Dati personali monitorati e venduti: multa per una società

Società multata dal ‘Garante per la privacy’ (provvedimento del 14 luglio 2026) per avere monitorato e venduto i dati di un elevato numero di persone.
Nello specifico, una di 2milioni di euro è stata irrogata a ‘Lusha Systems Inc.’, ‘data broker’ statunitense, che tramite la propria piattaforma fornisce, a pagamento, informazioni arricchite relative a persone fisiche, come la posizione lavorativa, gli indirizzi e-mail e i numeri di telefono.
Tale società raccoglie da più fonti tali dati – ad esempio, attraverso attività di ‘scraping’ (cioè usando un programma informatico per estrarre in modo automatico dati e informazioni da internet) dai ‘social network’ e attraverso l’acquisto da altri ‘data broker’ – e li mette a disposizione dei clienti della piattaforma per finalità commerciali o anti-frode.
Tra le informazioni disponibili sulla piattaforma vi erano, si è appurato, anche quelle relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura.
La società ha trattato i dati personali di un elevato numero di persone presenti sul territorio italiano in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. In particolare, l’informativa fornita ai soggetti non risultava chiara e facilmente accessibile. Inoltre, con riferimento al fondamento di liceità del trattamento, il ‘Garante’ ha ritenuto che il perseguimento del legittimo interesse non fosse un’adeguata base giuridica.
Nel definire il procedimento, poi, il ‘Garante’ ha affermato che il regolamento europeo per la protezione dei dati si applica anche al trattamento dei dati personali dei soggetti censiti nell’archivio di ‘Lusha’, società priva di uno stabilimento in Unione Europea, in quanto tale trattamento ricade nell’ambito del criterio del monitoraggio previsto dal regolamento europeo. Infatti, ‘Lusha’ non si limita alla raccolta delle informazioni professionali, ma ne cura anche l’aggiornamento e il controllo nel tempo, operazioni, queste, che integrano quindi un’attività di monitoraggio dei comportamenti e delle posizioni personali dei soggetti su internet, configurando un vero e proprio tracciamento rilevante alla luce del regolamento europeo.
Accertata l’illiceità della condotta posta in essere da ‘Lusha’ e ritenuto che i trattamenti, ancora in corso, fossero privi di una valida base giuridica fin dall’origine, il ‘Garante’ ha vietato alla società di trattare i dati personali dei soggetti presenti sul territorio italiano e ne ha ordinato la cancellazione.