Регламент передачи обезличенных персональных данных в государственную информационную систему: как составить, требования

Статус обязательный при получении требования уполномоченного органа
Основание ст. 13.1 152-ФЗ (введена 233-ФЗ)
Публичность внутренний документ организации, доступ ограничен ответственным подразделениям
Кто утверждает руководитель организации
Триггер исполнения получение оператором письменного требования уполномоченного органа с перечнем данных и сроками
Периодичность выполняется по каждому поступившему требованию
Ответственный ответственный за организацию обработки персональных данных
Область применения передача обезличенных персональных данных в государственную информационную систему, включая составы данных по ст. 13.1 152-ФЗ

01 Назначение

Регламент передачи обезличенных персональных данных в государственную информационную систему

Краткое руководство для ответственных подразделений при получении требования уполномоченного органа

Назначение и область применения. Регламент определяется как обязательная внутренняя процедура оператора при получении письменного требования уполномоченного органа с перечнем данных и сроками. Документ применяется к запросам, нацеленным на передачу обезличенных персональных данных в государственную информационную систему и не распространяется на случаи, не подпадающие под требование уполномоченного органа.

Роли и ответственность. Руководитель организации утверждает регламент и назначает ответственное подразделение, которое регистрирует требования, назначает контактного лица и обеспечивает исполнение. Оператор обеспечивает наличие журнала регистрации требований, формы акта передачи и протокола обезличивания, а также фиксирует решение о передаче или обоснование невозможности передачи.

Требования к обезличиванию и ограничения содержания. Обезличивание выполняется в соответствии с требованиями, методами и порядком, устанавливаемыми Правительством по согласованию с ФСБ; результат не должен содержать сведений ограниченного доступа и не должен позволять определить принадлежность конкретному субъекту без дополнительной информации. Запрещено формировать составы обезличенных данных из специальных категорий и биометрических данных, за исключением сведений о здоровье, если это прямо допускается нормой. Обработка составов данных проводится только внутри государственной информационной системы, а передача результатов обработки третьим лицам ограничена установленными исключениями.

Практическая последовательность при получении требования. 1) Зарегистрировать требование в журнале и подтвердить получение уполномоченному органу. 2) Проверить полноту перечня данных и сроков, при отсутствии сведений запросить уточнение у органа и зафиксировать дату запроса. 3) Создать рабочую группу с экспертом по обезличиванию и юристом, выполнить обезличивание по утверждённой методике и задокументировать протокол. 4) Провести проверку результата на отсутствие сведений ограниченного доступа и соответствие требованиям; при несоответствии документировать причины и эскалировать руководителю организации. 5) Передать обезличенные данные в установленной форме в государственную информационную систему и зафиксировать факт передачи в журнале. Особые случаи: если данные собирались или обновлялись менее трёх лет до передачи, учесть ограничения доступа и порядок дальнейшего предоставления информации лицам по правилам, предусмотренным законом.

Раскрыть полностью

02 Ответственность

Ответственность за нарушение порядка передачи обезличенных персональных данных

Юридическое лицо (оператор) административная ответственность по Кодексу об административных правонарушениях при наличии состава правонарушения, размер санкции определяется соответствующими статьями КоАП
Должностное лицо административная ответственность и возможные дисциплинарные меры при нарушении обязанностей по обработке и передаче персональных данных
Индивидуальный предприниматель административная ответственность при наличии состава правонарушения, применяемая в порядке, аналогичном для юридического лица
Особый риск при передаче иностранным лицам ч. 12 ст. 13.1 152-ФЗ запрещает предоставление результатов обработки иностранным лицам, кроме предусмотренных законом случаев; нарушение этого запрета повышает риск привлечения по применимым нормам

Указанные нормы устанавливают обязанность оператора передавать обезличенные данные по письменному требованию уполномоченного органа и запреты на отдельные виды передач, в том числе иностранным лицам (ч. 12 ст. 13.1 152-ФЗ). В самих частях ст. 13.1 152-ФЗ конкретные размеры административных санкций не приведены; применение ответственности и размер штрафов определяются по соответствующим статьям Кодекса об административных правонарушениях при установлении состава. Типичные нарушения для данного регламента: передача без письменного требования, несоблюдение порядка и методов обезличивания, передача данных вне установленной государственной информационной системы. Рекомендуется документировать факт получения требования и действия по обезличиванию и передаче.

