La vendita di dati personali senza consenso costa cara a Lusha Systems, che si è vista recapitare dal Garante per la protezione dei dati personali una sanzione da 2 milioni di euro. Al centro della vicenda c’è una raccolta massiccia di informazioni riguardanti cittadini italiani, personaggi pubblici compresi, finita poi in vendita sulla piattaforma dell’azienda statunitense. Il tutto senza che gli interessati avessero mai dato il loro via libera esplicito.
Come funzionava il tracciamento dei cittadini italiani
Tutto è partito da alcuni articoli di stampa che avevano segnalato una cosa piuttosto delicata, ovvero la presenza dei numeri di telefono delle più alte cariche dello Stato all’interno del database di Lusha. A quel punto il Garante ha aperto un’istruttoria. Poco dopo sono arrivati anche un reclamo e una segnalazione da parte di persone che, dopo aver ricevuto messaggi e chiamate pubblicitarie indesiderate, avevano scoperto che i propri dati circolavano sulla piattaforma senza che nessuno avesse mai chiesto loro il permesso.
All’inizio di dicembre 2025 l’autorità aveva fatto sapere che il procedimento era ancora aperto. Adesso, invece, c’è l’esito definitivo. L’azienda di Boston ha ammesso di raccogliere le informazioni da fonti diverse, tra cui i social network e l’acquisto da altri data broker. Nel suo archivio finiscono nomi, indirizzi email, numeri di telefono e qualifica professionale delle persone.
La difesa di Lusha e la decisione del Garante
Secondo la versione dell’azienda le cose funzionerebbero in modo trasparente. Gli interessati vengono avvisati via email, chi si oppone viene cancellato e i dati di chi ricopre cariche pubbliche o è un personaggio noto restano fuori dal database. La realtà emersa durante l’istruttoria racconta però un’altra storia. Sono stati trovati i dati di ministri, deputati, senatori e commissari AGCOM, e persino quelli del Presidente della Repubblica.
Lusha ha provato a smarcarsi sostenendo di non essere soggetta al GDPR, dato che la sede non è in Europa, e che comunque il legittimo interesse basterebbe come base giuridica per raccogliere i dati. Il Garante non ha accolto nessuna delle due tesi. Ha invece stabilito la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione. Il legittimo interesse non regge come base giuridica, serve il consenso esplicito. E anche l’informativa fornita alle persone è stata giudicata poco chiara e non facilmente accessibile.
C’è poi un aspetto che pesa parecchio nella decisione. L’autorità ha accertato che Lusha non si limita a raccogliere le informazioni, ma le aggiorna e le controlla nel tempo. In pratica un monitoraggio continuo delle persone su Internet, cioè un vero e proprio tracciamento. Da qui la doppia mossa del Garante, la sanzione da 2 milioni di euro e l’ordine di cancellare tutti i dati degli interessati presenti sul territorio italiano.