Il Garante per la protezione dei dati personali ha sanzionato Lusha Systems Inc. con una multa da 2 milioni di euro e ha ordinato alla societa di interrompere il trattamento dei dati riferiti agli interessati presenti in Italia, disponendone anche la cancellazione. Il provvedimento riguarda l attivita del data broker statunitense, che commercializza informazioni professionali e di contatto attraverso una piattaforma a pagamento.

La misura e stata confermata sia dal provvedimento pubblicato sul sito del Garante, datato 14 luglio 2026, sia dal comunicato stampa diffuso il 27 luglio e ripreso da ANSA. Secondo l Autorita, la societa ha trattato dati personali di un elevato numero di persone in violazione dei principi di liceita, correttezza, trasparenza e minimizzazione previsti dal GDPR.

Le contestazioni del Garante

Lusha raccoglie informazioni da fonti differenti, inclusi social network e altri broker, per poi aggregarle e rivenderle a clienti interessati a finalita commerciali o antifrode. Nel materiale richiamato dal Garante compaiono anche dati relativi a esponenti delle istituzioni, della pubblica amministrazione, delle forze dell ordine e della magistratura.

L Autorita ha ritenuto non adeguata la base giuridica del legittimo interesse invocata dalla societa e ha giudicato insufficiente l informativa resa agli interessati. Il cuore della decisione e che i trattamenti contestati non sarebbero stati leciti fin dall origine.

Implicazioni per il mercato dei data broker

Un punto centrale del provvedimento riguarda l applicazione del GDPR a una societa senza stabilimento nell Unione europea. Per il Garante, il modo in cui Lusha aggiorna, controlla e arricchisce nel tempo le informazioni configura un attivita di monitoraggio tale da far scattare comunque la disciplina europea.

La decisione rappresenta un segnale rilevante per l intero settore dei data broker e per le aziende che acquistano basi dati di terzi. Oltre alla sanzione economica, il divieto di ulteriore trattamento e l ordine di cancellazione indicano che le autorita europee intendono intervenire anche sui modelli di raccolta e rivendita dei dati quando non risultano fondati su presupposti giuridici adeguati.