Персональными данными считается не сам документ, а информация в нем, которая позволяет определить конкретного человека. Поэтому под это определение подпадает практически весь документооборот с людьми: паспорт, СНИЛС, ИНН, трудовой договор, приказы о приеме и увольнении, личная карточка, справки о доходах, медицинские заключения, а также переписка и заявки клиентов, где указаны имя и контакты.
Не имеет значения формат - бумажный документ, файл в 1С, строка в Excel-таблице или запись в CRM одинаково подпадают под закон, если в них есть данные, идентифицирующие человека. Это касается и черновиков, скан-копий и переписки в мессенджерах, если там фигурируют ФИО, телефон или другие идентифицирующие сведения клиента или сотрудника.
Практический вывод для документооборота - все перечисленное нужно защищать соразмерно чувствительности данных: ограничивать доступ, не пересылать в открытом виде, хранить не дольше, чем нужно для цели, и уничтожать, когда документ утратил актуальность. Отдельно стоит помнить про специальные категории внутри обычных документов: медицинская справка или данные о судимости в личном деле требуют отдельного согласия, даже если сам факт трудоустройства оформлен по закону без него.