>>Jest to ewidentne złamanie ustawy o ochronie danych osobowych.
>
> Podaj konkretny przepis.

Chociazby:

Art. 36. 1. Administrator danych jest obowiązany zastosować środki
techniczne i organizacyjne zapewniające ochronę przetwarzanych danych
osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a
w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom
nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z
naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.