Оказывается есть ряд ограничений, при которых простой "галки" с согласием на обработку персональных данных на сайте будет недостаточно, чтобы не "попасть" на штрафы. В частности - если сайт передает какие-либо данные о пользователях или просто хостится в Казахстане или Израиле, то уже требуется письменное согласие пользователя на такую операцию, т.е. по факту - сразу штраф за нарушение.
http://54online.com/blog/rabota-s-personalnymi-dannymi-dlya-internet-magazinov/