Заменить имена обозначениями — хороший первый шаг. Но согласно GDPR само по себе это не делает данные анонимными. В этой статье объясняется, что говорит регламент, что постановил Суд Европейского союза в сентябре 2025 года и что с этим делать.
Краткий ответ
В общем случае — да. GDPR говорит, что персональные данные, подвергнутые псевдонимизации и поддающиеся соотнесению с человеком с помощью дополнительной информации, являются информацией об идентифицируемом человеке. Если у вас есть ключ, связывающий «Person_1» с настоящим именем, заменённый вами текст всё ещё является персональными данными для вас, и ваша обработка этих данных подпадает под действие GDPR.
Более точный ответ: всё зависит от того, кто хранит данные и какими средствами он может разумно воспользоваться для идентификации человека. Именно здесь важно решение суда 2025 года.
Что сказано в GDPR
В статье 4(5) псевдонимизация определяется так:
«обработка персональных данных таким образом, чтобы эти персональные данные больше нельзя было соотнести с конкретным субъектом данных без использования дополнительной информации, при условии, что такая дополнительная информация хранится отдельно и к ней применяются технические и организационные меры, обеспечивающие несоотнесение персональных данных с идентифицированным или идентифицируемым физическим лицом»
В Преамбуле 26 говорится, что персональные данные, подвергнутые псевдонимизации и поддающиеся соотнесению с физическим лицом с помощью дополнительной информации, следует считать информацией об идентифицируемом физическом лице. При определении того, является ли человек идентифицируемым, следует учитывать все средства, использование которых можно разумно ожидать, например выделение конкретной записи, со стороны контролёра или другого лица, включая требуемые затраты и время, а также доступные технологии.
Из этой формулировки следуют два практических вывода. Ключ необходимо хранить отдельно и применять технические и организационные меры. А идентифицируемость оценивается исходя из реалистичных средств, а не из теоретической возможности идентификации.
Что добавил Суд ЕС в 2025 году
4 сентября 2025 года Суд Европейского союза вынес решение по делу EDPS v SRB (дело C-413/23 P). Оно касалось комментариев, которые банковский орган передал консалтинговой компании после того, как личности авторов заменили кодами. Дело рассматривалось на основании Регламента 2018/1725, применимого к учреждениям ЕС, однако определения персональных данных и псевдонимизации в нём совпадают с определениями GDPR.
Суд постановил, что псевдонимизированные данные нельзя считать персональными данными «во всех случаях и для каждого лица». Являются ли данные персональными для конкретного получателя, зависит от обстоятельств, в том числе от наличия у получателя средств, использование которых можно разумно ожидать для повторной идентификации людей. Сторона, выполнившая псевдонимизацию и хранящая дополнительную информацию, находится в ином положении, чем получатель, который не может связать коды с кем-либо.
Это правовое развитие, последствия которого специалисты всё ещё изучают. Не воспринимайте его как разрешение отправлять куда угодно псевдонимизированные данные клиентов. Суть в том, что вопрос оценивается со стороны получателя, а не в том, что он перестаёт иметь значение.
Что это значит для чат-бота с ИИ
- Вы по-прежнему являетесь контролёром исходных данных и ключа. Ваши собственные обязанности по GDPR распространяются на то, как вы используете документ, включая работу с его заменённой версией.
- Получает ли поставщик услуг ИИ персональные данные зависит от конкретных обстоятельств. Контекст может позволить установить личность и без имени: редкая профессия, небольшой город, необычное событие. Если можно реалистично выяснить, о ком говорится в тексте, считайте его персональными данными.
- Не основывайте свою позицию по соблюдению требований на предположении, что заполнители делают текст анонимным. Исходите из того, что данные всё ещё могут быть персональными, и рассматривайте заполнители как одну из нескольких мер защиты.
Псевдонимизация по-прежнему полезна, и GDPR это подтверждает. В статье 32(1)(a) псевдонимизация указана среди мер безопасности, которые может использовать контролёр. В преамбулах 28 и 78 говорится, что она может снизить риски для субъектов данных и поддерживает защиту данных на этапе проектирования и по умолчанию. Регламент рассматривает её как меру защиты, а не как способ выйти из-под его действия.
Что делать на практике
- Сначала сократите объём данных. Отправляйте только тот фрагмент, который нужен для задачи. См. как использовать инструменты ИИ для работы с документами клиентов.
- Заменяйте все идентификаторы, а не только имена. Номера счетов, удостоверений личности и даты рождения тоже являются идентификаторами. В контрольном списке они перечислены.
- Храните ключ у себя, отдельно от отправляемого текста, и удалите его, когда дело будет завершено.
- Проверьте условия поставщика и свой тарифный план. Бизнес-тариф с соглашением об обработке данных — это не то же самое, что бесплатная личная учётная запись. См. что указано в настройках обработки данных.
- В случаях повышенного риска обратитесь за консультацией: данные о здоровье, данные детей, особые категории данных или любые сведения, утечка которых могла бы иметь серьёзные последствия.
В повседневной речи эти термины часто используют неточно. В статье «Анонимизация, псевдонимизация и редактирование с удалением данных» сравниваются эти понятия.
Часто задаваемые вопросы
Псевдонимизированные данные — это то же самое, что анонимные данные?
Нет. В преамбуле 26 сказано, что принципы защиты данных не применяются к анонимной информации, то есть к информации, которая не относится к идентифицируемому лицу, или к данным, обезличенным таким образом, что лицо больше нельзя идентифицировать. Псевдонимизированные данные, связь которых с человеком можно восстановить, — это другая категория.
Запрещает ли GDPR использовать инструменты ИИ с персональными данными?
Нет. Он требует законного основания, минимизации данных, безопасности и, при работе с поставщиком, надлежащего договора. Использование заполнителей помогает минимизировать данные.
Распространяется ли это за пределами ЕС?
В Великобритании действует собственная версия правил, а во многих странах есть похожие нормы. GDPR также может распространяться на компании за пределами ЕС, если они предлагают услуги людям в ЕС.
ClientSafe хранит на вашем компьютере таблицу, связывающую заполнители с настоящими именами. В тексте, который вы копируете для инструмента ИИ, остаются только заполнители. Сначала вы проверяете найденное, поскольку ни один инструмент не обнаруживает абсолютно всё.
Общая информация, не юридическая консультация. Обратитесь к квалифицированному специалисту по защите данных, чтобы обсудить вашу ситуацию.