La sanzione del Garante per la protezione dei dati personali

Il Garante per la protezione dei dati personali ha inflitto una sanzione di 2 milioni di euro a Lusha Systems Inc., data broker statunitense specializzato nella raccolta e commercializzazione di informazioni personali. La società fornisce dati arricchiti relativi a persone fisiche, inclusi posizione lavorativa, indirizzi email e numeri di telefono, attraverso la propria piattaforma a pagamento.

Le violazioni accertate

Secondo quanto riportato nel comunicato stampa ufficiale del Garante, Lusha ha trattato i dati personali di un elevato numero di persone presenti in Italia in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione previsti dal GDPR. Le informazioni venivano raccolte attraverso attività di scraping dai social network e acquisti da altri data broker. Nell'archivio della società erano presenti anche dati sensibili relativi a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell'ordine e della magistratura italiana.

Il mancato consenso e l'informativa inadequata

Per il Garante, l'informativa fornita alle persone interessate non risultava chiara né facilmente accessibile. La società non avrebbe quindi consentito agli utenti di comprendere in modo trasparente quali informazioni fossero raccolte, da quali fonti e per quali finalità. Lusha aveva indicato il perseguimento del legittimo interesse come base giuridica per il trattamento, ma l'Autorità ha ritenuto tale fondamento non adeguato.

Applicabilità del GDPR anche senza sede nell'UE

Un aspetto rilevante del provvedimento riguarda l'applicabilità extraterritoriale del GDPR. Secondo il Garante, il Regolamento si applica alle attività di Lusha perché la società non si limita a raccogliere informazioni professionali, ma ne cura l'aggiornamento e il controllo nel tempo, configurando un vero e proprio tracciamento dei comportamenti online degli interessati.

Le misure imposte

Oltre alla sanzione economica, il provvedimento impone a Lusha di interrompere il trattamento dei dati personali riferiti agli interessati presenti in Italia e di procedere alla cancellazione delle informazioni già inserite nei propri archivi.