03 Синонимы и поисковые названия

Как ещё называют этот документ

Короткие поисковые и разговорные названия, которые используют при подготовке или поиске регламента передачи обезличенных данных в государственную информационную систему. Помогает отличить регламент по передаче от соседних документов по обезличиванию и учёту.

Регламент передачи обезличенных персональных данных в ГИС
Образец регламента передачи обезличенных данных в ГИС
Порядок исполнения требования о предоставлении обезличенных данных
Действия оператора при требовании о предоставлении обезличенных данных
Обязанности оператора по передаче обезличенных данных
Составы обезличенных данных по 152-ФЗ
Обезличивание персональных данных по требованию уполномоченного органа
Журнал учёта передачи обезличенных данных

04 Обязательное содержание

Ключевые элементы регламента передачи обезличенных ПДн

Чеклист разделов и элементов, необходимых, чтобы регламент корректно работал при получении письменного требования уполномоченного органа.

Утверждение и область применения указаны лицо, утверждающее регламент (руководитель организации), перечень подразделений, на которые документ распространяется, и уровень доступа к документу (внутренний, ограниченный ответственными подразделениями).
Триггер и требования к требованию органа чётко описан порядок приёма письменного требования уполномоченного органа и обязательные реквизиты требования, включая перечень запрашиваемых данных и сроки предоставления.
Порядок обезличивания данных определены методы и порядок обезличивания в соответствии с требованиями Правительства и ФСБ, указано, что результат не должен содержать сведения ограниченного доступа и соответствует критериям невозможности идентификации субъекта.
Порядок передачи в государственную информационную систему описаны технические и организационные шаги взаимодействия с ГИС, формат и канал передачи, а также требование, что составы данных обрабатываются только внутри ГИС без возможности извлечения и передачи из неё.
Ограничения на дальнейшее распространение фиксирован запрет передачи результатов обработки иностранным лицам и перечислены предусмотренные законом исключения и ограничения на дальнейшее использование полученных составов данных.
Роли, ответственность и записи о выполнении приведена таблица ролей и обязанностей (ответственный за организацию обработки, исполнители), регламентированы сроки исполнения по каждому требованию и перечень обязательных записей о приёме требования, принятом решении об обезличивании и факте передачи.

05 Применимость

Кому и в каких случаях нужен регламент передачи обезличенных ПДн в государственную информационную систему

Контур применимости описывает, кто обязан применять регламент при получении письменного требования уполномоченного органа, какие ограничения по содержанию и обработке данных необходимо учитывать, а также когда документ не применим и какие организационные роли вовлечены.

