Czy opisany incydent stanowi naruszenie ochrony danych osobowych w rozumieniu przepisów RODO?

Właściciel konta bankowego, sam nieświadomie (kliknął na link i przekazał dane do logowania) udostępnił dane do logowania do konta internetowego "przestępcy", który próbował wykonać kilka przelewów. Do realizacji nie doszło, gdyż bank zablokował przelewy. Zmieniono hasło do logowania, udzielono klientowi informacji jak nie powinien postępować i na co powinien zwracać uwagę, klient dodatkowo zablokował dowód osobisty.

Czy bank powinien traktować jako znaczący incydent, skoro to z winy klienta a nie administratorstwa doszło do wycieku danych?

Czy bank powinien w związku z powyższym dokonać jeszcze jakiś czynności?