Здравствуйте.
Согласно п.2 ст. 3 ФЗ «О персональных данных»
оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
Таким образом вы попадаете под действие данного закона.
В соответствии с п. 1 ст. 22 ФЗ «О персональных данных»
Оператор до начала обработки персональных данных обязан уведомить уполномоченный орган по защите прав субъектов персональных данных о своем намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных частью 2 настоящей статьи.
Ответственность за нарушение законодательства в области персональных данных предусмотрена по ст. 13.11 КоАП РФ.
Если вы сейчас самостоятельно встанете на учет в Роскомнадзор как оператор персональных данных, ответственности можно избежать.
Постановка на учет бесплатная, но необходимо подготовить много документов.
Более подробную информацию вы можете найти на сайте Роскомнадзора.