Sphaera
Sphaera Legal Tech Institution
152-ФЗ · Приказ РКН № 140 · практика 2025–2026

Обезличивание персональных данных: закон, передача, ИИ

Что закон считает данными о человеке и когда 152-ФЗ требует их обезличить; пять методов приказа РКН № 140 (действует с 1 сентября 2025 года); штрафы за утечку после 30 мая 2025 года — до 15 млн ₽ и оборотные 1–3 % выручки; что именно покидает ваш компьютер, когда вы «просто спросили» чат-бот. Пособие для всех, кто отправляет документы с данными третьих лиц: юристов, бухгалтеров, специалистов по ИБ и ДО.

Обезличивание персональных данных — действия, после которых невозможно определить, какому человеку принадлежат данные, без дополнительной информации (ст. 3 п. 9 152-ФЗ). Методы утверждены приказом Роскомнадзора № 140 от 19.06.2025: введение идентификаторов, изменение состава или семантики, перемешивание, разбиение массива, обобщение. Обезличивание обязательно для статистики и исследований (ст. 6 ч. 1 п. 9 152-ФЗ) и при достижении цели обработки (ст. 5 ч. 8). Это практическое пособие из 10 глав: нормы, методы, штрафы, передача данных и ИИ — бесплатно после регистрации.
До — «мы просто отправили»

Договор целиком вставлен в облачный чат

ФИО, больничные, реквизиты уехали иностранному оператору; при инциденте — уведомление РКН за 24 часа и объяснение с регулятором.

После — по методике пособия

Документ прошёл методику

Состав данных инвентаризирован, замены по приказу РКН № 140, легенда хранится отдельно, трансграничные требования к содержимому сняты — отчёт об обезличивании подтверждает каждый шаг.

10глав
~21,5 тыс.слов
~2 часачтения
53термина в глоссарии
15+реальных кейсов
Раздел 1

Закон и цена

Что такое персональные данные, когда обезличивание обязательно и сколько стоит пренебрежение.
Раздел 1 · Закон и цена · Глава 1 01

Персональные данные: что закон считает данными о человеке

Прямая и косвенная идентификация, спецкатегории и биометрия в обычных документах, одиннадцать видов обработки на одном файле.

 Раздел 1 · Закон и цена · Глава 2 02

Обезличивание как требование закона

Пять методов приказа РКН № 140, псевдонимизация с легендой соответствий, предел квази-идентификаторов: Суини, AOL, Netflix.

 Раздел 1 · Закон и цена · Глава 3 03

Ответственность: что бывает за необезличенное

Уведомление РКН за 24 и 72 часа, штрафы после 30.05.2025, оборотные 1–3 % выручки; кто отвечает в цепочке оператор — подрядчик.
Раздел 2

Перемещение данных

Как данные легально едут внутри и наружу — и что пишут про обезличивание в договорах.
Раздел 2 · Перемещение данных · Глава 4 04

Перемещение данных: передача внутри и наружу

Четыре вида перемещения, документарная рамка поручения, минимизация состава как главный рычаг.

 Раздел 2 · Перемещение данных · Глава 5 05

Трансграничное перемещение данных

Уведомление РКН, перечень адекватных стран (приказ № 128), локализация; «просто спросил чат» как трансграничная передача.
Раздел 3

ИИ: вход и выход

Промпт как передача, методика оценки риска и модель как источник чужих данных.
Раздел 3 · ИИ: вход и выход · Глава 6 06

Утечка данных в ИИ: что уходит, когда вы «просто спросили»

Механика запроса, правовая оценка промпта, хранение диалогов и дообучение; Samsung 2023.

 Раздел 3 · ИИ: вход и выход · Глава 7 07

Оценка риска «документ → ИИ»: методика

Чек-лист до отправки, невидимые данные (метаданные, скрытый слой PDF), матрица решения, контрольная вычитка.

