Тут (linux.org.ru) уже много нафлудили на тему этого закона (законопроекта). Законопроект приняли практически в том же виде, что и обсуждали (только в паре мест для уточнения добавили словосочетание "сети "Интернет").

Я так понимаю, что из-за чрезвычайно широкого понятия «персональных данных» чисто формально можно придраться практически к любому сайту, где пользователи что-то пишут/размещают (в особенности с созданием учетной записи пользователя), насчет необходимости использования сертифицированных средств защиты информации для обработки персональных данных. Но на практике этого не делают.

Обсуждаемый нами закон указывает на необходимость осуществления авторизации одним из способов, предусмотренных Федеральным законом от 27.07.2006 N 149-ФЗ «Об информации, информационных технологиях и о защите информации». Там помимо номера мобильного телефона, госуслуг и биометрии предусмотрена возможность авторизации с использованием иных сервисов, принадлежащих российским гражданам или юридическим лицам. Вот только эти иные сервисы авторизации должны соответствовать требованиям о защите информации, предусмотренным статьей 16 того же закона 149-ФЗ. В статье 16 ничего прямо не сказано, есть только общие слова о том, что «2. Государственное регулирование отношений в сфере защиты информации осуществляется путем установления требований о защите информации». Но тут мы возвращаемся к тому, что требования о необходимости использования сертифицированных средств защиты информации при обработке персональных данных установлены, а за обработку персональных данных в силу широты этого понятия можно при желании придраться к любому сайту с авторизацией.

Но, как я отмечал здесь, по мелочам придираться ко всем подряд, очевидно, не будут. Единственное, что я бы убрал с российских сайтов, это авторизацию с использованием иностранных social login сервисов (Google, Apple, Microsoft, Steam и т.п.), т.к. принятый закон, скорее всего, прежде всего против этого направлен.

Что касается электронной почты, то если она просто указана в учетной записи пользователя или даже вводится им в качестве логина – то ничего страшного. Для авторизации именно как сервис она не используется. Другое дело, если на иностранный адрес электронной почты приходит проверочный код, который пользователь обязан ввести для входа на российский сайт. Это уже должно подпадать под установленным законом запрет. Продолжая эту мысль, я боюсь, что под запрет подпадает и указание иностранной электронной почты при регистрации пользователя на сайте, при условии что для завершения регистрации и первого входа (авторизации) на сайте он должен перейти по переданной ему по электронной почте ссылке.