Этично ли и наказуемо ли сохранение всех действий пользователя на сайте?

В бизнесе нет этики, либо - ты, либо  - тебя.

А зачем фиксировать каждое нажатие, создавая избыточную нагрузку на сайт, если достаточно логировать финальное, звершенное действие?

Вопрос не про мораль, а про юридические нюансы. И какая цель у этого сбора данных?

Которые легко обходятся пользовательским соглашением. Мне больше непонятна техническая необходимость логирования каждого нажатия. С таким подходом уложить сайт можно очень просто )))

Ваши буковки на сайте ничего не значат.  А такая наивность может дорого обойтись (я не про сабж, а в общем).

Если пользователь согласился на обработку персональных данных, а под персональные данные попадают любые действия на сайте:

https://www.consultant.ru/document/cons_doc_LAW_61801/4f41fe599ce341751e4e34dc50a4b676674c1416/

Порнхаб часто публикуют пользовательские предпочтения по странам мира. А если из этой общей массы вытащить отдельную персону, то она вряд ли будет «за» логи поиска интересных для него видео, длительность сессий, возвраты на сайт и т.п..

Контракт (пользовательское соглашение), который нарушает закон, юридически ничтожен, со всеми вытекающими последствиями для особо хитрых авторов пользовательских соглашений.

Ну Венда шпионит за юзерами

Программы шпионят

Все законно

Но в основном это можно отключить

Кстати, ранее метрика без доп настроек по идее логировала ввод в поля, кроме пароля

В области защиты персональных данных в РФ присутствует закон где согласно понятию определены четкие понятия персональных данных.  При этом согласно п.2, ст. 1 Федеральный закон от 27.07.2006 N 152-ФЗ "О персональных данных", Действие настоящего Федерального закона не распространяется на отношения, возникающие при: 1) обработке персональных данных физическими лицами исключительно для личных и семейных нужд, если при этом не нарушаются права субъектов персональных данных;

Далее, если вы будите использовать персональные данные в коммерческой деятельности, то согласно п. 1. ст. 9, Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом. В случае получения согласия на обработку персональных данных от представителя субъекта персональных данных полномочия данного представителя на дачу согласия от имени субъекта персональных данных проверяются оператором.

статья 3.  персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

Для исполнения этого пункта, необходимо добавить в соглашение сайта о форме сбора и указать конкретные виды сбора персональной информации. При этом сделать обязательный пункт, принимаю и даю осознанное, согласие на обработку своей персональной информации (указать какой) и галочку принять. Во исполнении пункта 3, ст. 9.

При этом нужно не забывать что, если это будет публично и в коммерческих целях, необходимо встать как оператор обработки данных в Роскомнадзор (физ. лица тоже ).