 Раздел 3 · ИИ: вход и выход · Глава 8 08

Утечка данных из ИИ: когда модель отдаёт чужое

Мемоизация, RAG, галлюцинации; кейсы OpenAI Redis и DeepSeek; запрет ввода легенд соответствий.
Раздел 4

Кейсы и практика

Реальные утечки по единой методике разбора и сквозная методика обезличивания.
Раздел 4 · Кейсы и практика · Глава 9 09

Примеры негативных случаев утечки

Мировые и российские кейсы по единой методике разбора; статистика РКН за 2025 год.

 Раздел 4 · Кейсы и практика · Глава 10 10

Методика на сквозном примере

Пакет из трёх документов: замены, отчёт, обоснование достаточности. Брендированный блок Incognito.
FAQ

Частые вопросы

Что такое обезличивание персональных данных?
Действия с данными, после которых нельзя определить их принадлежность конкретному человеку без дополнительной информации — ст. 3 п. 9 152-ФЗ. Пример: фамилии заменены кодами «ФЛ1, ФЛ2», а соответствие хранится отдельно.
Когда обезличивание обязательно по закону?
Для обработки персональных данных в статистических или иных исследовательских целях (ст. 6 ч. 1 п. 9 152-ФЗ) и по достижении целей обработки — вместо уничтожения (ст. 5 ч. 8). Требования и методы установлены приказом Роскомнадзора № 140 от 19.06.2025, действует с 1 сентября 2025 года.
Какие методы обезличивания разрешены приказом № 140?
Пять: введение идентификаторов (псевдонимов), изменение состава или семантики данных (удаление, искажение, маскирование, уменьшение точности), перемешивание, разбиение массива с раздельным хранением, обобщение. Применять можно только их.
Чем обезличивание отличается от псевдонимизации?
Псевдонимизация обратима: легенда соответствий восстанавливает имена, поэтому такие данные остаются персональными. Обезличивание по ст. 3 п. 9 выдерживает проверку «нельзя определить без дополнительной информации» — данные перестают быть ПДн.
Какие штрафы за утечку персональных данных с 30 мая 2025 года?
Для юридических лиц: утечка специальных категорий — 10–15 млн ₽, биометрии — 15–20 млн ₽, повторная утечка — 1–3 % годовой выручки (потолок 500 млн ₽). Уведомить Роскомнадзор нужно за 24 часа и за 72 часа (ст. 21 152-ФЗ).
Можно ли отправлять документы с персональными данными в ChatGPT и другие ИИ?
Промпт — это передача данных оператору сервиса, а зарубежного — трансграничная передача (ст. 12 152-ФЗ). Без оснований отправлять исходные документы нельзя; обезличенную выжимку — можно: в ней нет персональных данных. Порядок — в главах 6–7 пособия.
Что такое трансграничная передача персональных данных?
Передача данных на территорию иностранного государства иностранному лицу (ст. 3 п. 11 152-ФЗ). Требует уведомления Роскомнадзора до начала; в страны из перечня № 128 (89 государств) — передавать можно, в остальные — после решения регулятора.
Где хранить легенду соответствий при обезличивании?
Отдельно от обезличенной копии и никогда не передавать вместе с ней — требование раздельного хранения приказа № 140. Вводить легенду в ИИ-сервисы запрещено: это равносильно передаче исходных данных.
Читать бесплатно — из личного кабинета

Глава 1 — «Персональные данные»

Пособие доступно после бесплатной регистрации: гость видит каталог и тезисы, полный текст главы — из личного кабинета. Начните с главы 1 — она занимает ~15 минут и меняет взгляд на любую папку с документами. Все 10 глав открыты целиком и навсегда — без пробных фрагментов и таймеров.

Зарегистрироваться бесплатно Войти
Оговорки.
  • Материал носит информационно-методический характер и не является юридической консультацией; правовые реквизиты сверены по действующей редакции на дату публикации каждой главы.
  • Глава 10 содержит брендированный блок инструмента Incognito — помечен в тексте.
  • Практическое пособие издателя Sphaera LTI; обновления — на sphaera-tech.ru.