Требования и методы обезличивания фискальных данных

Приказом Федеральной налоговой службы от 25 декабря 2020 г. №ЕД-7-20/957@ утверждены «Требования к обезличиванию фискальных данных и методы обезличивания фискальных данных».

Требования применяются в отношении фискальных данных, обрабатываемых в статистических или иных исследовательских целях (п.1).

Обезличивание должно обеспечивать защиту фискальных данных от несанкционированного доступа к ним с сохранением возможности их обработки в статистических или иных исследовательских целях. Для этого данные должны обладать свойствами, сохраняющими их основную ценность и характеристику, присущую до обезличивания (п.2)

Обезличивание выражается в действиях, в результате которых становится невозможным без использования дополнительной информации определить принадлежность сведений конкретному субъекту данных (п.3).

В Требованиях перечислены 30 видов фискальных данных, которые подлежат обезличиванию (п.4).

Обезличенные фискальные данные должны обладать следующими свойствами (п.5):

• Возможностью обработки в статистических или иных исследовательских целях и получения ответов в одинаковой семантической форме (релевантность);
  
  
• Возможностью решения задач обработки в статистических или иных исследовательских целях оператором, осуществляющим их обезличивание (применимость);
  
  
• Сохранением структурных связей между данными конкретного субъекта или группы субъектов, соответствующих связям, существовавшим до обезличивания (структурированность);
  
  
• Невозможностью однозначной идентификации принадлежности данных конкретному пользователю контрольно-кассовой техники без применения дополнительной информации (анонимность).

Методы обезличивания, определяющие возможность обеспечения заданных свойств данных, отвечают следующим характеристикам (п.6):

• Невозможности преобразования, обратного обезличиванию (деобезличивание), которое позволит привести обезличенные данные к исходному виду, позволяющему определить их принадлежность конкретному субъекту, устранить анонимность (необратимость);
  
  
• Возможности внесения изменений (дополнений) в массив обезличенных данных (изменяемость);
  
  
• Объемам дополнительной (служебной) информации, необходимой для реализации метода обезличивания (параметрический объем);
  
  
• Возможности проведения контроля качества обезличенных данных и соответствия применяемых процедур обезличивания установленным для них требованиям (возможности оценки качества данных).

Методы обезличивания должны обеспечивать требуемые свойства данных, быть практически реализуемыми в различных программных и программно-аппаратных средствах и позволять решать поставленные задачи по их обработке в статистических или иных исследовательских целях (п.7).

В целях обезличивания применяются методы изменения состава или семантики, предусматривающие замену части сведений (значений фискальных данных) результатами статистической обработки, обобщение или удаление (п.8).

Применение методов изменения состава или семантики реализуется (п.9):

• Путем удаления или замены части фискальных сведений, позволяющих идентифицировать пользователя контрольно-кассовой техники. Указанные в настоящем абзаце удаление или замена части фискальных сведений не должны приводить к идентификации пользователя;
  
  
• Путем замены фискальных данных, позволяющих идентифицировать пользователя контрольно-кассовой техники, их идентификаторами, вычисленными по алгоритму хэш-функции MD5 с добавлением уникального для каждого получателя таких данных модификатора входа («соли») длиной 128 байт.

Методы изменения состава или семантики (п.10):

• Применяются в отношении фискальных данных, перечисленных в Требованиях;
  
  
• Могут применяться в отношении других фискальных данных, если без их обезличивания невозможно обеспечить защиту основных фискальных данных от их несанкционированного использования и становится возможным определить принадлежность сведений конкретному субъекту данных.

Фискальные данные, обезличенные с использованием методов изменения состава или семантики, относящиеся к любому пользователю, должны быть тождественны не менее чем еще для одного другого пользователя (п.11).

Требования вступают в силу 23 апреля 2021 года.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=381998