Что такое персональные данные согласно законодательству?

По ст. 3 152-ФЗ "О персональных данных" персональные данные - это любая информация, которая прямо или косвенно относится к определённому или определяемому физическому лицу. Формулировка широкая специально: под неё попадают не только паспортные данные или медицинская информация, но и обычные имя, телефон, email, адрес, IP-адрес - всё, что позволяет понять, о каком конкретно человеке идёт речь.

Частая ошибка - считать, что закон касается только "серьёзных" данных вроде паспорта или диагноза, а простую контактную информацию можно собирать без всяких формальностей. На деле связка "имя плюс email" уже делает человека определяемым, а значит подпадает под определение персональных данных наравне с более чувствительными сведениями. Даже один email без имени в некоторых случаях можно считать персональными данными, если по нему человека можно идентифицировать - например, если это его личная почта вида фамилия@домен.

Есть данные, которые персональными не считаются: сведения о юридическом лице (название компании, её ИНН, юридический адрес) не относятся к персональным данным, потому что закон защищает физических лиц, а не организации. Но если речь о контактах конкретного сотрудника этой компании или ИП, это снова персональные данные, потому что за ними стоит человек.

Из этого следует практический вывод для вашей формы подписки: раз собирается имя и email, нужны и политика обработки персональных данных на сайте, и согласие пользователя перед отправкой формы - обычно чекбокс со ссылкой на политику. Юрист в этом смысле прав, и это не избыточная строгость, а прямое требование закона, которое касается практически любой формы на сайте.