Понятие персональных данных и правила обращения с этой информацией регулируется Федеральным законом от 27 июля 2006 № 152-ФЗ в редакции от 22 февраля 2017 года. Как следует из текста указанного закона, под «персональными данными» понимается любая информация, которая прямо или косвенно относится к гражданину.

В законодательстве не указано, какая именно информация о физическом лице считается его индивидуальными и охраняемыми данными. Принято считать, что это данные о фамилии, имени и отчестве гражданина, дате и месте его рождения, адресе проживания/регистрации, семейное положение, образование, доходы и др.

Подобную информацию граждане предоставляют в разных местах: в государственных учреждениях, в медицинских центрах, образовательных организациях, при оформлении займов или вкладов в банках, а также в коммерческих структурах (например, многие магазины, операторы сотовой связи предлагают к заполнению анкеты для участия в акциях или оформления карт клиентов).

Статья 3 закона № 152-ФЗ гласит о том, что оператором персональных данных является лицо, которое организует и осуществляет обработку персональных данных. Таким образом, все юридические лица являются операторами, так как, как минимум, получают информацию о своих сотрудниках.