Я тоже не совсем понял из-за чего сыр-бор... В первоисточнике (закон о персональных данных) никаких императивов на сей счёт нет.
Он в основном прописывает правовые аспекты мероприятий по защите информации и информационной безопасности в отношении личных данных. Также описывается с кого спрашивать, если что style_emoticons/default/smile5.gif