Кому документ обязателен Юридическим лицам, индивидуальным предпринимателям и их структурным подразделениям, действующим как операторы персональных данных, когда оператор получает письменное требование уполномоченного органа с указанием состава данных и сроков предоставления; регламент оформляет процедуру исполнения такого требования и закрепляет ответственных лиц.
Триггер исполнения и периодичность применения Регламент применяется при каждом отдельном письменном требовании уполномоченного органа и описывает последовательность действий по приёму, проверке формулировок требования, обезличиванию и передаче результата в государственную информационную систему.
Ограничения по составу и по категориям данных Составы обезличенных данных формируются уполномоченным органом; запрещено формировать составы из специальных категорий и биометрических данных, за исключением сведений о здоровье в порядке, установленном законом. Результат обезличивания не должен содержать сведений, отнесённых к ограниченному доступу, и должен отвечать определению обезличивания как невозможности установить принадлежность данных конкретному субъекту без дополнительной информации.
Границы передачи и дальнейшая обработка в государственной информационной системе Обязательность передачи обезличенных данных реализуется в форме их размещения в государственной информационной системе; составы данных подлежат обработке только внутри этой системы, а запись, извлечение и передача из неё не допускаются. Запрещено передавать результаты обработки иностранным лицам, за исключением случаев, предусмотренных международным договором, федеральным законом или решением Президента.
Когда регламент не применяется и когда нужен другой документ Регламент не применяется при отсутствии письменного требования уполномоченного органа или если запрос касается другой процедуры взаимодействия, не связанной с передачей обезличенных данных в государственную информационную систему. В этих ситуациях организация должна использовать иные внутренние процедуры или документы, регламентирующие обмен исходными персональными данными, ответ на запросы субъектов или межведомственное взаимодействие.
Организационные требования и рекомендации по применению Документ является внутренним и доступ к нему ограничен ответственным подразделениям; регламент утверждает руководитель организации. Практические элементы регламента должны включать роли ответственных лиц, порядок приёма и проверки требования, требования к доказательной базе выполнения и типичные ошибки при исполнении (например, отсутствие подписи в требовании, неполный перечень полей или попытка передать неисключённые исходные персональные данные).
Особые указания для данных негосударственных операторов Если передаётся информация, собранная негосударственным оператором, обратите внимание на сроки доступности для третьих лиц: в отношении данных, собранных или обновлённых в течение трёх лет до передачи, действуют ограничения доступа для граждан и организаций по правилам, установленным законом.

06 Нормативная база

Нормативная основа регламента передачи обезличенных ПДн в государственную информационную систему

ч. 1 ст. 13.1 152-ФЗ определяет, что составы обезличенных данных формирует уполномоченный орган и запрещает формирование из специальных категорий и биометрии, кроме указанных исключений; для регламента это значит проверять соответствие запрашиваемых полей ограничениям, фиксировать результаты проверки и документировать отказ при наличии запрещённых категорий
ч. 2 ст. 13.1 152-ФЗ требует, чтобы требование уполномоченного органа содержало перечень данных и сроки; для регламента это основной триггер исполнения - процедурно регламентировать приём письменного требования, проверку полноты перечня и сроков, регистрацию требования и порядок эскалации при неясностях
ч. 3 ст. 13.1 152-ФЗ устанавливает обязанность оператора обезличивать данные в соответствии с требованиями, методами и порядком, утверждаемыми Правительством по согласованию с ФСБ, и запрещает включать в результат сведения ограниченного доступа; для регламента это инструкция по верификации применяемых методов, ведению записей о способах обезличивания и подтверждению отсутствия ограниченной информации в итоговых наборах
ч. 4 ст. 13.1 152-ФЗ фиксирует обязанность предоставить обезличенные данные в государственную информационную систему и перекладывает порядок взаимодействия на Правительство; для регламента это основание описать технические и организационные шаги передачи, точки приёма, требования к форматам и порядок приёмки данных
ч. 9 ст. 13.1 152-ФЗ устанавливает правило доступности данных негосударственных операторов гражданам и юрлицам с ограничением по времени после передачи; для регламента это обязанность фиксировать дату передачи и учитывать правовую задержку доступа при документообороте и при общении с субъектами данных
ч. 10 ст. 13.1 152-ФЗ предписывает, что составы данных обрабатываются исключительно внутри государственной информационной системы, исключая запись, извлечение и передачу из неё; для регламента это запрет на хранение результатов обработки у оператора и требование согласованных каналов передачи и подтверждений приёма
ч. 12 ст. 13.1 152-ФЗ запрещает предоставление результатов обработки иностранным лицам за исключением случаев, предусмотренных международным договором, федеральным законом или решением Президента; для регламента это контроль экспортных ограничений, проверка правомерности запросов от иностранных получателей и обязательная юридическая проверка перед любой трансграничной передачей
ст. 3 152-ФЗ даёт рабочее определение обезличивания как невозможности установить принадлежность данных субъекту без дополнительной информации; для регламента это критерий качества результатов обезличивания, требование проводить оценку риска реидентификации и сохранять доказательства применённых методов и тестов

08 Внедрение

Внедрение регламента передачи обезличенных персональных данных в государственную ИС

Краткая последовательность действий от получения требования уполномоченного органа до фиксации передачи и хранения доказательств. Роли: ответственный за работу с запросами, юрист по ПДн, технический исполнитель, ответственный за межведомственное взаимодействие, инспектор по ПДн.

