Проблема еще и в том, что нет никакого контроля за персональными данными (по типу GDPR в ЕС). Если человек перестал пользоваться сервисом/аккаунтом, его данные должны удаляться (или как минимум анонимизироваться в БД) через 3 года или около того.