152-ФЗ выделяет несколько видов данных с разными требованиями к обработке: обычные (имя, телефон, email, адрес), специальные категории (о здоровье, религии, политических взглядах, судимостях, национальности), биометрические (отпечатки пальцев, изображение лица для распознавания) и данные, разрешенные субъектом для распространения - их можно публиковать отдельно от общей обработки только с отдельным согласием.
Обычные данные - самая широкая категория и основной массив того, с чем работает бизнес: имя, контакты, адрес доставки, история заказов. Для их обработки достаточно согласия, договора или иного законного основания без специальных условий.
Специальные категории требуют более строгих условий и, как правило, письменного согласия: это данные о здоровье (актуально для клиник и фитнес-услуг с медотводами), о судимости (при найме на определенные должности), о религиозных или политических взглядах. Собирать их без явной необходимости не стоит вообще - лишний специальный признак в форме создает риск на пустом месте.
Биометрические данные - отдельная история: это не любое фото, а данные, которые используют именно для установления личности (распознавание лица, отпечаток, скан радужки). Здесь закон требует отдельного письменного согласия и, при использовании банковских и государственных сервисов, взаимодействия с Единой биометрической системой.
Отдельно упомяну обезличенные данные - это уже не персональные данные в строгом смысле, потому что по ним нельзя определить конкретного человека, и требования 152-ФЗ к ним не применяются.