Основной закон - 152-ФЗ «О персональных данных» от 27.07.2006. Он определяет, что такое персональные данные, кто такой оператор, какие есть законные основания для обработки, что должно быть в согласии и какие права есть у субъекта данных. Это тот закон, на который нужно ссылаться в политике конфиденциальности и в согласии на сайте.
Вокруг 152-ФЗ есть несколько документов, которые расшифровывают его отдельные требования. Постановление Правительства N 1119 от 01.11.2012 устанавливает уровни защищенности информационных систем персональных данных и требования к техническим мерам защиты - оно актуально, если вы обрабатываете данные не только на сайте, но и во внутренних системах компании. Ответственность за нарушения прописана в статье 13.11 КоАП РФ, а за незаконный оборот персональных данных в крупном масштабе есть уголовная статья 272.1 УК РФ.
Отдельно стоит держать в голове требование о локализации: базы данных с персональными данными граждан России должны физически находиться на серверах внутри страны, это тоже часть 152-ФЗ, а не отдельный закон.
Для сайта с формами обратной связи или регистрацией пользователей на практике важны именно 152-ФЗ и КоАП: первый задает правила, второй показывает цену ошибки. Постановление 1119 и уголовная статья становятся актуальны, когда речь идет о серьезных объемах данных или об утечках.