Главная

Акт соответствия требованиям к обезличиванию персональных данных

Акт подтверждает, что выбранный метод обезличивания соответствует требованиям, оценка его достаточности зафиксирована, а исходные и обезличенные массивы хранятся раздельно и учтены. Подготовку ведёт служба информационной безопасности, утверждает руководитель организации; проверяющие обращают внимание на раздельное хранение, запись оценки метода и соответствие методу из закрытого перечня приказа.

Статус обязательный документ при проведении обезличивания персональных данных
Основание п. 9 ст. 3 Федерального закона 152-ФЗ; приказ РКН № 140 от 19.06.2025
Публичность внутренний документ, не предназначен для публичного размещения
Кто утверждает руководитель организации
Периодичность составляется или пересматривается при изменении метода обезличивания или структуры массива
Обновлено июль 2026
Ответственный ответственный за организацию обработки персональных данных
Область применения обезличивание исходных и результирующих наборов персональных данных в информационных системах и массивах организации

01 Назначение

Акт соответствия требованиям к обезличиванию персональных данных

Краткое руководство: зачем нужен акт, когда его составлять и что он должен содержать

Назначение акта. Документ фиксирует, что применённый метод обезличивания соответствует определению и требованиям законодательства и внутренним правилам организации. Акт обязателен при проведении обезличивания и утверждается руководителем организации; он служит основанием для дальнейшей обработки результатов обезличивания или их передачи.

Граница применения и триггеры для составления или пересмотра. Акт привязывается к конкретному массиву данных и выбранному методу обезличивания. Триггеры для составления или пересмотра акта: внедрение нового метода, изменение параметров метода, изменение структуры или объёма массива, либо новые требования приказа контролирующего органа.

Обязательное содержание акта. В акте минимально должны быть: идентификация исходного массива (характеристики и границы выборки), наименование и параметры применённого метода, результаты проверки качества обезличивания (описание тестов и выводы), заключение о возможности дальнейшей обработки, фамилия и позиция ответственного, дата утверждения и ссылка на перечень применённых методов, если таковой имеется.

Типичные недостатки и приоритеты проверки. Частые нарушения: совместное хранение исходника и результата обезличивания, отсутствие описания параметров метода, отсутствие подтверждения тестирования и подписей ответственных. При приёмке акта следует оценить наличие доказательств тестирования качества обезличивания и проверить, что технические и организационные меры по защите данных реализованы.

Раскрыть полностью

02 Ответственность

Ответственность за нарушение требований к обезличиванию ПДн

ч. 7 ст. 13.11 КоАП РФ (применима к должностным лицам государственных и муниципальных органов)

Должностное лицо (государственные и муниципальные органы) 6 000 - 12 000 ₽
Организация по ч. 7 ст. 13.11 прямых санкций не применяется, возможна ответственность по другим частям ст. 13.11

Ч. 7 ст. 13.11 связывает ответственность с должностными лицами и госорганами, поэтому по этой части прямые санкции к организации не применяются. Организациям и их руководителям следует учитывать, что ответственность может наступать по иным частям ст. 13.11 или по иным нормам при наличии состава правонарушения. Типичная ошибка - полагать, что наличие акта полностью исключает риск привлечения должностных лиц.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Сборка распространённых названий и запросов для акта соответствия требованиям к обезличиванию персональных данных. Поможет при поиске образцов, выборе шаблона и переименовании внутренних форм.

Акт обезличивания персональных данных, образец
Форма акта соответствия требованиям к обезличиванию
Акт соответствия обезличиванию ПДн
Форма акта проверки обезличивания данных
Подтверждение обезличивания персональных данных
Отчёт о применении метода обезличивания
Оценка достаточности метода обезличивания
Методы обезличивания персональных данных
Пояснительная записка к акту обезличивания

04 Обязательное содержание

Чеклист для Акта соответствия требованиям к обезличиванию ПДн

Чеклист разделов и элементов, которые должны быть в акте, чтобы документально подтвердить выбор метода обезличивания и результаты его проверки.

