Penso che haveibeenpwned sarebbe legale nell'UE perché svolge un compito di interesse pubblico ( Art. 6 (1) (e)) e non condivide più dati quindi necessari, ad esempio puoi cercare una password, ma non ti mostrerà l'indirizzo email che appartiene a quella password.

Sarebbe anche legale per te tenere una copia di un database trapelato, ma solo se hai un legittimo interesse ( Art. 6 (1) (f)) a averlo. Essere una società di sicurezza non cambia le cose, ma trovare un interesse legittimo potrebbe essere più facile.

Se hai un interesse legittimo a conservare una copia di un database trapelato, non significa che puoi usarlo in qualsiasi come ti piace. Ad esempio, testare se la password funziona ancora, è molto probabilmente illegale ovunque nell'UE. Ma non ho familiarità con le leggi del Regno Unito.

Ai sensi del GDPR, è legale per me come individuo tenere una copia di un database trapelato ed è legale per una società di sicurezza conservarla (o le informazioni derivate da esso).

Dipende dal fatto che le informazioni siano "dati personali" come definito in Art. 4.

L'indirizzo email in sé non è un dato personale a meno che il proprietario non possa essere identificato. La password stessa non è né l'uno né l'altro. La combinazione dei due possono essere dati personali se può essere effettivamente utilizzata per accedere e ottenere più dati che mostrano chi è il proprietario.