Lusha vendeva i vostri dati: multa da 2 milioni dal Garante e cancellazione totale

Un numero di telefono, un indirizzo email ricostruito e la posizione lavorativa indicata su un social network possono sembrare informazioni innocue se considerate separatamente. Quando un data broker le raccoglie, le collega alla stessa persona, le aggiorna ogni settimana e le vende a clienti interessati a marketing, recruiting o prevenzione delle frodi, però, nasce un archivio capace di seguire nel tempo centinaia di migliaia di professionisti. Il Garante per la protezione dei dati personali ha contestato proprio questo modello a Lusha Systems Inc., società statunitense specializzata nella fornitura di contatti commerciali, imponendo una sanzione da 2 milioni di euro, il divieto di proseguire i trattamenti illeciti in Italia e la cancellazione dei dati raccolti senza una base giuridica adeguata.

L’intervento, formalizzato con il provvedimento n. 542 del 14 luglio 2026 e comunicato il 27 luglio, affronta un problema che accompagna il commercio dei dati professionali da ben prima dell’entrata in vigore del GDPR, applicabile dal 25 maggio 2018. I moderni servizi di sales intelligence aggregano fonti pubbliche, contributi degli utenti, database acquistati, account di posta elettronica e algoritmi capaci di dedurre indirizzi mancanti. Il risultato non è più un semplice elenco telefonico: è una raccolta dinamica, interrogabile e continuamente corretta.

L’indagine del Garante Privacy italiano e le modalità di gestione dei data broker in Europa

L’istruttoria italiana è partita nell’aprile 2025, dopo la pubblicazione di articoli che segnalavano sulla piattaforma i recapiti di importanti cariche dello Stato. Il Garante ha poi ricevuto un reclamo e una segnalazione da persone raggiunte da chiamate o messaggi pubblicitari indesiderati. Chiedendo agli inserzionisti da dove provenissero i recapiti, gli interessati avevano scoperto che le informazioni risultavano disponibili su Lusha senza che avessero mai instaurato un rapporto con la società.

La vicenda rende concreto un limite già evidente nella disciplina europea dei data broker: il GDPR riconosce diritti di accesso, opposizione e cancellazione molto estesi, ma per esercitarli la persona deve prima sapere quale impresa abbia raccolto i suoi dati.

La California ha seguito una strada diversa: ha imposto ai data broker di registrarsi pubblicamente e ha attivato una piattaforma dalla quale il cittadino può presentare un’unica richiesta di cancellazione, senza dover individuare e contattare separatamente ogni società.

Che cos’è Lusha e perché i suoi dati hanno un importante valore commerciale

Lusha offre alle imprese un database di contatti professionali: gli utenti possono cercare persone in base a criteri quali azienda, ruolo, localizzazione, anzianità professionale, indirizzo email e numero telefonico. La piattaforma distingue i Customers, cioè i clienti registrati al servizio, dai Contacts: persone fisiche censite nell’archivio anche quando non conoscono Lusha e non ne hanno mai utilizzato i prodotti.

Il valore commerciale nasce dall’arricchimento dei dati. Un nome associato a un’azienda può essere completato con la qualifica, il luogo di lavoro, un recapito telefonico e un indirizzo email professionale. Informazioni frammentarie, magari distribuite tra LinkedIn, siti aziendali e firme delle email, confluiscono così in una scheda univoca pronta per attività di vendita, marketing B2B, selezione del personale, analisi commerciale o controlli antifrode.

Secondo quanto dichiarato dalla società durante l’istruttoria, le schede venivano sottoposte a verifiche incrociate e aggiornate con frequenza almeno settimanale. In pratica, il sistema non si limitava a fotografare la posizione lavorativa di una persona in un determinato momento: controllava se quella posizione fosse cambiata, se il professionista avesse lasciato l’azienda, assunto un nuovo incarico o modificato la propria localizzazione.

Da dove arrivavano email, numeri di telefono e informazioni professionali

Lusha ha indicato numerose fonti di acquisizione. Una parte delle informazioni proveniva da pagine accessibili pubblicamente, come profili professionali sui social network, blog, forum e siti aziendali. Altri dati arrivavano da fornitori specializzati, società collegate e partner commerciali. Fin qui il modello ricorda quello di molti data broker; l’istruttoria, però, ha evidenziato meccanismi più invasivi.

Il Community Program consentiva ai membri di condividere informazioni presenti nella propria rete professionale, comprese intestazioni delle email, blocchi firma, nomi di clienti, aziende, qualifiche, numeri telefonici e indirizzi di posta. In alcune configurazioni Lusha poteva inoltre accedere ai calendari, rilevando titoli delle riunioni, partecipanti e relativi recapiti.

