Rüffel erteilt an Levales Solicitors LLP („Levales“) im Hinblick auf Artikel 32(1)(b) und 32(1)(d). Ein Angreifer erlangte Zugang zum cloudbasierten Server von Levales mithilfe legitimer Anmeldedaten und veröffentlichte anschließend Daten im Darknet. Die Vorfälle betrafen 8.234 britische Personen, von denen 863 aufgrund der Art der beteiligten Daten als hochgefährdet galten. Die Untersuchung ergab, dass Levales die fortlaufende Vertraulichkeit ihrer Verarbeitungssysteme nicht sicherstellte und keine geeigneten organisatorischen Maßnahmen implementierte.