Этично ли и наказуемо ли сохранение всех действий пользователя на сайте?

А ввод буквы на сайте - это персональные данные?

В смысле бука ? буква от имени, а следовательно к имени прикреплен ип-адрес закрепленный персонально, и подтверждённый электронный почтовый ящик.

Без понимания того, как будут использоваться такие данные, что конкретно будет логироваться, будет ли это персонализироваться, есть ли в данных реальные персональные данные - ответа на вопрос не будет. Одно дело собирать статистику по тому, какие кнопки нажимают пользователи, чтобы потом провести A/B тестирование, например и, другое дело, если будут собираться и потом использоваться персонально данные о том, что вот этот верифицированный юзер искал это, находил это, делал вот это. Соответственно, исходя из задач, целей и инструментов можно будет дать ответ. А по исходным данным - ответ невозможен, только теория.