Ф.И.О. - это ПДн? - Форум по вопросам информационной безопасности

Всем добрый день!
Придерживался мнения, что Ф.И.О. - это ПДн, но....

https://77.rkn.gov.ru/p3852/p13239/

3. Вопрос: Является ли обработкой персональных данных размещение фамилии, имени и отчества без иной дополнительной информации?

Ответ: Размещение на страницах сайтов в сети «Интернет» фамилии, имени и отчества без дополнительной информации, позволяющей идентифицировать физическое лицо как субъекта персональных данных, не может свидетельствовать об обработке персональных данных конкретного физического лица.

А что будет являться дополнительной информацией?
Я предполагаю, что это будет контактный номер телефона и/или адрес эл. почты, всё это чаще всего используется при заполнении всевозможных анкет на сайтах.

Отсюда вывод друзья, если у Вас имеется сайт, и там имеется форма сбора информации с полями: Ф.И.О. и дополнительная информация (например: номер тел., адрес эл. почты), то в этом случае возникают обязанности и ответственность, предусмотренные ФЗ № 152.

Если я не прав, пожалуйста, поправьте.

Формально - да. Юридически - достаточно стандартного уведомления об обработке ПДн (чем славились и, думаю, до сих пор славятся те же Госуслуги, в которых база и объем собираемых ПДн куда больше, кстати). Только зачем на обычных сайтах в форме регистрации вообще полные ФИО? Как максимум - фамилия+инициалы+контактные данные (мыло, телефон и т.д.)

У меня другой назрел вопрос, считать ли эти ПДн защищаемыми (то, что это все ПДн, вроде как уже не вызывает сомнений) в случае, когда можно доказать их общедоступность за счет самоличного их размещения пользователем в различных соцсетях? В противном случае, получается парадокс: на некоем сайте размещается только имя + номер телефона, которые уже заведены слабомыслящим (зачеркнуто) юзером на своей странице того же ВКонтакта. Т.е. беглым серфингом любой желающий может выяснить, зачастую, не только фамилию+дату рождения, но и внешний вид субъекта ПДн. Через тот же ВКонтакт, ага. Итог: обязан ли владелец сайта защищать такие ПДн? Или даже не так: обязан ли владелец сайта первично сам удостоверяться, что передаваемые ему ПДн уже общедоступны (ибо зарегистрированы где-то на других интернет-ресурсах) и, в случае отсутствия их общедоступности, принимать меры по их защите согласно 152ФЗ и 21 Приказу ФСТЭК? И еще больший маразм: в случае описанной выше "проверки" кто даст гарантию, что владелец сайта исчерпал возможные варианты поиска информации по предоставленным ему данным - т.е. переданные ПДн уже на самом деле общедоступны и защите не подлежат (по всей строгости, ага)? Про ресурсоемкость таких "проверок" вообще умолчу...

Я считаю, что не обязан (по крайней мере об этом нигде не говорится (если я не ошибаюсь)), но он (владелец сайта) может проверить (удостовериться) информацию о общедоступности этих ПДн, ввиду сложившихся обстоятельств, например, он не хочет обрабатывать ПДн именно этого человека (т.к. он потенциально проблемный клиент) и в свою очередь заручается необходимыми доказательствами по поводу общедоступности его ПДн.