Se il tuo scopo è mettere paura ai tuoi capi basta dire "Ma è conforme al GDPR?"
In soldoni, se fanno un controllo e ci trovano dei dati che non dovrebbero più esserci sono problemi, soprattutto se a quei dati ci accedono persone senza nessuna profilatura con connessioni dirette sul DB.