1. Регистрация требования уполномоченного органа Ответственный за работу с запросами регистрирует документ, проверяет наличие перечня требуемых данных и сроков, присваивает номер и вносит запись в журнал входящих требований. Результат - запись в журнале входящих требований и копия требования в папке «Требования ГИС».
2. Анализ запрашиваемого состава данных и ограничений Юрист по ПДн совместно с подразделением обработки оценивают, какие поля запрошены, проверяют исключения по специальным категориям и биометрии, фиксируют риск невозможности обезличивания. Результат - протокол анализа с перечнем исключаемых полей и выводом о применимости метода обезличивания.
3. Проведение обезличивания по утверждённой методике Технический исполнитель выполняет обезличивание в порядке и методах, установленном уполномоченными нормативными актами; фиксируется, что результат не содержит сведений ограниченного доступа. Результат - акт обезличивания с описанием метода, примерами контроля и отметкой ответственного за выполнение.
4. Формирование пакета документов для передачи в государственную ИС Ответственный за межведомственное взаимодействие формирует пакет: акт обезличивания, перечень передаваемых полей, протокол контроля качества, копия требования, сопроводительное письмо и запись в журнале учёта передачи. Результат - упакованный комплект документов в бумажной и электронной папках «Передачи ГИС».
5. Передача обезличенных данных и подтверждение приёма Ответственный по передаче обеспечивает отправку пакета в государственную ИС, получает и фиксирует подтверждение приёма, сверяет состав переданных полей с актом обезличивания. Результат - протокол передачи с отметкой приёма и электронная копия пакета в папке «Передачи ГИС».
6. Фиксация доказательств и внутренний контроль выполнения Инспектор по ПДн формирует папку проверки с приказом об исполнении, журналом учёта передачи, актом обезличивания, протоколом передачи и электронными копиями; проводит выборочную проверку соблюдения регламента и заносит результат проверки в отчёт. Результат - папка проверки для внутреннего контроля и запись о проведённой проверке.

09 Актуализация

Поводы для пересмотра регламента передачи обезличенных ПДн

Регламент новый и практический опыт быстро выявит несоответствия между текстом и реальными процедурами. Ниже - конкретные события, при которых нужно не только исполнить процедуру, но и вернуться к тексту, внести правки и зафиксировать изменения в документах и обучении.

Получено требование уполномоченного органа Поступившее требование показывает, насколько точно регламент описывает сбор состава и последовательность обезличивания, а также процедуры сбора доказательств передачи. После исполнения нужно зафиксировать проблемные места и принять решение о корректировке регламента. По окончании исполнения собрать замечания, оформить акт разбора, согласовать правки регламента и при необходимости издать локальный приказ об уточнении процедуры.
Изменились требования или методы обезличивания Пересмотр требований к методам и критериям обезличивания влияет на порядок подготовки выборок, тестирования результата и проверки, что результат не содержит сведений ограниченного доступа. Обновить раздел регламента, подготовить набор тестовых примеров и критериев приемки результата, провести обучение исполнителей.
Изменился технический порядок взаимодействия с государственной информационной системой Изменения форматов, интерфейсов или ограничений доступа влияют на шаг передачи, подтверждение доставки и регистрацию событий в логах. Это затрагивает как IT-инструкцию, так и требования к доказательствам. Согласовать технические изменения с IT, обновить техинструкцию в регламенте, провести интеграционное тестирование и зафиксировать результаты передачи.
Кадровые изменения в исполнителях или контроле Смена ответственных, сокращение штата или перераспределение задач повышают риск утраты разделения ролей между теми, кто выполняет обезличивание, и теми, кто проверяет результат; это увеличивает вероятность ошибок и конфликтов интересов. Пересмотреть назначения и распределение обязанностей, восстановить разделение функций, оформить инструкции и назначить резервных исполнителей.
Появились новые массивы или изменился состав обрабатываемых данных Включение новых источников данных, изменение полей или категорий субъектов может привести к появлению запрещённых для обезличивания категорий или к необходимости иного подхода к исключениям и критериям приемки. Обновить классификацию данных и матрицу доступа, провести анализ рисков для новых массивов и внести соответствующие правки в регламент.

