Il provvedimento del Garante

Il Garante per la protezione dei dati personali ha inflitto una sanzione da 2 milioni di euro a Lusha Systems Inc., societ? statunitense che commercializza dati di contatto e informazioni professionali attraverso una piattaforma di data brokerage. Nel provvedimento diffuso il 27 luglio 2026, l'Autorit? ha anche disposto il divieto di ulteriori trattamenti dei dati relativi a interessati presenti sul territorio italiano e la cancellazione delle informazioni raccolte in assenza di un'adeguata base giuridica.

Le contestazioni formulate

Secondo il Garante, la societ? ha trattato dati personali in violazione dei principi di liceit?, correttezza, trasparenza e minimizzazione previsti dal GDPR. L'istruttoria ha rilevato che sulla piattaforma erano presenti informazioni riferite anche a figure istituzionali, personale della pubblica amministrazione, forze dell'ordine e magistratura. L'Autorit? ha inoltre escluso che il legittimo interesse invocato dalla societ? fosse, in questo caso, una base giuridica sufficiente.

Perch? il caso ? rilevante

La decisione rafforza l'orientamento secondo cui il GDPR pu? applicarsi anche a operatori extra-UE quando il trattamento riguarda persone presenti in Italia e include attivit? assimilabili al monitoraggio, come l'aggiornamento e il controllo nel tempo dei dati disponibili online. Il caso Lusha si inserisce cos? nel dibattito europeo sul ruolo dei data broker e sui limiti della raccolta massiva di dati personali per finalit? commerciali.

La notizia ? stata confermata da fonti indipendenti e istituzionali, tra cui il comunicato del Garante e un lancio ANSA del 27 luglio 2026.