Персональные данные - это любая информация, которая прямо или косвенно относится к конкретному человеку и позволяет его определить: имя, телефон, email, адрес, паспортные данные, а также IP-адрес, фото, данные геолокации и любые сведения, которые в совокупности с другими позволяют установить личность. Закон не дает закрытый список - критерий один: можно ли по этим сведениям опознать человека.
Ваш email и фото в соцсети - тоже персональные данные, если по ним можно понять, о ком идет речь. Даже отдельный набор цифр вроде IP-адреса в ряде случаев признают персональными данными, потому что в связке с логами провайдера он ведет к конкретному человеку.
Отдельно закон выделяет специальные категории - о здоровье, религии, судимостях, национальности, а также биометрические данные (отпечатки, фото для распознавания лица). Для их обработки нужны более строгие условия и, как правило, отдельное письменное согласие.
Регулирует это 152-ФЗ «О персональных данных» - закон действует с 2006 года и касается любого оператора, который собирает и хранит данные людей: от интернет-магазина до частной клиники.