Ah, ok. Jeg er heller ikke jurist, men min opfattelse er, at vi taler om, hvorvidt der er høj risiko for at data bliver brugt til noget andet end det formål, de var indsamlet til. Eftersom folk uden legitimt formål har hacket sig til oplysningerne, vil jeg mene at den allerede bon'er højt ud der. Men derudover kan man eks. se på ISO29134:2017 (PII betyder personally identifiable information):