Ответ не корректен. Вы пишете ".. нужно тщательно смотреть кто отправил", ответ предполагает, что если отправитель надежный источник, то можно дать ответ, с чем, смею предположить, категорически не согласится при проверке проверяющий из "компетентных органов". Ответ предполагал конкретные статьи закона по данному вопросу.
Не имея юридического образования, смею предположить, что в силу совокупности, в соответствии с ч.1 ст.19 Федерального закона от 27.07.2006 №152-ФЗ "О персональных данных", в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, утвержденными приказом ФСТЭК России от 18.02.2013 №21, оператор персональных данных при передаче (подготовке передачи) персональных данных по электронной почте выполняет следующие меры безопасности персональных данных:
АВЗ.1 Реализация антивирусной защиты;
ЗИС.3 Обеспечение защиты персональных данных от раскрытия, модификации и навязывания (ввода ложной информации) при ее передаче (подготовке к передаче) по каналам связи, имеющим выход за пределы контролируемой зоны, в том числе беспроводным каналам связи;
ОЦЛ.4 Обнаружение и реагирование на поступление в ИСПДн незапрашиваемых электронных сообщений (писем, документов) и иной информации, не относящихся к функционированию ИСПДн (защита от спама).
Реализация базовой меры ЗИС.3 обеспечивается путем защиты каналов связи от несанкционированного физического доступа (подключения) к ним и (или) применения с использованием сертифицированных ФСБ России СКЗИ в соответствии с Инструкцией об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 №152.
С учетом вышеизложенного, передача (подготовка передачи) персональных данных по электронной почте без использования сертифицированных ФСБ России СКЗИ не обеспечивает защиту персональных данных от раскрытия, модификации и навязывания (ввода ложной информации). Таким образом, ЗАПРЕЩЕНО операторам персональных данных осуществлять передачу (подготовку к передаче) персональных данных по электронной почте без использования сертифицированных ФСБ России СКЗИ.
Передача (подготовка к передаче) персональных данных по электронной почте без использования сертифицированного ФСБ России СКЗИ является фактом разглашения персональных данных и нарушением требований к защите персональных данных, установленных Законом о персональных данных.
ВЫВОДЫ: Операторам персональных данных ЗАПРЕЩЕНА передача (подготовка к передаче) персональных данных по электронной почте без использования СКЗИ.