простите, что влезу.
Обработка персональных данных возможна не только в электронном виде. Даже если вы храните договора в сейфе это все равно обработка. Само наличие у вас информации, позволяющей идентифицировать физическое лицо означает, что вы эту информацию обрабатываете. Ибо взять договор и положить его в сейф - есть обработка.
Это придумал не я, а человек из ...., который читает лекции по защите информации.
Так что под этот закон попадают все юридические лица, зарегистрированные на территории РФ.
Вопрос в том, что со всей этой фигней делать. На одном из форумов проскакивал вариант сертифицировать информационную систему, как специальную. Там есть какие-то варианты. У меня юристы сейчас это копают. Посмотрим, что нароют.