Lusha sanzionata dal Garante: cosa rischiano i dati venduti

Il Garante Privacy sanziona Lusha per 2 milioni di euro: stop al trattamento e cancellazione dei dati raccolti senza base giuridica adeguata.

Redazione

27 Luglio 2026

La sede romana del Garante per la protezione dei dati personali. Foto: Carlo Dani/Wikimedia Commons, licenza CC BY-SA 4.0.

La sanzione del Garante Privacy contro Lusha Systems Inc. non riguarda soltanto una società americana del mercato dei contatti professionali. Tocca un punto molto concreto: quanto può essere estesa la raccolta di email, numeri di telefono, qualifiche e profili lavorativi prima che il trattamento diventi un monitoraggio non compatibile con il GDPR.

L’Autorità italiana ha irrogato a Lusha una multa da 2 milioni di euro, ha vietato l’ulteriore trattamento dei dati degli interessati presenti in Italia acquisiti senza una base giuridica adeguata e ha ordinato la cancellazione di quei dati. È una decisione che pesa sul settore dei data broker, cioè sulle piattaforme che raccolgono, arricchiscono e rivendono informazioni personali per finalità commerciali, marketing, recruiting o prevenzione delle frodi.

Perché il caso Lusha conta anche per chi non usa la piattaforma

Il punto più delicato è che molte persone finite nei database di servizi di questo tipo non hanno mai aperto un account, non hanno firmato un contratto e spesso scoprono l’esistenza del trattamento solo dopo telefonate o messaggi promozionali indesiderati. Nel caso Lusha, secondo gli atti del Garante, l’istruttoria è partita anche da notizie sulla presenza nella piattaforma di contatti riferibili a figure istituzionali e da reclami di cittadini raggiunti da comunicazioni commerciali.

La società offre alle imprese dati di contatto professionali arricchiti: nome, ruolo, anzianità, posizione lavorativa, indirizzi email, numeri di telefono e altri elementi utili a identificare e raggiungere un contatto. Per l’Autorità, però, il trattamento non si esauriva in una semplice raccolta puntuale di dati professionali. L’attività comprendeva aggiornamento, verifica, arricchimento e organizzazione in schede consultabili, con un effetto di monitoraggio nel tempo delle posizioni personali e lavorative.

È qui che la decisione diventa rilevante per tutti: il Garante afferma che il GDPR può applicarsi anche a una società senza stabilimento nell’Unione europea quando il trattamento riguarda persone che si trovano nel territorio italiano e integra un monitoraggio rilevante ai sensi del Regolamento.

Icona di protezione dati su una griglia digitale — Protezione dei dati personali e sicurezza cloud. Foto: Blue Coat Photos/Flickr via Wikimedia Commons, licenza CC BY-SA 2.0.

Il nodo del legittimo interesse

Lusha ha sostenuto di operare in ambito business-to-business e di fondare i trattamenti sul legittimo interesse, proprio e dei clienti. Il Garante non ha escluso in astratto che questa base giuridica possa essere usata in attività B2B. Ha però ritenuto insufficiente, nel caso concreto, il bilanciamento tra interesse economico della piattaforma e diritti delle persone interessate.

Secondo l’Autorità, la raccolta risultava troppo ampia, proveniente da fonti diverse e non sempre prevedibile dagli interessati. Anche quando alcuni dati sono reperibili online, questo non significa automaticamente che possano essere aggregati, aggiornati, arricchiti e venduti a terzi per finalità non attese. La differenza è sostanziale: un conto è pubblicare un recapito in un contesto specifico, un altro è ritrovarlo in un database commerciale consultabile da clienti terzi.

Il provvedimento richiama anche il principio di minimizzazione dei dati. Per il Garante, non basta dichiarare che i dati sono professionali: occorre dimostrare che siano necessari, proporzionati e trattati in modo trasparente. La presenza di contatti riferibili a pubbliche amministrazioni, forze dell’ordine, magistratura, governo e altri settori pubblici ha aggravato il quadro, perché quei soggetti non sono per definizione target commerciali B2B.

Cosa cambia per aziende, marketing e utenti

Per le aziende che comprano liste, usano plugin di arricchimento contatti o affidano campagne a fornitori esterni, il messaggio è chiaro: la responsabilità non finisce al momento dell’acquisto del dato. Bisogna poter ricostruire l’origine delle informazioni, la base giuridica, l’informativa resa agli interessati e le garanzie adottate dal fornitore.

Il rischio non è solo una sanzione. Un database costruito senza basi solide può rendere inefficace una campagna, esporre a reclami, bloccare trattamenti già avviati e costringere alla cancellazione di liste considerate strategiche. Nel marketing digitale e nel recruiting, la conformità privacy non è più un controllo formale a valle: diventa una condizione operativa.

Per gli utenti, invece, la vicenda ricorda l’importanza dei diritti di accesso, opposizione e cancellazione. Se una società contatta una persona per finalità promozionali, l’interessato può chiedere da dove provengono i suoi dati e pretendere risposte verificabili. Quando la fonte indicata è una piattaforma terza, il percorso può portare direttamente al cuore della filiera del dato.

Conclusioni finali

La multa a Lusha segna un passaggio importante nella vigilanza sui data broker: non basta presentare un’informazione come professionale per renderla liberamente commerciabile. Se un database raccoglie dati da molte fonti, li aggiorna, li arricchisce e li rende disponibili a pagamento, il trattamento deve reggere a un controllo pieno su liceità, trasparenza, minimizzazione e aspettative ragionevoli degli interessati.

Per imprese e fornitori di marketing è un segnale operativo: ogni lista contatti deve avere una storia documentabile. Per i cittadini è un promemoria altrettanto concreto: quando una chiamata o una mail arriva da una fonte sconosciuta, chiedere l’origine del dato non è una formalità, ma il primo passo per capire chi sta usando le proprie informazioni.