ИСПДн клиентов в интернет-магазинах - Форум по вопросам информационной безопасности

Коллеги!
Как быть с данными клиентов интернет-магазина? Мы спрашиваем имя, фамилию, дату рождения - этих данных достаточно, чтобы отнести их к 3 категории (по которым можно идентифицировать субъекта). Вроде бы да. Один момент - мы не спрашиваем паспорт и не удостоверяемся в их достоверности (часто клиентом является "Розовая пантера" или "Гигант мысли" 1812 года рождения). Подскажите как быть?

Думаю это все таки К4. Допустим Иванов иван иванович 1950 года рожд., сколько таких по стране наберется?

2 Александр, а Ивановых Ничегосебеимечко Иотчествооригинальных сколько 1970 г.р.? А если можно определить хотя бы 1 человека,то и вся система должна защищаться.
Но! как получить письменное согласие на обработку? Получается можно забить?....т.е. защищаться как удобно/безопасно по своему усмотрению. Хотя можно и бумажек написать для защиты от регуляторов. Но при полной проверки всё равно они найдут той самой недостающих подписей, как возможно и многое другое.
Так что оценивая вероятность проверки, не высокие суммы штрафов и не оправданно высокие затраты "на приведение в соответствие.." многие просто ждут поправок изменений или даже отмены закона %) ..

Получать письменное согласие, да проверять достоверность в данном случае довольно проблемно и трудозатратно.
На данный момент единственный путь - списывать все как на данные из открытых источников - К4 соответственно.

Не замаричивайтесь на этом.
Берите пример с большого брата.
Пример Яндекс.Директ.
Напишите следующие строки
"Я даю согласие на обработку моих персональных данных, в том числе на совершение действий, предусмотренных п. 3 ст. 3 Федерального закона от 27.07.2006 года 152-ФЗ "О персональных данных", любыми способами, для целей заключения и исполнения договоров между мной и клиентом. "
И не надо ничего защищать!!!

после сделки незадубте только их удолить...

2 Chaos, а Вам не кажется, что в ваши строки "Я даю.... , любыми способами,.." юридически не имеют силы в следствии с противопоставлением закону, на который и идёт ссылка в этих строках ;-)
2 Rm, "списывать все как на данные из открытых источников" - хороший вариант, но лучше его привязать не к ФИО, т.к. если клиент не оставил хвостов соц. сетях, БД резюме, визитках, иных местах, то проблематитчно их приписать к открытым (я так полагаю база клиентов ЭлектроКоммерц совсем не открытый источник ;-) ), а к Идентификатору (обезличивание!).
Glumov, если Вам не критично получать не Ивановых Ивановичей, а Розовых Пантер (а факты такие у вас есть как говорите), то при запросе данных можно вместо строки Фамилия _______ просить заполнить строку "Первый идентификатор"_______, вместо Имя _______ "подтверждающий идентификатор"________ вместо дата рождения_____ "контрольное число"_____ %) (правда это если Вы не ведёте статистику по различным категориям клиентов, в том числе возрастным) и т.п., т.е. вообще отходим от ФЗ-152

Вариант 2
Логин ______ (с проверкой на уже использующийся)

Ведь можно быть проще ;-)

Опа, а ведь база уже собрана. Тогда + 1 этап - письма на почтовые ящики с просьбой заполнить новую регистрационную страницу (с привязкой к новым данным накопившихся скидок и т.п. если таковые имеются) в связи с .. придумайте сами, старые данные можно уничтожить или ... в зашифрованный архив и на зарубежную файлопомойку. Новых клиентов отправлять сразу заполнять новую регистрационную страницу.

лишних движений лучше не делать, пока не будет судебной практики. так что живите пока как есть... как основная серая масса=)