Il Garante per la protezione dei dati personali ha inflitto una sanzione da 2 milioni di euro a Lusha Systems e ha disposto il divieto di trattamento e la cancellazione dei dati riferiti a persone presenti in Italia. Il provvedimento riguarda l'attività della piattaforma, nota per offrire a pagamento informazioni professionali e di contatto arricchite.

Le contestazioni dell'autorità

Secondo il Garante, la società avrebbe raccolto e aggiornato dati personali attraverso scraping, acquisto da altri broker e attività di monitoraggio online senza una base giuridica adeguata. L'autorità ha ritenuto insufficienti anche i profili di trasparenza informativa verso gli interessati.

Perché il caso è significativo

Il provvedimento chiarisce che il GDPR può applicarsi anche a operatori privi di uno stabilimento nell'Unione europea quando il trattamento comporta monitoraggio di soggetti presenti sul territorio italiano. Tra i dati disponibili sulla piattaforma figuravano anche informazioni riferite a esponenti delle istituzioni, della pubblica amministrazione e delle forze dell'ordine.

Gli effetti attesi

Oltre alla sanzione economica, la decisione punta a limitare l'uso commerciale di banche dati costruite senza adeguate garanzie per gli interessati. Per il mercato dei data broker il caso rappresenta un nuovo segnale di attenzione regolatoria verso raccolta massiva, arricchimento e rivendita di informazioni personali.