчик по аналитике, исследовательская группа, рекламный партнёр — основание и состав полей определяются до первой передачи, а не после.

Изменился состав передаваемых полей

Добавили поле — риск идентификации пересчитывается заново, особенно если это дата, адрес или редкий признак.

Повторная выгрузка тому же получателю

Обязательная отметка о предыдущих передачах: оценивать нужно совокупность срезов, а не каждый отдельно.

Уменьшилась выборка

Чем меньше записей, тем легче узнать человека: выгрузка по одному отделу опаснее выгрузки по всей стране при тех же полях.

Изменился метод обезличивания

Перешли от удаления полей к огрублению или агрегированию — метод фиксируется, иначе непонятно, чем обоснована безопасность передачи.

Завершилась задача получателя

Проверяется судьба переданной выгрузки: она должна быть уничтожена, а не остаться жить у подрядчика бессрочно.

08 Проверка

Что спросит проверяющий

Проверка идёт от состава полей: смотрят не на слово «обезличено», а на то, что реально ушло.

Какие поля были в выгрузке. Первый и главный вопрос. Телефон или адрес в наборе означает, что обезличивания не было.

Можно ли узнать человека по совокупности признаков. Малая выборка плюс редкий признак дают идентификацию без всяких идентификаторов.

Есть ли основание передачи. Договор или поручение обработки с описанием предмета, а не устная договорённость с подрядчиком.

Сохранилась ли таблица соответствия. Если да, данные псевдонимизированы, а не обезличены, и режим передачи должен быть строже.

Что было передано этому получателю ранее. Совокупность выгрузок оценивается вместе — именно поэтому нужны отметки о предыдущих.

Уничтожены ли выгрузки после задачи. Рабочая копия, живущая годами, превращается в самостоятельный источник риска.

09 Разбор эксперта

Разбор эксперта

Слово «обезличенные» действует на людей успокаивающе, и это его главная опасность. В разговоре оно означает «уже не персональные данные, можно передавать свободно», а в законе — результат, при котором узнать человека невозможно без дополнительной информации. Разница вскрывается на конкретных полях. Мы регулярно видим выгрузки, где убрали фамилию, но оставили телефон, электронную почту и точную дату рождения. Обезличиванием там не пахнет: удалили подпись, а не идентификацию.

Второе, о чём почти никто не думает, — накопление. Каждая отдельная выгрузка может быть безупречной, а вместе они складываются. Первый раз отдали возраст и город, второй — должность и стаж, третий — даты операций. Получатель, если захочет, соединит срезы по общему ключу и восстановит людей поимённо, причём не нарушив ни одной договорённости: ему всё это отдали добровольно. Поэтому в журнале нужна отметка о предыдущих передачах тому же адресату — это единственный способ принимать решение о новой выгрузке осознанно.

И третье, чисто практическое. Указывайте состав полей перечислением. Запись «переданы обезличенные сведения о клиентах» через год не значит ничего: никто не вспомнит, что там было, и оценить последствия будет невозможно ни вам, ни проверяющему. Перечень полей занимает одну строку и превращает журнал из формальности в рабочий инструмент оценки риска.

Что мы советуем при подготовке комплекта

Записывайте состав переданных полей перечислением и метод обезличивания — удаление, огрубление или агрегирование. Обязательно отмечайте предыдущие передачи тому же получателю: риск считается по совокупности. Помните, что малая выборка опаснее большой при одинаковых полях. Проверяйте, не осталась ли где-то таблица соответствия — с ней данные не обезличены, а псевдонимизированы. И закрывайте цикл: выгрузка у подрядчика должна быть уничтожена по завершении задачи.

Александр КеллерманнГенеральный директор, ведущий аудитор ISO/IEC 27001, Комитет по информационной и правовой безопасностиПодробнее об эксперте

10 Частые вопросы

Частые вопросы

Считаются ли обезличенные данные персональными?

Если обезличивание настоящее — нет. Но проверяется это по факту: возможно ли узнать человека по оставшимся полям без дополнительной информации.

Достаточно ли удалить фамилию, имя и отчество?

Почти никогда. Телефон, электронная почта, адрес, точная дата рождения и редкие признаки идентифицируют человека не хуже имени.

Чем обезличивание отличается от псевдонимизации?

Наличием таблицы соответствия. Если где-то хранится ключ, позволяющий вернуть имена, данные остаются персональными со всеми требованиями к их передаче.

Нужно ли согласие на передачу обезличенных данных?

На передачу действительно обезличенного набора — нет. Но исходная обработка должна была вестись законно и в заявленных целях, иначе вопрос возникнет к ней, а не к выгрузке.

Кого наказывают за нарушение требований к обезличиванию?

Специальный состав в кодексе адресован государственным и муниципальным органам и наказывает должностных лиц. Для коммерческих операторов последствия наступают иначе: мнимое обезличивание превращает передачу в утечку.

Зачем отмечать предыдущие передачи получателю?

Потому что срезы складываются. Несколько безопасных по отдельности выгрузок вместе позволяют восстановить личности сопоставлением.

Как быть с выгрузками для внутренней аналитики?

Учитывать так же: получателем выступает подразделение. Внутренние выгрузки живут дольше внешних и чаще остаются на рабочих компьютерах.

Сколько хранить журнал?

Не меньше, чем живут переданные выгрузки, плюс запас на разбор возможных претензий. Разумный ориентир — три года.

Связанные документы

Журнал учёта полученных согласий на обработку ПДнЖурналы учёта Перечень регистрируемых событий информационной безопасности ИСПДнПеречни, матрицы, схемы Политика в отношении обработки персональных данныхОрганизационные документы

Все документы комплекта

Журнал учёта передачи обезличенных данных — одна из 139 позиций комплекта

Эксперты Комитета разрабатывают комплект под фактическую деятельность организации. Проверьте бесплатно, какие документы обязательны для вас, — по ИНН, за минуту.

или по телефону +7 (812) 240-81-66