Персональные данные - это любая информация, которая прямо или косвенно относится к определенному или определяемому физическому лицу. Ключевое слово тут «определяемому»: закон не ограничивается ФИО и паспортными данными, а охватывает все, что позволяет вычислить конкретного человека - в том числе в связке с другими данными.
Поэтому да, email и IP-адрес обычно тоже персональные данные, если по ним можно выйти на конкретного человека - а на практике почти всегда можно, особенно в связке с другими полями формы (имя, телефон, история заказов). То же касается cookie-файлов с уникальным идентификатором пользователя, геолокации, фото и даже связки «должность плюс компания», если по ней легко угадать конкретного сотрудника.
Проверять стоит так: если данные сами по себе или вместе с другой информацией, которая есть у вас на сайте или в CRM, позволяют выделить конкретного человека из общей массы - это персональные данные, и на них распространяются все требования 152-ФЗ. Обезличенная статистика (сколько всего было заказов за месяц, без привязки к людям) под закон не подпадает.
Сомневаетесь по конкретному полю формы - проще перечислить все, что собирает сайт, и свериться списком, чем гадать. Это первый шаг любого аудита на соответствие 152-ФЗ.