Постановление № 961: как обезличенные данные бизнеса попадают в систему Минцифры

Что произошло

Постановление Правительства РФ от 26 июня 2025 года № 961 принято во исполнение статьи 13.1 Федерального закона «О персональных данных» и утверждает сразу два комплекта правил, согласованных с ФСБ России: Правила формирования составов персональных данных, полученных в результате обезличивания, и Правила предоставления доступа к таким составам. Постановление вступило в силу с 1 сентября 2025 года. Это инфраструктурная часть темы, которую в базе представляет приказ Роскомнадзора № 140 о методах обезличивания: приказ отвечает на вопрос «как обезличивать», постановление — «куда потом эти данные попадают».

Схема такая. Операторы, получившие требование о предоставлении обезличенных данных, передают их в государственную информационную систему федерального органа, отвечающего за ИТ-политику, — это Минцифры. Уполномоченный орган формирует из поступившего «составы данных» в срок не более 30 рабочих дней и при необходимости исключает или исправляет неточные, неполные, повторяющиеся и некорректно отформатированные данные, преобразует их формат и структуру.

Правила прямо называют три типа угроз, которые нужно учитывать при формировании составов: возможность определить принадлежность информации конкретному субъекту, «связывание (обогащение) данных» — выделение из состава информации, относящейся к одному или нескольким конкретным субъектам, и «определение значений» — восстановление исходных значений обезличенных данных. Результаты проверки обезличенных данных уполномоченный орган направляет в ФСБ в срок не более 10 календарных дней со дня получения запроса.

Есть жёсткое ограничение по составу источников: пункт 6 Правил запрещает формировать составы данных из персональных данных специальных категорий по статье 10 закона (за исключением предусмотренных частью 2.1 статьи 10) и из биометрических персональных данных по статье 11. Доступ к сформированным составам пользователи получают через личный кабинет в государственной информационной системе по запросу, в котором указываются цель доступа, планируемый результат, срок обработки и правовые основания.

Почему это важно

• Компаниям-операторам: обязанность передать обезличенные данные возникает по требованию, но подготовиться нужно заранее — формат и структура задаются уполномоченным органом, а некорректно оформленные данные он вправе преобразовать или отбросить.
• Разработчикам ИИ этот механизм — легальный канал доступа к большим массивам данных: запрос через личный кабинет ГИС с указанием цели и планируемого результата.
• Специальные категории данных и биометрия в составы не попадают вообще — на них строить датасеты через этот механизм нельзя.
• Требование учитывать риск «связывания» данных означает, что простого удаления имён недостаточно: обезличивание оценивается по устойчивости к повторной идентификации в совокупности с внешними источниками.