Il servizio cercava di derivare e ricostruire gli indirizzi email

Quando un utente autorizzava le funzioni collegate alla posta elettronica, il servizio acquisiva dati tramite le API di Google o Microsoft. L’estensione per il browser poteva invece operare durante la consultazione di LinkedIn. A tutto ciò si aggiungeva un algoritmo destinato a ricostruire gli indirizzi email aziendali: conoscendo il dominio di un’impresa e la convenzione adottata, per esempio nome.cognome@azienda.it, il sistema poteva generare il recapito probabile di una persona anche senza trovarlo pubblicato in chiaro. A suo tempo avevamo parlato delle tecniche per trovare l’indirizzo email di qualunque persona.

Va detto però che un indirizzo tecnicamente prevedibile non diventa per tale ragione liberamente utilizzabile. La possibilità di dedurre un dato non elimina la necessità di individuare una base giuridica, rispettare il principio di trasparenza e verificare che la successiva comunicazione a terzi risulti compatibile con le ragionevoli aspettative dell’interessato.

Il Garante ha inoltre respinto l’idea che tutte le informazioni derivassero da fonti pubbliche. Email, calendari, intestazioni dei messaggi e firme aziendali appartengono spesso a comunicazioni interpersonali: il destinatario di una email può leggere quei dati per gestire il rapporto in corso, ma non acquisisce automaticamente il diritto di trasferirli a un data broker affinché li rivenda a un numero indefinito di clienti.

Perché il GDPR si applica anche a una società senza sede nell’Unione

Lusha ha sostenuto di non rientrare nell’ambito territoriale del GDPR perché non possiede alcuna sede nell’Unione europea e offre servizi destinati alle imprese, non ai consumatori. La società affermava inoltre di avere adottato volontariamente le regole europee come standard di riferimento, senza riconoscere che fossero obbligatorie.

Il punto è che l’articolo 3, paragrafo 2, del GDPR estende l’applicazione del Regolamento anche ad alcuni titolari stabiliti fuori dall’UE. Uno degli scenari riguarda proprio il monitoraggio degli interessati mentre si trovano nell’Unione: non serve quindi che il server, la sede legale o il personale del fornitore si trovino fisicamente in Europa.

Un data broker extraeuropeo non può quindi ritenersi escluso dagli obblighi del GDPR solo perché vende un prodotto B2B o perché i soggetti censiti non coincidono con i clienti paganti. La tutela riguarda le persone cui appartengono i dati, non la sola natura contrattuale del servizio.

Accertata l’applicabilità dell’articolo 3, il Garante ha richiamato anche l’obbligo previsto dall’articolo 27: il titolare non stabilito nell’Unione, quando ricorrono le condizioni previste dal GDPR, deve designare per iscritto un rappresentante nell’UE.

Il legittimo interesse non è un’autorizzazione generale

Lusha indicava come base giuridica il legittimo interesse previsto dall’articolo 6, paragrafo 1, lettera f), del GDPR. Tale fondamento consente di trattare dati senza consenso quando il titolare persegue un interesse legittimo, il trattamento risulta necessario e i diritti dell’interessato non prevalgono.

Una corretta Legitimate Interest Assessment, spesso abbreviata in LIA, dovrebbe individuare con precisione l’interesse perseguito, dimostrare che non esistano mezzi meno invasivi e valutare conseguenze, aspettative e garanzie per le persone coinvolte.

Nel caso esaminato, l’Autorità ha considerato determinante la combinazione di più fattori: l’enorme quantità di dati, l’origine eterogenea delle informazioni, il trasferimento a clienti terzi, l’assenza di un rapporto diretto tra Lusha e le persone censite, la difficoltà di prevedere gli utilizzi successivi e il rischio di comunicazioni indesiderate. Chi inserisce il proprio ruolo su un social professionale può aspettarsi che altri utenti lo consultino su quella piattaforma; non necessariamente immagina che un soggetto esterno raccolga il dato, lo completi con un numero telefonico e lo venda altrove.

La pubblica accessibilità, del resto, non equivale a un’autorizzazione illimitata. Finalità, scala, combinazione con altre fonti e modalità di distribuzione cambiano la natura del trattamento. Copiare manualmente il recapito di un fornitore per contattarlo in relazione al suo lavoro non è la stessa cosa che acquisire milioni di informazioni, organizzarle in un database e renderle interrogabili a pagamento.

Il provvedimento richiama anche gli articoli 129 e 130 del Codice Privacy italiano, che disciplinano rispettivamente gli elenchi di contraenti e le comunicazioni commerciali mediante strumenti elettronici. Quando i recapiti passano a terzi per autonome finalità promozionali, non basta trasferire al cliente finale la responsabilità di usarli correttamente: occorre verificare prima che la raccolta e la cessione dispongano di un fondamento valido.

