Нельзя собирать больше данных, чем нужно для работы компании, нельзя хранить данные долго (если не регламентировано) и спросить могут даже за мелочи.
Например: "штраф в 2 тыс. евро выписали частному лицу. Пользователь отправил электронное письмо большому числу получателей, установив его тип как CC (копия), а не BCC (скрытая копия). В результате адреса почты увидели другие получатели. Эту ситуацию расценили как утечку персональных данных."