Если не мне изменяет память, то необходимо(в ряде случаев?) не только согласие, конечного клиента, но и лицензия на хранение и обработку персональных данных. То есть, если он согласился, а у вас нет "разрешения", то будет все равно нарушатся закон и в конфликтной ситуации свою невиновность компании будет доказать крайне проблематично.
