В нашем случае думаю только административное нарушение, если докажется.
Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных), ст. 13.11 КОАП РФ указывает на необходимость соблюдения ФЗ-152 "О персональных данных".
Предупреждение или наложение административного штрафа на граждан в размере от 300 до 500 рублей; на должностных лиц – от 500 до 1 тысячи рублей; на юридических лиц – от 5 до 10 тысяч рублей.