Il Garante per la protezione dei dati personali ha inflitto una sanzione di 2 milioni di euro a Lusha Sistems per la violazione del GDPR (Regolamento generale sulla protezione dei dati). L’azienda statunitense ha raccolto i dati di numerosi cittadini italiani, inclusi personaggi pubblici, senza il loro consenso esplicito. Tali informazioni vengono fornite a pagamento ai clienti attraverso la propria piattaforma.
Lusha effettua un tracciamento dei cittadini italiani
In seguito ad alcuni articoli di stampa che segnalavano la presenza dei numeri di telefono delle più importanti cariche della Repubblica italiana all’interno della piattaforma, il Garante ha avviato un’istruttoria nei confronti di Lusha Systems. L’autorità ha successivamente ricevuto un reclamo e una segnalazione da parte di interessati che, dopo essere stati destinatari di messaggi e chiamate pubblicitarie indesiderate, hanno scoperto che i loro dati risultavano disponibili sulla piattaforma in assenza di un loro consenso.
All’inizio di dicembre 2025, il Garante ha comunicato che il procedimento era ancora in corso e ora è disponibile l’esito finale. L’azienda di Boston ha confermato che raccoglie le informazioni da più fonti, tra cui social network e acquisto da altri data broker. Nel suo database ci sono nomi, indirizzi email, numeri di telefono e qualifica professionale.
Lusha afferma che gli interessati vengono informati via email, i dati degli interessati che hanno esercitato opposizione vengono rimossi e i dati di chi ricopre cariche pubbliche o sono personaggi pubblici vengono esclusi dal database. In realtà, durante l’istruttoria sono stati trovati i dati di ministri, deputati, senatori e commissari AGCOM, oltre a quelli del Presidente della Repubblica.
Lusha ritiene di non essere soggetta al GDPR perché non ha sede in Europa e comunque il legittimo interesse è una valida base giuridica per la raccolta dei dati. Il Garante ha stabilito la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. Il legittimo interesse non è una valida base giuridica, ma deve essere chiesto il consenso esplicito. Inoltre, l’informativa fornita agli interessati non è chiara e facilmente accessibile.
L’autorità ha accertato che Lusha non si limita alla raccolta delle informazioni, ma ne cura anche l’aggiornamento e il controllo nel tempo. Si tratta in pratica di un’attività di monitoraggio continuo degli interessati su Internet, quindi un vero e proprio tracciamento.
Il Garante ha pertanto inflitto una sanzione di 2 milioni di euro e ordinato a Lusha di cancellare tutti i dati degli interessati presenti sul territorio italiano.
Ti potrebbe interessare
28 lug 2026