Идентификационные реквизиты и утверждение Название документа, номер версии, дата составления, инициатор подготовки, подпись и должность руководителя организации, отметка о внутреннем статусе документа.
Правовые основания и ссылки Перечень нормативных и локальных оснований, на которые опирается акт, с указанием релевантных статей и приказов.
Описание метода обезличивания Подробное описание применяемого метода или алгоритма, используемые параметры и сопутствующие преобразования данных; указание соответствия применяемому перечню методов.
Размещение исходных и обезличенных массивов Описание мест и систем хранения исходных и обезличенных данных с подтверждением раздельного хранения и ограничений совместного хранения.
Результаты проверки невозможности восстановления Материалы тестирования и отчёт о проверке, подтверждающие, что идентифицирующая информация не подлежит восстановлению по заданным критериям и методике.
Ответственные лица и контакты ФИО и должности ответственного за организацию обезличивания и исполнителей, контакт для внутренних запросов и роли при проведении контроля.
Триггеры для пересмотра акта Указание конкретных условий для пересмотра или пересоставления акта, например изменение метода обезличивания или структуры массива персональных данных.

05 Применимость

Кому и когда нужен Акт соответствия требованиям к обезличиванию ПДн

Внутренний обязательный документ, фиксирующий выбранный метод обезличивания, проверку результата и вывод о соответствии. Утверждается руководителем организации; не предназначен для публичного размещения.

Кому обязателен акт Оператор персональных данных, ответственное лицо по защите ПДн и подразделения, выполняющие обезличивание, обязаны иметь акт при фактическом проведении обезличивания. Акт утверждает руководитель организации и служит документальным подтверждением выбора метода и результатов проверки.
Триггеры для составления и пересмотра Составляют перед первым выпуском обезличенных данных и пересматривают при смене метода обезличивания, при изменении структуры массива данных или при обновлении регуляторного перечня методов.
Граница применимости акта Акт предназначен как внутренний документ для фиксирования действий оператора по обезличиванию. В случаях, подпадающих под исключительные полномочия государственных органов или особые процессуальные режимы, применение акта требует согласования с юридическим подразделением.
Технические ограничения и запрещенные практики Акт фиксирует технические требования: запрет на совместное хранение исходника и результата обезличивания и указание конкретного метода из утвержденного перечня, а также перечисляет применяемые меры защиты результатов обезличивания.
Особенности для малых операторов и филиалов Независимо от размера оператора акт оформляют при проведении обезличивания. В локальной практике документ может содержать меньше технических приложений, но обязан включать реквизиты, описание метода и вывод о соответствии применяемому перечню методов.
Связь с проверочной документацией Акт входит в комплект документов, используемых при проверке метода обезличивания; он должен ссылаться на отчет о тестировании метода и на внутренний чеклист разделов и элементов акта.

06 Нормативная база

Нормативная база для Акта соответствия требованиям к обезличиванию ПДн

п. 9 ст. 3 152-ФЗ Дает определение обезличивания как обработки, при которой персональные данные не могут быть соотнесены с конкретным субъектом без дополнительной информации. Для Акта это основное требование: зафиксировать метод обезличивания, обоснование невозможности восстановления идентификации, условия применения и триггеры для пересмотра при изменении данных или метода.
приказ РКН № 140 от 19.06.2025 Устанавливает конкретные требования и перечень методов обезличивания, вступившие в силу с 01.09.2025. В Акте следует указать выбранный метод в сопоставлении с требованиями приказа, сроки введения, ответственных за внедрение и результаты валидации метода.
приложение № 2 к приказу Содержит закрытый перечень применяемых методов обезличивания. Актуальная ссылка на приложение и идентификатор метода должны быть в Акта, любые отклонения от перечня - документированы с обоснованием и подтверждающими тестами.
п. 1 пп. 6 требований Запрещает совместное хранение исходника и результата обезличивания. Для Акта необходимо описать организационные и технические меры разделения, места хранения, правила доступа и процедуры подтверждения отсутствия совместного размещения.
мера АВЗ.1 Отражает требование к реализациям мер технической защиты, включая антивирусные и иные средства. В Акте полезно привести перечень применяемых мер защиты, ссылки на конфигурации и журналы, подтверждающие, что среда обработки не снижает эффект обезличивания.
ч. 7 ст. 13.11 КоАП Описывает состав правонарушений в части обезличивания для государственных и муниципальных органов. При составлении Акта следует зафиксировать статус организации и применимость отдельных требований закона к госсектору, чтобы отличать общие правила и специальные обязанности.
п. 2 ч. 1 и ч. 2 ст. 18.1 152-ФЗ Указывает на необходимость внедрения мер безопасности оператором. В контексте Акта актуально указать, какие технические и организационные меры использованы для обеспечения сохраняемости обезличивания, отсылки к оценке риска и ответственным за поддержание и пересмотр мер.

