Вообще в РФ с 2007 года есть закон о персональных данных. В Украине аналогичный закон вступит в силу с боем новогодних курантов и началом 2011 года.
По закону сбор персональных данных может осуществляться только с письменного разрешения самого "субъекта персональных данных". Не подпадают под закон грубо говоря только данные, передающиеся между физическими лицами для личных целей: по типу назвали свои имена или телефоны друг-другу и записали их.
Персональными считаются данные, позволяющие однозначно идентифицировать человека (ФИО), а также другая информация о нем, как то: дата рождения, профессия, отношение к религии и др.
Поэтому даже просто список ФИО своих адептов - это база персональных данных. Если там еще и адреса и данные о личной жизни - то все
Усугубляться ситуация может в случае "самовольной" передачи таких данных в Бруклин (может классифицироваться вплоть до шпионажа).
По закону Вефиль должен во-первых направить человеку уведомление о том, что его данные обрабатываются или храняться в их картотеке. Во-вторых получить письменное согласие.
Кроме того вефильское юр. лицо должно о своей деятельности по сбору и хранению персональных данных сообщить государству и выполнить ряд требований по обеспечению сохранности и неприкосновенности данных. Государство обещает потом по всем конторам пройтись с проверками.
Возможна ситуация, когда физлицо, подозревающее, что его ПД собраны и систематизированы какой-то организацией без его согласия или с его согласия, но без обеспечения должной безопасности хранения подает сначала согласно закону заявление в эту организацию требованием предоставить список данных и какие меры приняты по защите. Если он не получает ответа, ответ не полный и т.д. - подается жалоба в Роскомнадзор или еще куда (если база бумажная, а не в электронном виде) и далее у дверей прокуратура, проверка, тюрьма.
Если база электронная - требований к безопасности больше. Но для бумажного архива тоже хватает - как должна быть защищена комната, какие шкафы-сейфы и на каком расстоянии от окон они должны находиться и т.п. По идее на такое помещение должна государством (читай ФСБ) выдаваться бумага соответствия.
Если всего этого нет - можно сливать воду (срочно отправлять картотеку в шредер или Бруклин) либо начинать сушить сухари.