Lusha multata per 2 milioni, stop ai dati degli italiani

🛡️ Executive Summary

• Lusha raccoglieva e vendeva dati professionali ottenuti da social network, fornitori esterni, calendari, email e programmi di condivisione.
• Il Garante ha escluso che il legittimo interesse giustificasse un trattamento esteso, imprevedibile e potenzialmente invasivo per gli interessati.
• La società dovrà interrompere il trattamento dei dati delle persone presenti in Italia, cancellarli e pagare una sanzione di 2 milioni.

Il Garante per la protezione dei dati personali ha sanzionato per 2 milioni di euro il data broker statunitense Lusha Systems, vietandogli di continuare a trattare i dati delle persone presenti in Italia e ordinandone la cancellazione. La piattaforma raccoglieva, aggiornava e vendeva informazioni professionali come indirizzi email, numeri di telefono, posizione lavorativa e localizzazione, attingendo da social network, fornitori terzi e programmi che permettevano di accedere anche a rubriche, calendari e account di posta elettronica. Per l’Autorità, il trattamento violava i principi di liceità, correttezza, trasparenza e minimizzazione e non poteva essere giustificato attraverso il legittimo interesse dichiarato dalla società.

Lusha trasformava i contatti professionali in un prodotto

Lusha gestisce una piattaforma B2B attraverso la quale i clienti possono cercare e acquistare informazioni “arricchite” su persone fisiche, filtrandole in base ad azienda, ruolo, anzianità professionale, localizzazione, indirizzo email e numero di telefono. La società distingueva tra i clienti iscritti al servizio e i “contatti”, cioè le persone censite nel database anche quando non avevano mai utilizzato la piattaforma né instaurato un rapporto diretto con il data broker. Le informazioni provenivano da profili pubblici sui social network, blog e forum professionali, società specializzate nella vendita di dati e algoritmi capaci di ricostruire gli indirizzi aziendali attraverso modelli come [email protected]. Ulteriori dati venivano acquisiti attraverso il Community Program, nel quale alcuni utenti condividevano informazioni appartenenti alla propria rete professionale, e tramite l’accesso autorizzato alle API di Google o Microsoft. Il sistema poteva così arrivare a esaminare intestazioni delle email, blocchi firma, clienti, titoli delle riunioni, partecipanti e indirizzi presenti nei calendari. Il caso si inserisce nel più ampio mercato descritto nella guida al valore dei dati esposti e alla loro successiva monetizzazione, dove informazioni apparentemente ordinarie diventano materia prima per profilazione commerciale, social engineering e campagne indesiderate.

Nel database comparivano anche vertici istituzionali

L’istruttoria è iniziata nell’aprile 2025 dopo la pubblicazione di articoli che segnalavano la presenza sulla piattaforma dei numeri telefonici di importanti cariche della Repubblica. Successivamente, il Garante ha ricevuto un reclamo e una segnalazione da persone che, dopo essere state raggiunte da messaggi e telefonate pubblicitarie, avevano scoperto che i propri dati erano disponibili su Lusha senza un consenso preventivo. Nel database sono stati individuati, tra gli altri, contatti attribuiti al presidente della Repubblica Sergio Mattarella, ad Antonio Tajani, Guido Crosetto, Raffaele Fitto, Chiara Appendino, Stefano Patuanelli, a componenti di Agcom e dell’Autorità garante della concorrenza e del mercato, oltre che al cancelliere tedesco Friedrich Merz e all’ex cancelliera Angela Merkel. La presenza di queste informazioni contraddiceva la dichiarazione con cui Lusha sosteneva di escludere dal database cariche pubbliche e personaggi pubblici. Per l’Autorità, il contrasto dimostrava l’inadeguatezza delle misure tecniche e organizzative adottate e una violazione del principio di minimizzazione, perché la piattaforma conservava dati che la stessa società considerava non pertinenti al proprio servizio.