08 Внедрение

Шаги по внедрению Акта соответствия требованиям к обезличиванию ПДн

Короткая последовательность от решения о проведении обезличивания до утверждённого акта и передачи материалов проверяющему. В каждом шаге указан ответственный и конкретный выходной документ.

1. Принятие решения и назначение ответственных Руководитель принимает решение о проведении обезличивания и издаёт локальный приказ о назначении ответственного за организацию обработки и комиссии. На выходе - «Приказ о проведении обезличивания и назначении ответственного» с регистрационной записью в журнале приказов.
2. Идентификация массива и выбор метода обезличивания Ответственный за организацию обработки описывает структуру исходного массива, подтверждает, что операция подпадает под определение обезличивания, и оформляет протокол выбора метода. На выходе - «Протокол выбора метода обезличивания» с обоснованием и ссылкой на закрытый перечень допустимых методов.
3. Оценка риска реидентификации и подбор мер защиты Специалист по защите персональных данных оценивает вероятность и последствия восстановления идентифицирующей информации и формирует мотивированный перечень применённых мер защиты. На выходе - «Отчёт об оценке риска реидентификации и применённых мерах».
4. Техническая реализация и разделение исходников и результатов ИТ-администратор реализует выбранный метод обезличивания в тестовой среде, настраивает раздельное хранение исходных и обезличенных массивов и фиксирует операцию в журнале. На выходе - запись в «Журнале учёта передачи обезличенных данных» и тестовый отчёт о запуске.
5. Составление Акта соответствия Ответственный формирует текст Акта соответствия с описанием исходного массива, метода, результатов тестирования и ссылки на отчёт по рискам. Акт подписывается и утверждается руководителем организации. На выходе - подписанный файл «Акт соответствия требованиям к обезличиванию персональных данных».
6. Внутренняя проверка и передача материалов проверяющему Внутренний аудитор или инспектор проводит контроль соответствия и формирует проверочную папку с ключевыми документами и ссылками на доказательства выполнения работ. На выходе - отметка о проверке и регистрация папки в системе внутреннего контроля.

09 Актуализация

Поводы для повторной разработки или пересмотра Акта соответствия требованиям к обезличиванию ПДн

Акт привязан к конкретной процедуре и конкретному массиву, поэтому при значимых изменениях акт не правится вхолостую, а составляется заново. Ниже - конкретные и проверяемые поводы для новой процедуры и короткие действия, которые нужно выполнить.

Изменение состава или объёма обезличиваемых данных Появление новых полей, новых категорий субъектов или существенное увеличение объёма означает, что прежняя проверка применимости метода и выводы по риску не относятся к новому массиву. Сформировать новый акт с перечнем отличающихся полей и обоснованием достаточности метода, утвердить руководителем организации.
Смена метода обезличивания или изменение его параметров, включая требования регулятора Переход между принципиально разными подходами (например, удаление атрибутов против введения идентификаторов), смена алгоритмов или операционных параметров требует повторной технико-организационной оценки, а также сверки с перечнем методов в приказе регулятора. Провести технико-организационное обоснование выбранного метода, зафиксировать метод и параметры в новом акте, утвердить руководителем.
Изменение цели или характера использования обезличенного результата Если результат, ранее используемый, например, только для статистики, начали применять для скоринга, адресной рассылки или интеграции с другими системами, повышается риск повторной идентификации и меняется оценка вреда. Повторно оценить риск повторной идентификации и влияние на субъекта, при необходимости изменить метод и оформить новый акт с описанием ограничений по использованию.
Передача обезличенного массива внешним получателям или объединение с внешними данными У получателя может быть дополнительная информация, позволяющая сопоставить записи. Передача без пересмотра метода и условий передачи повышает риск восстановления личности. Составить новый акт с условиями передачи и техническими требованиями к получателю, приложить оценку возможности сопоставления и ограничения доступа; утвердить руководителем.
Изменение режима хранения, архитектуры или процедур доступа Миграция хранилищ, объединение баз, новая схема резервного копирования или изменения в процедурах доступа могут нарушить требование раздельного хранения исходника и результата или создать возможность сопоставления. Проверить соответствие требованиям раздельного хранения и доступа, при выявленных рисках скорректировать архитектуру и составить новый акт; утвердить руководителем.

