Il Garante Privacy sanziona Lusha per 2 milioni di euro – Notizie

27 Luglio 2026 4

Una sanzione di 2 milioni di euro è
stata irrogata dal Garante Privacy a Lusha Systems Inc., data
broker statunitense che tramite la propria piattaforma fornisce,
a pagamento, informazioni “arricchite”, come posizione
lavorativa, indirizzi e-mail e numeri di telefono.


Lusha, ricorda una nota del Garante, “raccoglie da più fonti
tali dati – ad esempio attraverso attività di scraping dai
social network e di acquisto da altri data broker – e li mette a
disposizione dei clienti della piattaforma per finalità
commerciali o anti-frode. Tra le informazioni disponibili sulla
piattaforma vi erano anche quelle relative a rappresentanti dei
vertici istituzionali, della pubblica amministrazione, delle
forze dell’ordine e della magistratura”.


Per l’Autorità, “la società ha trattato i dati personali di
un elevato numero di persone presenti sul territorio italiano in
violazione dei principi di liceità, correttezza, trasparenza e
minimizzazione dei dati. In particolare, l’informativa fornita
agli interessati non risultava chiara e facilmente accessibile.


Inoltre, con riferimento al fondamento di liceità del
trattamento, l’Autorità ha ritenuto che il perseguimento del
legittimo interesse non fosse un’adeguata base giuridica”.
Nel definire il procedimento, il Garante ha affermato che “il
Gdpr si applica anche al trattamento dei dati personali dei
soggetti censiti nell’archivio di Lusha, società priva di uno
stabilimento in Ue, in quanto tale trattamento ricade
nell’ambito del criterio del monitoraggio previsto dal
Regolamento europeo. Infatti, Lusha non si limita alla raccolta
delle informazioni professionali, ma ne cura anche
l’aggiornamento e il controllo nel tempo. Operazioni che
integrano quindi un’attività di monitoraggio dei comportamenti e
delle posizioni personali degli interessati su Internet,
configurando un vero e proprio ‘tracciamento’ rilevante ai sensi
del Gdpr”.


“Accertata l’illiceità della condotta posta in essere da
Lusha e ritenuto che i trattamenti, ancora in corso, fossero
privi di una valida base giuridica fin dall’origine, l’Autorità
– conclude la nota – ha vietato alla società di trattare i dati
personali degli interessati presenti sul territorio italiano e
ne ha ordinato la cancellazione”.