Я касался работы с персональными данными неоднократно. То это был 152-ФЗ, и всем е-комерсам срочно надо было напилить всяких формочек, галочек и возможность удалять данные по запросу. То это был бум с GDPR, когда надо было заморачиваться трансграничной передачей данных, что где хранить и какие куки кто явно принимает.

Мой давний товарищ Никита из Авито написал свой взгляд (и, видимо, свою боль) на работу с персональными данными: https://t.me/product_developer/222.

Это очень интересный пост с точки зрения того, как это всё геморно работает при микросервисной архитектуре, разных хранилищах данных у сервисов и как легко спроектировать с самого начала так, чтобы подъесть потом оборотных штрафов с лопаты. И всё это с иллюстрацией на конкретных примерах.

Полезно почитать и с архитектурной точки зрения, и с юридической.