Закон о персональных данных (152-ФЗ) — штука достаточно противная. Требований тьма, соблюсти их все точно практически нереально, утечки случаются постоянно. И никто ни за что не отвечает. Но, если не будет какой-то вшивой бумажки, то можно схлопотать