Il data broker statunitense raccoglieva informazioni professionali, email e numeri di telefono attraverso social network e altri fornitori. Nell’archivio anche esponenti delle istituzioni, forze dell’ordine e magistratura. Ordinata la cancellazione dei dati.

Il Garante per la protezione dei dati personali ha inflitto una sanzione da 2 milioni di euro a Lusha Systems Inc., società statunitense che raccoglie e vende informazioni personali attraverso la propria piattaforma.

Lusha fornisce a pagamento dati “arricchiti” relativi a persone fisiche, tra cui posizione lavorativa, indirizzi email e numeri di telefono. Le informazioni vengono utilizzate dai clienti della piattaforma per finalità commerciali o antifrode. Secondo quanto accertato dal Garante, la società ha trattato i dati personali di un elevato numero di persone presenti in Italia in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione previsti dal GDPR.

Dati raccolti dai social e acquistati da altri broker

Lusha acquisisce le informazioni da diverse fonti. Tra queste figurano le attività di scraping dei social network, attraverso cui vengono estratti automaticamente dati pubblicati online, e l’acquisto di informazioni da altri data broker.

I dati raccolti vengono successivamente aggregati, aggiornati e messi a disposizione dei clienti della piattaforma. Nell’archivio erano presenti anche informazioni relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura.

Per il Garante, l’informativa fornita alle persone interessate non risultava chiara né facilmente accessibile. La società non avrebbe quindi consentito agli utenti di comprendere in modo trasparente quali informazioni fossero raccolte, da quali fonti e per quali finalità.

Il legittimo interesse non basta

Lusha aveva indicato il perseguimento del legittimo interesse come base giuridica per il trattamento dei dati.

Il Garante ha però ritenuto che questo fondamento non fosse adeguato a giustificare le attività svolte dalla società. L’Autorità ha accertato che i trattamenti, ancora in corso, erano privi di una valida base giuridica fin dall’origine. Da qui la decisione di vietare a Lusha il trattamento dei dati personali delle persone presenti sul territorio italiano e di ordinarne la cancellazione.

Il GDPR si applica anche senza una sede nell’Ue

Uno dei punti centrali del provvedimento riguarda l’applicabilità del GDPR a una società che non dispone di uno stabilimento nell’Unione europea.

Secondo il Garante, il Regolamento europeo si applica comunque alle attività di Lusha perché la società non si limita a raccogliere informazioni professionali, ma ne cura anche l’aggiornamento e il controllo nel tempo. Queste operazioni costituiscono un’attività di monitoraggio delle posizioni personali e dei comportamenti degli interessati su Internet.

Per l’Autorità si tratta quindi di un vero e proprio “tracciamento”, sufficiente a far rientrare il trattamento nell’ambito territoriale del GDPR anche in assenza di una sede europea.

Divieto di trattamento e cancellazione dei dati

Oltre alla sanzione economica da 2 milioni di euro, il Garante ha imposto a Lusha di interrompere il trattamento dei dati personali riferiti agli interessati presenti in Italia. La società dovrà inoltre cancellare le informazioni già inserite nei propri archivi. Il provvedimento interviene così sul modello operativo dei data broker, aziende che raccolgono, incrociano e commercializzano grandi quantità di informazioni personali spesso senza un rapporto diretto con le persone censite.

Vai al sito di Cybersecurity Italia.

L'articolo Garante privacy, multa da 2 milioni a Lusha: monitorati e venduti i dati di migliaia di italiani sembra essere il primo su CyberSecurity Italia.