Nel database comparivano anche rappresentanti istituzionali

Lusha aveva dichiarato di escludere i contatti di persone che ricoprivano incarichi pubblici o che considerava figure pubbliche. Le verifiche hanno però rilevato informazioni riferite a esponenti delle istituzioni, della Pubblica Amministrazione, delle forze dell’ordine e della magistratura. Il provvedimento del Garante cita, tra gli altri, il Presidente della Repubblica Sergio Mattarella, il Vice-Presidente del Consiglio dei Ministri e Ministro Antonio Tajani, il ministro Guido Crosetto, tutti espressamente indicati con le loro qualifiche istituzionali, nonché il già ministro e poi Vicepresidente della Commissione europea Raffale Fitto; la deputata Chiara Appendino e il senatore Stefano Patuanelli; i commissari dell’Autorità per le Garanzie nelle Comunicazioni Elisa Giomi e Massimiliano Capitanio; Saverio Valentino, componente dell’Autorità Garante della Concorrenza e del Mercato. Ancora, tra i vari contatti rinvenuti nel database si rilevava la presenza del cancelliere tedesco Friedrich Merz e della ex cancelliera Angela Merkel.

La presenza di tali schede ha evidenziato un problema di privacy by design. Se il titolare stabilisce che una determinata categoria non deve entrare nel database, deve tradurre la scelta in filtri, controlli, procedure di verifica e revisioni periodiche realmente efficaci. Una regola dichiarata nell’informativa o nei documenti interni non serve molto quando il sistema continua a raccogliere proprio i dati che dovrebbe scartare.

Per il Garante, l’incapacità di escludere informazioni giudicate dalla stessa società non pertinenti ha violato il principio di minimizzazione e l’articolo 25 del GDPR.

La sanzione da 2 milioni e l’ordine di cancellazione

Il Garante ha dichiarato illeciti i trattamenti per la violazione degli articoli 5, 6, 12 e 25 del GDPR. La sanzione amministrativa ammonta a 2 milioni di euro, pari al 10% del massimo applicabile individuato nel caso concreto. Per calcolare il limite, l’Autorità ha considerato il gruppo societario e il bilancio consolidato della controllante, seguendo le linee guida europee sul concetto di impresa.

Nella quantificazione hanno pesato la natura commerciale delle operazioni, il coinvolgimento di un numero elevato di persone in Italia e il carattere strutturale, non episodico, della raccolta. Tra gli elementi attenuanti figurano invece l’assenza di precedenti provvedimenti del Garante, la cooperazione durante l’istruttoria e il fatto che il trattamento non riguardasse formalmente categorie particolari di dati o informazioni su condanne penali.

La parte economicamente più visibile è la multa, ma la misura più incisiva riguarda il database. Lusha non può proseguire il trattamento dei dati delle persone presenti in Italia quando li ha acquisiti senza una base giuridica adeguata e deve cancellarli. La società deve inoltre comunicare al Garante, entro 60 giorni dalla notifica, come ha dato corso al divieto e all’ordine di rimozione.

La sanzione interviene dopo il danno: il limite del modello europeo

L’intervento del Garante mostra che le Autorità europee dispongono di strumenti incisivi: possono vietare il trattamento, ordinare la cancellazione e applicare sanzioni proporzionate alle dimensioni dell’impresa.

Rimane però un limite importante: il controllo scatta per segnalazione ovvero, spesso, quando una persona presenta un reclamo, un giornale porta alla luce il database oppure un’autorità avvia un’indagine; nel frattempo, gli interessati possono ignorare per anni chi abbia raccolto e ceduto i loro recapiti.

È la differenza tra riconoscere un diritto e costruire il meccanismo necessario per esercitarlo facilmente. In Europa il cittadino deve generalmente individuare il titolare, verificare quali dati possieda, presentare una richiesta e, se necessario, contestare una risposta incompleta. Il modello californiano non sostituisce le garanzie del GDPR, ma introduce due strumenti molto pragmatici: un registro pubblico obbligatorio e una richiesta centralizzata di cancellazione attraverso DROP (Delete Request and Opt-out Platform).

Il caso Lusha suggerisce quindi una possibile evoluzione anche per l’Unione europea. Non servirebbe ridurre le tutele già previste dal GDPR; occorrerebbe affiancarle con una struttura che renda visibile il mercato dei dati personali. Chi raccoglie informazioni da soggetti con i quali non intrattiene un rapporto diretto dovrebbe dichiararsi, descrivere le proprie fonti e offrire un canale interoperabile per accesso, opposizione e cancellazione. Senza una simile mappa, una parte dell’onere continua a ricadere proprio su chi non sa di essere stato inserito in un database.