Privacy e data broker: il Garante sanziona Lusha con 2 milioni di euro per il trattamento illecito di dati personali

Il Garante per la protezione dei dati personali ha inflitto una sanzione amministrativa di 2 milioni di euro a Lusha Systems Inc., società statunitense attiva nel settore del sales intelligence e lead generation B2B, al termine di un’istruttoria che ha accertato violazioni della normativa europea in materia di protezione dei dati personali.

Lusha offre, attraverso una piattaforma a pagamento, informazioni arricchite riferite a persone fisiche, tra cui recapiti telefonici, indirizzi di posta elettronica e dati relativi all’attività professionale. Tali informazioni vengono raccolte mediante diverse fonti, comprese attività di scraping di contenuti pubblicamente disponibili sui social network e l’acquisizione di dati da altri intermediari specializzati, per essere successivamente commercializzate con finalità di business intelligence, marketing e prevenzione delle frodi.

L’istruttoria dell’Autorità ha evidenziato come tra i soggetti presenti nella banca dati figurassero anche esponenti delle istituzioni, della pubblica amministrazione, delle forze dell’ordine e della magistratura. Secondo il Garante, il trattamento riguardava un numero elevato di persone presenti sul territorio italiano ed è stato effettuato in violazione di diversi principi fondamentali del GDPR, tra cui liceità, correttezza, trasparenza e minimizzazione dei dati.

Tra le criticità riscontrate vi è l’inadeguatezza dell’informativa resa agli interessati, giudicata poco chiara e difficilmente accessibile, nonché l’assenza di una valida base giuridica per il trattamento. In particolare, l’Autorità ha escluso che il legittimo interesse potesse giustificare le attività svolte dalla società.

Di particolare rilievo è anche il chiarimento sull’ambito di applicazione territoriale del GDPR. Pur non disponendo di uno stabilimento nell’Unione europea, Lusha è stata ritenuta soggetta alla disciplina europea in quanto la propria attività integra un’ipotesi di monitoraggio del comportamento degli interessati. Secondo il Garante, infatti, la società non si limita a raccogliere dati professionali, ma ne effettua il costante aggiornamento e controllo nel tempo, realizzando un’attività di tracciamento delle informazioni personali reperibili online.

Alla luce dell’illiceità del trattamento e dell’assenza di una base giuridica sin dall’origine, l’Autorità ha disposto, oltre alla sanzione economica, il divieto di proseguire il trattamento dei dati personali riferiti agli interessati presenti sul territorio italiano, ordinandone altresì la cancellazione.

Il provvedimento conferma l’attenzione crescente delle autorità europee nei confronti dell’attività dei data broker e ribadisce che anche gli operatori stabiliti al di fuori dell’Unione possono essere soggetti agli obblighi del GDPR quando le loro attività comportano il monitoraggio sistematico delle persone residenti nell’UE.

Approfondimenti:

• Osservatorio sulle comunicazioni n. 2/2026