E legal în România să vinzi acces la un SaaS search-engine care îți returnează parola compromisă + sursa?

Vreau să ofer printr-un SaaS (abonament lunar) un motor de căutare asemănător cu leakcheck.io sau intelx.io, care indexează leakuri și, când cauți un email / username, îți afișează inclusiv parola compromisă și sursa (de unde a fost leakuită).

Întrebarile mele:

1. Pot comercializa accesul la astfel de rezultate sau risc fapte penale/contravenții în România?
2. Se aplică GDPR—mă face asta operator de date și ce obligații ar urma?
3. Dacă aveți articole/decizii ANSPDCP sau exemple concrete, link/refs sunt binevenite.

Mulțumesc!