Il Garante per la protezione dei dati personali ha inflitto una sanzione amministrativa da 2 milioni di euro a Lusha Systems Inc., societa statunitense attiva nel mercato dei dati commerciali, contestando il trattamento illecito di dati personali riferiti a persone presenti in Italia.

Secondo il provvedimento dell'Autorita, la piattaforma raccoglieva e arricchiva informazioni come ruolo professionale, indirizzi email e numeri di telefono, combinando dati ottenuti da scraping dei social network e da altri data broker, per poi rivenderli a clienti con finalita commerciali e di anti-frode.

Le contestazioni del Garante

Nel testo del provvedimento, pubblicato il 27 luglio 2026, il Garante afferma che il trattamento violava i principi di liceita, correttezza, trasparenza e minimizzazione previsti dal GDPR. L'Autorita ha inoltre ritenuto inidoneo il richiamo al legittimo interesse come base giuridica del trattamento.

Tra gli elementi valorizzati dall'istruttoria c'e anche la presenza, nei dataset resi disponibili dalla piattaforma, di informazioni riferite a figure istituzionali, personale della pubblica amministrazione, forze dell'ordine e magistratura. Oltre alla sanzione economica, il Garante ha vietato a Lusha di trattare i dati degli interessati presenti sul territorio italiano e ne ha ordinato la cancellazione.

Il profilo regolatorio

La decisione e rilevante anche sotto il profilo territoriale: l'Autorita sostiene che il GDPR si applica a Lusha pur in assenza di uno stabilimento nell'Unione europea, in quanto l'attivita di raccolta, aggiornamento e organizzazione dei dati integra una forma di monitoraggio delle persone online.

La notizia e stata ripresa anche da ANSA, che ha confermato la sanzione e i rilievi dell'Autorita italiana. Il caso si inserisce nel crescente scrutinio europeo verso i data broker e verso i modelli di raccolta massiva di dati professionali senza un consenso esplicito o un'altra base giuridica solida.

Implicazioni per il mercato dei data broker

Il procedimento segnala una linea di maggiore severita verso i servizi che costruiscono profili commerciali partendo da dati pubblicamente reperibili o acquistati da terzi. Per le imprese che operano nel settore, il messaggio regolatorio e duplice: la disponibilita tecnica dei dati non equivale alla liceita del trattamento, e la profilazione continuativa puo far scattare pienamente i criteri di applicazione extraterritoriale del GDPR.