Не суть важно для чего. Есть ПДн значит надо защитать. Есть сайт по <a href=" безопасности</a>, так там одна из статей где-то была, в которой доходчиво объяснялось, что вопрос "А надо ли?" не уместен в информационной безопасности, важно только "А когда придут проверять?". Чтобы не атестоваться можно обесличить данные, если конечно это дохдодит, в любом ином случае придется.