10 Проверка

Инспектор проверит

документы и материалы проверки, связанные с получением требования уполномоченного органа, процессом обезличивания и фактом передачи составов данных в государственную информационную систему

Вопрос 01 «Предъявите регламент и документы, подтверждающие его утверждение.»
Вопрос 02 «Предъявите входящее письменное требование уполномоченного органа по передаче составов данных.»
Вопрос 03 «Предъявите материалы, подтверждающие порядок и результаты обезличивания данных.»
Вопрос 04 «Предъявите документы, фиксирующие факт передачи составов в государственную информационную систему.»
Вопрос 05 «Предъявите материалы по контролю доступа и недопущению передачи результатов обработки третьим лицам.»

Инспектор при проверке, может запросить:

утверждённый регламент передачи обезличенных персональных данных в государственную информационную систему, приказ руководителя об утверждении регламента, распоряжения о назначении ответственных лиц
входящее письменное требование уполномоченного органа с перечнем составов данных и сроками предоставления
методики и инструкции по обезличиванию, протоколы и журналы операций обезличивания, отчёты о проверке отсутствия сведений ограниченного доступа
реестр переданных составов, акты передачи или квитанции приёма системой, журналы выгрузок с отметками времени
инструкции и регламенты по контролю доступа к результатам обезличивания, журналы аудита доступа, акты проверки недопущения передачи иностранным лицам

11 Экспертная позиция

Операционный риск при выполнении требования об обезличивании

Ключевой практический риск - формальное выполнение операций по обезличиванию при одновременном сохранении в результате сведений ограниченного доступа или признаков, позволяющих восстановить принадлежность данных конкретному человеку. Методики и порядок обезличивания задаются Правительством по согласованию с ФСБ, поэтому отсутствие документированного соответствия этим методикам делает оператора уязвимым при проверках и при оспаривании результата. Рекомендуемый рабочий приём: заранее классифицировать источники по риску (специальные категории, биометрические и медицинские сведения), подготовить шаблоны доказательств (реестр входных наборов, журнал операций по обезличиванию, контрольные метрики необратимости), и формализовать процедуру валидации полученного требования от уполномоченного органа. Учтите, что предоставление происходит в государственную информационную систему и исходные/промежуточные материалы нужно хранить с ограниченным доступом, поскольку запись, извлечение и передача из государственной системы посторонним не допускаются, а передача результатов иностранным лицам ограничена.

Дмитрий Алексеевич Барышников

Экспертиза

Ведущий эксперт по персональным данным (ПДн) и информационной безопасности (ИБ) группы компаний Антагора

Компетенции

Высшее образование инженер-программист
Переподготовка более 1 420 часов

Учебные центры УЦ «Информзащита»
УЦ ФГУП «НПП «Гамма»
ФГУП «ВНИИ «Центр»
НИУ «Высшая школа экономики» (ВШЭ)

12 Вопросы и ответы

Частые вопросы по передаче обезличенных ПДн в государственную информационную систему

Обязанность возникает при получении письменного требования уполномоченного органа, в котором указан перечень данных и сроки их передачи. Операция выполняется по каждому поступившему требованию в порядке, установленном нормативными актами и внутренним регламентом организации.

Регламент передачи обезличенных персональных данных в государственную информационную систему