Il Garante per la protezione dei dati personali ha irrogato una sanzione di 2 milioni di euro a Lusha Systems Inc., un data broker statunitense. Il provvedimento è stato adottato a seguito del trattamento illecito di dati personali di numerosi cittadini italiani da parte della società. Lusha, attraverso la propria piattaforma, fornisce a pagamento informazioni “arricchite”, come la posizione lavorativa, gli indirizzi e-mail e i numeri di telefono, come comunicato dall'Autorità con una nota ufficiale.
La società raccoglie tali dati personali da diverse fonti, tra cui attività di scraping dai social network e acquisto da altri data broker, rendendoli disponibili ai propri clienti per finalità commerciali o anti-frode.
È stato accertato che tra le informazioni presenti sulla piattaforma figuravano anche quelle relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura. Il Garante ha rilevato che Lusha ha trattato i dati di un elevato numero di persone residenti sul territorio italiano, violando in modo significativo i principi di liceità, correttezza, trasparenza e minimizzazione dei dati, come stabiliti dalla normativa europea.
Le violazioni riscontrate e l'applicazione del GDPR
L’Autorità ha evidenziato che l’informativa fornita da Lusha agli interessati non era né chiara né facilmente accessibile. Inoltre, il legittimo interesse invocato dalla società non è stato ritenuto una base giuridica adeguata per il trattamento dei dati personali.
Un punto cruciale della decisione riguarda l'applicabilità del Regolamento generale sulla protezione dei dati (Gdpr): il Garante ha affermato che la normativa europea si estende al trattamento dei dati personali degli utenti italiani presenti nell'archivio di Lusha, anche se la società è priva di uno stabilimento nell'Unione europea. Questo perché le attività svolte da Lusha rientrano nel criterio del monitoraggio previsto dal regolamento.
È stato infatti sottolineato che Lusha non si limita alla mera raccolta di informazioni professionali, ma ne cura anche l’aggiornamento e il controllo nel tempo. Tali operazioni configurano un vero e proprio monitoraggio dei comportamenti e delle posizioni personali degli interessati su Internet, un'attività di tracciamento considerata pienamente rilevante ai sensi del Gdpr.
Provvedimenti immediati e contesto normativo
Accertata l’illiceità della condotta di Lusha e ritenuto che i trattamenti, ancora in corso, fossero privi di una valida base giuridica fin dall’origine, l’Autorità ha adottato misure severe. Il Garante ha infatti vietato alla società di trattare i dati personali degli interessati presenti sul territorio italiano e ne ha contestualmente ordinato la cancellazione.
Questo episodio si inserisce in un più ampio contesto di crescente attenzione da parte dell’Autorità nei confronti dei servizi che offrono dati personali per finalità di marketing e telemarketing. In precedenza, il Garante aveva già avviato un’istruttoria nei confronti di Lusha, richiedendo informazioni dettagliate sulle modalità di raccolta dei dati, le fonti del database e il numero di dati di residenti italiani trattati.
Il fenomeno del trattamento illecito di dati personali per scopi promozionali è sotto osservazione da gennaio 2025, periodo in cui erano già state comminate sanzioni a diverse agenzie immobiliari che avevano utilizzato recapiti ottenuti da servizi analoghi a quelli offerti da Lusha.
