Относительно недавно свет увидел проект Ведомственного приказа РКР по обезличиванию. Реакция на данный проект была сдержанная. Лишь несколько постов, суть которых, что документ «ниочем».
Действительно основной текст документа «унылая нудятина» о возможных методах обезличивания и их характеристиках, без конкретных рекомендаций.
Однако, этот проект просто бомба может подлить масла в огонь давнего спора «Можно ли обезличенные данные считать ПДн?». Данный проект создает предпосылки для вывода обезличенных ПДн из под ФЗ № 152 «О персональных данных».
Хитрый план:
- Разобраться в терминологии
- Обосновать, что ПДн больше не ПДн (во всяком случае обезличенная часть).
- Обезличить по любой предложенной методике
- Profit.
Раздел 1. Терминология.
Давным давно Ранее в приказе ФСТЭК ФСБ и Минкомсвязи по классификации ПДн было указано, что бывают обезличенные ПДн. Тогда это породило много споров, могут ли ПДн вообще быть обезличенными. Однако если сказали могут, значит могут. Все смирились и обсуждения затихли.
Время шло и в проекте РКН появилась довод, для обоснования, что после обезличивание ПДн превращаются в «просто» данные.
В законе «О персональных данных» определено только действие - «обезличивание» с конечным результатом в виде «невозможности без использования дополнительной информации определить принадлежность ПДн конкретному субъекту».
Согласно определению ПДн это «любая информации, относящееся к … определенному или определяемому физическому лицу».
Таким образом если физ. лицо не определено и его нельзя определить то возможно это не ПДн? До выхода проекта РКН ссылки в официальных документах на подобную логику не было.
2. Обезличенные ПДн уже не ПДн?
И тут РКН выпускает свой проект. В котором в п. 3 (второй абзац) «Для этого обезличенные данные (НЕТ слова «персональные» примечание автора) должны обладать свойствами, сохраняющими основные характеристики обезличенных персональных данных.».
Можно сделать вывод, что по мнению РКН, после обезличивания ПДн становятся «просто» данными с заданными свойствами необходимыми для обработки.
Аналогичный вывод появляется и при прочтении п. 10 «Методы обезличивания должны обеспечивать требуемые свойства обезличенных данных … и решать задачи обработки ПДн.».
3. Методы обезличивания .
РКН предлагает 4 метода:
- Введение идентификаторов.
- Изменение состава или семантики.
- Декомпозиция.
- Перемешивание.
Методы имеют свои плюсы и минусы, в том числе по возможностям противостоять атакам на «идентификацию» и «деобезличивание», но теоретически подойдет любой.
4. В чем выгода?
Учитывая, что «обезличенные ПДн» в терминологии 1119 Постановления Правительства фактически относятся к категории ИСПДн – И (иные, не относящиеся к ИСПДн – С, Б и О соответственно) УЗ для них будет составлять УЗ – 4 если в ИСПДн их менее 100.000 и УЗ-3 если более 100.000, а это 27 и 41 рекомендованные меры по защите ПДн.
Кроме этого принципиально решается вопрос о передаче «обезличенных ПДн» по открытым каналам связи. Если нет требований предусмотренных законодательством, значит нет СКЗИ «прошедших процедуру оценки соответствия». )).
На форе этого мысль о выводе обезличенных ПДн в просто данные становится очень привлекательной.
Комментариев нет:
Отправить комментарий