Il legittimo interesse non giustifica la raccolta massiva

Lusha sosteneva che la raccolta e la messa a disposizione dei contatti fossero necessarie per attività di vendita, marketing B2B, recruiting, business intelligence e prevenzione delle frodi. La base giuridica indicata era il legittimo interesse, ma il Garante ha escluso che questo fondamento potesse sostenere un trattamento così esteso, intrusivo e difficile da prevedere per le persone coinvolte. Gli interessati potevano non sapere di essere stati inseriti nel database, non conoscere l’origine delle informazioni e non aspettarsi che dati pubblicati in un determinato contesto professionale venissero aggregati, aggiornati e venduti a soggetti terzi. L’Autorità ha contestato anche il meccanismo di opposizione, che concedeva soltanto sette giorni dalla ricezione dell’informativa per esercitare l’opt-out, esponendo le persone al rischio di perdere la possibilità di opporsi per circostanze estranee alla loro volontà. Calendari, titoli delle riunioni, elenchi dei partecipanti e dati provenienti dagli account di posta sono stati inoltre considerati non necessari rispetto alle finalità dichiarate. La disponibilità pubblica di un’informazione non equivale infatti a un’autorizzazione generale alla raccolta, alla combinazione con altre fonti e alla successiva commercializzazione, principio centrale anche nelle contestazioni rivolte ai sistemi che trasformano lo scraping dei dati personali in un’infrastruttura permanente di profilazione.

Il GDPR si applica anche senza una sede europea

Uno dei passaggi più rilevanti riguarda l’applicabilità territoriale del GDPR. Lusha ha sede negli Stati Uniti e sosteneva di non avere uno stabilimento nell’Unione europea, di offrire servizi soltanto a imprese e di aver adottato volontariamente alcuni standard europei senza essere giuridicamente vincolata dal Regolamento. Il Garante ha però ritenuto applicabile il GDPR sulla base del criterio del monitoraggio previsto dall’articolo 3. La società non si limitava a raccogliere una volta le informazioni professionali, ma le organizzava in schede univoche, le confrontava con più fonti e le aggiornava regolarmente per verificare cambiamenti di ruolo, azienda o posizione lavorativa. Secondo l’Autorità, queste operazioni configuravano un controllo nel tempo delle posizioni personali e professionali degli interessati presenti nell’Unione. La decisione chiarisce quindi che un data broker extraeuropeo non può sottrarsi al GDPR soltanto perché non dispone di una sede fisica nell’UE, quando il proprio modello consiste nel seguire, aggiornare e rendere commercialmente disponibili informazioni riferite a persone che si trovano sul territorio europeo. Il trattamento digitale e continuativo diventa il collegamento giuridico con l’Unione, indipendentemente dalla sede formale del fornitore.

Il Garante ordina lo stop e la cancellazione dei dati

Dopo aver accertato l’assenza di una valida base giuridica fin dall’origine, il Garante ha vietato a Lusha di proseguire il trattamento dei dati personali riferiti agli interessati presenti in Italia e ne ha ordinato la cancellazione. La misura correttiva ha un impatto più profondo della sola sanzione economica, perché interviene direttamente sull’archivio che alimenta il servizio commerciale. La società non può limitarsi a correggere l’informativa o modificare il sistema di opposizione, ma deve rimuovere i dati illecitamente raccolti e interrompere le operazioni di aggiornamento e vendita. Nel comunicato sulla sanzione da 2 milioni di euro contro Lusha, l’Autorità sottolinea che il monitoraggio comprendeva un elevato numero di persone e coinvolgeva anche rappresentanti delle istituzioni, della pubblica amministrazione, delle forze dell’ordine e della magistratura. Il provvedimento integrale del 14 luglio 2026 ricostruisce invece fonti, categorie di dati, difese della società e ragioni per cui il legittimo interesse è stato ritenuto insufficiente.

Il mercato B2B non rende impersonali i dati

La decisione stabilisce un limite importante per l’intero settore della lead generation. Un indirizzo aziendale, un numero di telefono professionale o l’informazione relativa al ruolo ricoperto continuano a essere dati personali quando identificano una persona fisica. La definizione commerciale del servizio come B2B non trasforma quindi i contatti dei dipendenti, dei dirigenti o dei funzionari pubblici in informazioni liberamente commerciabili. Il rischio aumenta quando il dato viene aggregato, verificato e mantenuto aggiornato, perché la piattaforma non offre più un semplice elenco statico, ma un profilo utilizzabile per raggiungere la persona, analizzarne il percorso professionale e costruire comunicazioni mirate. La vicenda mostra anche il collegamento tra data broker e chiamate indesiderate: chi riceve pubblicità può ignorare che il mittente abbia acquistato il suo contatto da una piattaforma esterna e incontrare difficoltà nell’individuare il soggetto al quale rivolgere una richiesta di accesso, cancellazione o opposizione. Con il divieto imposto a Lusha, il Garante afferma che la reperibilità di un dato su Internet non autorizza la sua trasformazione in un prodotto commerciale permanente, soprattutto quando le persone censite non ricevono informazioni chiare e non dispongono di un controllo effettivo sul trattamento.