10 Проверка

Инспектор проверит

Документы и материалы проверки по акту соответствия требованиям к обезличиванию персональных данных.

Вопрос 01 «Предъявите акт соответствия требованиям к обезличиванию персональных данных.»
Вопрос 02 «Предъявите описание примененного метода обезличивания и результаты проверки его эффективности.»
Вопрос 03 «Предъявите документы, подтверждающие раздельное хранение исходного и обезличенного массива.»
Вопрос 04 «Предъявите перечень применяемых методов обезличивания и обоснование их выбора.»
Вопрос 05 «Предъявите записи о пересмотре акта при изменении метода или структуры массива.»

Инспектор при проверке, может запросить:

акт соответствия требованиям к обезличиванию персональных данных, с датой утверждения, подписью руководителя и указанием ответственных лиц.
описание метода обезличивания, протокол тестирования результата с методикой выборки, критериями оценки и выводом о невозможности восстановления персональных данных.
схемы хранения и настройки доступа или журналы, подтверждающие раздельное хранение исходного и обезличенного массива, а также правила разграничения прав доступа.
закрытый перечень применяемых методов обезличивания с обоснованием выбора методов и ссылкой на приложение к внутреннему приказу.
журнал версий или запись о пересмотре акта с указанием причины изменения, даты пересмотра и ответственных за внесение изменений лиц.

11 Экспертная позиция

Практический риск при оформлении акта

Типичная ловушка - рассматривать акт как формальный файл без воспроизводимых доказательств. Риск: метод указан, но его эффективность не проверена или исходный массив и результат хранятся совместно, что сводит обезличивание на нет. Рекомендация: в акте обязательно фиксируйте применяемый метод и его привязку к приложению к приказу, версию алгоритма и параметры, критерии и протоколы тестирования эффективности, идентификаторы тестовых прогонов и хеши выборок; указывайте триггеры пересмотра акта при изменении структуры массива или метода и документируйте отдельное физическое или логическое хранение исходника и результата. Храните набор артефактов, позволяющих воспроизвести проверку эффективности без раскрытия персональных данных.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы об Акте соответствия требованиям к обезличиванию ПДн

Акт является обязательным документом при проведении обезличивания персональных данных. Его составляют при проведении процедуры и пересматривают при изменении применяемого метода или структуры массива; акт утверждает руководитель организации. Требования к проведению обезличивания и к оформлению содержательных частей описаны в приказы РКН и в определениях закона.

Заказать акт соответствия требованиям к обезличиванию персональных данных в комплекте локальных нормативных актов

Закажите оформление акта соответствия требованиям к обезличиванию персональных данных вместе с комплектом локальных нормативных актов. В комплект входят: адаптированный акт с обоснованием выбранного метода обезличивания, проект приказа для утверждения руководителем, журнал учёта исходных и обезличенных массивов, перечень применяемых методов и инструкция по раздельному хранению и учёту. Документ внутренний, подлежит пересмотру при изменении метода или структуры массива.

Заказать акт и комплект локальных нормативных актов

Акт соответствия требованиям к обезличиванию персональных данных

Акт соответствия требованиям к обезличиванию персональных данных

Ответственность за нарушение требований к обезличиванию ПДн

Как ещё называют этот документ

Чеклист для Акта соответствия требованиям к обезличиванию ПДн

Кому и когда нужен Акт соответствия требованиям к обезличиванию ПДн

Нормативная база для Акта соответствия требованиям к обезличиванию ПДн

Документы и записи, связанные с Актом соответствия

Связанные документы

Шаги по внедрению Акта соответствия требованиям к обезличиванию ПДн

Поводы для повторной разработки или пересмотра Акта соответствия требованиям к обезличиванию ПДн

Инспектор проверит

Практический риск при оформлении акта

Частые вопросы об Акте соответствия требованиям к обезличиванию ПДн

База знаний содержит 268 документов

Заказать акт соответствия требованиям к обезличиванию персональных данных в комплекте локальных нормативных актов

Скачайте каталог решений с ценами под вашу нишу и вдохновитесь идеями