Il Garante per la protezione dei dati personali ha inflitto una sanzione amministrativa da 2 milioni di euro a Lusha Systems Inc., società statunitense specializzata nell’attività di data brokering, disponendo anche il divieto di trattare i dati personali degli interessati presenti sul territorio italiano e ordinandone la cancellazione.
Il provvedimento rappresenta uno degli interventi più significativi degli ultimi mesi nei confronti del mercato dei data broker, aziende che raccolgono, aggregano e commercializzano informazioni personali provenienti da fonti diverse per finalità commerciali, di marketing e di verifica delle identità.
Come funzionava la piattaforma Lusha
Secondo quanto ricostruito dal Garante, Lusha metteva a disposizione dei propri clienti, dietro pagamento, informazioni “arricchite” riguardanti persone fisiche.
Tra i dati disponibili figuravano posizione lavorativa, indirizzi e-mail, numeri di telefono e altre informazioni professionali, raccolte attraverso diverse modalità, tra cui attività di scraping dei social network e l’acquisto di banche dati da altri data broker.
L’archivio comprendeva anche informazioni riferite a figure particolarmente sensibili, tra cui rappresentanti delle istituzioni, dirigenti della pubblica amministrazione, appartenenti alle forze dell’ordine e magistrati.
Le violazioni contestate
L’Autorità ha accertato che la società ha trattato i dati personali di un elevato numero di persone presenti in Italia in violazione dei principi fondamentali del Regolamento generale sulla protezione dei dati (GDPR).
In particolare, il Garante ha contestato la mancanza di trasparenza nei confronti degli interessati, evidenziando come l’informativa privacy non fosse chiara né facilmente accessibile.
Ancora più rilevante è la valutazione relativa alla base giuridica del trattamento. Lusha aveva fondato le proprie attività sul legittimo interesse, ma il Garante ha ritenuto che tale presupposto non fosse idoneo a giustificare una raccolta e una successiva commercializzazione così estesa dei dati personali.
Il GDPR si applica anche fuori dall’Unione europea
Uno degli aspetti più interessanti della decisione riguarda l’applicazione extraterritoriale del GDPR.
Pur non avendo alcuno stabilimento nell’Unione europea, Lusha è stata ritenuta soggetta al Regolamento europeo perché la propria attività rientra nel criterio del monitoraggio dei comportamenti previsto dall’articolo 3 del GDPR.
Secondo il Garante, infatti, la società non si limitava a raccogliere informazioni professionali, ma ne curava l’aggiornamento continuo, il controllo e la verifica nel tempo, realizzando un’attività sistematica di monitoraggio delle persone su Internet.
Questa attività costituisce un vero e proprio tracciamento degli interessati e rende quindi applicabile la normativa europea anche a un operatore con sede negli Stati Uniti.
Un segnale forte contro il mercato dei data broker
Oltre alla sanzione economica, il provvedimento produce effetti immediati sull’attività della società nei confronti degli utenti italiani.
Il Garante ha infatti vietato ogni ulteriore trattamento dei dati personali riferiti agli interessati presenti sul territorio nazionale e ha ordinato la cancellazione delle informazioni raccolte in assenza di una valida base giuridica.
La decisione conferma l’attenzione crescente delle autorità europee verso il settore dei data broker, sempre più al centro del dibattito sulla tutela della privacy, sulla trasparenza dei trattamenti e sull’utilizzo commerciale dei dati personali.
Per imprese e professionisti che acquistano banche dati o servizi di lead generation, il provvedimento rappresenta anche un richiamo alla necessità di verificare con attenzione la liceità della provenienza dei dati e il rispetto degli obblighi previsti dal GDPR, evitando di utilizzare informazioni raccolte attraverso modalità incompatibili con la normativa europea.
