alexforce

1. Персональные данные - конфиденциальная информация (Указ Президента РФ №188 от 6 марта 1997).
2. Техническая защита конфиденциальной информации - лицензируемый вид деятельности (Закон РФ №128 "О лицензировании отдельных видов деятельности) от 8 августа 2001 года).
3. Оператор ПДн может не быть лицензиатом по ТЗКИ, если он не оказывает услуги и не разрабатывает. Для разработки защиты ИСПДн требуется лицензия по ТЗКИ (ПП 504 от 15 августа 2006 "О лицензировании деятельности по технической защите конфиденциальной информации").
Так что оператору ПДн надо определиться либо самому получить лицензию, либо привлечь лицензиата.

Добавлено немного позже:
Вообще очень подробно об этом есть в этой статье.