Ordinanza ingiunzione o revoca n. 542 del 14/07/2026

Lusha Systems Inc. – trattamento illecito di dati di contatto in un database B2B

Il provvedimento riguarda la società statunitense Lusha Systems Inc., titolare di una piattaforma che raccoglie, arricchisce, aggiorna e rende disponibili a clienti B2B dati di contatto di persone fisiche. L’istruttoria è nata da segnalazioni stampa, reclami e segnalazioni di interessati che hanno scoperto la presenza dei propri dati nella piattaforma e il loro utilizzo da parte di terzi.

Origine del procedimento e trattamenti esaminati

L’Ufficio ha avviato una richiesta di informazioni ai sensi dell’art. 157 del Codice chiedendo elementi sul numero di interessati italiani, sulle fonti di raccolta, sulla base giuridica e sulla documentazione di valutazione d’impatto e LIA. La società ha descritto un modello basato su:

• raccolta da fonti pubbliche online, social network, blog, forum, vendor e partner;
• Community Program, con contributi dei membri e accesso a email e calendari;
• integrazioni con servizi email e CRM;
• algoritmi per ricostruire indirizzi email;
• costante aggiornamento settimanale delle schede contatto.

Applicabilità territoriale del GDPR

Lusha sosteneva di non essere soggetta al GDPR né al Codice privacy, richiamando l’assenza di stabilimento nell’UE e negando l’applicabilità dell’art. 3, par. 2, GDPR. Il Garante ha invece ritenuto che il regolamento si applichi ai trattamenti dei contatti situati nell’UE, perché:

• la piattaforma è accessibile anche a persone fisiche nell’Unione;
• il servizio è offerto anche a interessati europei;
• la raccolta e l’aggiornamento continuo dei dati integrano un monitoraggio del comportamento lavorativo ai sensi dell’art. 3, par. 2, lett. b), GDPR.

L’Autorità ha chiarito che non è necessario che vi sia profilazione in senso tecnico: il tracciamento costante della posizione lavorativa, delle modifiche e della permanenza nel database è sufficiente a integrare il monitoraggio. Da ciò deriva anche l’applicabilità del Codice privacy.

Trasparenza e informativa

Il Garante ha ritenuto violati i principi di trasparenza e correttezza di cui all’art. 5, par. 1, lett. a), e agli artt. 12 e 13 GDPR, perché l’informativa sul sito non chiariva in modo adeguato la base giuridica della raccolta dei dati dei Contatti e non descriveva in modo sufficientemente chiaro e accessibile il trattamento. È stato rilevato che le informazioni erano distribuite tra più documenti, in inglese, non immediatamente accessibili dalla home page.

Sul tema del rappresentante UE, l’Autorità ha preso atto del chiarimento difensivo della società e ha ritenuto di condividere il più recente inquadramento, considerandolo rappresentante nell’Unione. Per tale aspetto specifico è stata quindi archiviata la contestazione ex art. 13, par. 1, lett. a) e c), mentre è stata confermata la violazione degli artt. 5, par. 1, lett. a), e 12 GDPR.

Informazione agli interessati che hanno presentato reclamo o segnalazione

Per due fascicoli specifici, la società ha prodotto elementi per dimostrare l’invio dell’informativa ai rispettivi interessati. L’Autorità ha ritenuto di non disporre di elementi sufficienti per confermare la contestazione relativa alla mancata informazione e ha quindi archiviato la violazione degli artt. 5, par. 1, lett. a), e 14 GDPR limitatamente a tali casi.

Base giuridica e legittimo interesse

Il cuore del provvedimento riguarda la non adeguatezza del legittimo interesse quale base giuridica per il trattamento dei dati dei Contatti. Lusha sosteneva che il trattamento fosse giustificato dal proprio interesse economico e da quello dei clienti a svolgere attività di vendita, marketing, recruiting e antifrode.

Il Garante ha svolto il test tripartito richiesto dall’art. 6, par. 1, lett. f), GDPR e dalla giurisprudenza della Corte di giustizia:

• l’interesse alla messa a disposizione dei dati per finalità commerciali di terzi non è stato ritenuto legittimo, poiché in materia di comunicazioni promozionali verso terzi l’ordinamento richiede il consenso;
• la raccolta è stata ritenuta non strettamente necessaria, perché sono stati acquisiti numerosi dati eccedenti rispetto alla finalità dichiarata;
• il bilanciamento con i diritti e le libertà degli interessati è risultato negativo, in considerazione dell’assenza di rapporti con la società, della mancanza di ragionevoli aspettative, della portata del trattamento e dell’impatto sulla sfera privata e professionale.

Per la finalità antifrode, l’Autorità ha riconosciuto la possibilità astratta di fondare un trattamento su tale interesse, ma ha escluso che, nel caso concreto, fosse dimostrata la necessità di trasferire ai clienti un insieme così ampio di dati personali.

Minimizzazione e raccolta di dati eccedenti

È stata accertata la violazione dell’art. 5, par. 1, lett. c), GDPR per il principio di minimizzazione. Il Garante ha ritenuto eccedenti, rispetto alla mera creazione di una scheda contatto, i dati provenienti da:

• calendari dei membri della Community Program;
• intestazioni, oggetti e contenuti di email;
• integrazioni con CRM e account di posta;
• dati di navigazione;
• fonti terze e partner non direttamente controllabili dagli interessati.

La società non ha dimostrato che tali informazioni fossero strettamente necessarie né che il trattamento fosse proporzionato alla finalità dichiarata.

Dati di soggetti pubblici e data protection by design/by default

L’Autorità ha dato rilievo alla presenza nel database di dati di figure istituzionali e soggetti pubblici di rilievo, anche apicali, italiani e stranieri. Lusha ha spiegato che tali presenze erano dovute a una lacuna tecnica nell’algoritmo di esclusione e che successivamente aveva rimosso i profili del settore pubblico italiano.

Il Garante ha però concluso che la società non disponeva di misure tecniche e organizzative adeguate a impedire la raccolta di tali dati, con violazione degli artt. 5, par. 1, lett. c), e 25 GDPR. Ha quindi confermato la carenza di data protection by design e by default.

Misure volontarie e loro irrilevanza ai fini del bilanciamento

La società aveva introdotto misure di mitigazione, come:

• un sistema basato su crediti per evitare ricerche libere e massive;
• un periodo di opt-out volontario di 7 giorni, poi esteso a 14 giorni;
• la progressiva dismissione del Community Program in Italia;
• il blocco dell’accesso da IP italiani e domini riconducibili a organizzazioni italiane;
• controlli ulteriori su soggetti pubblici.

Il Garante ha ritenuto che tali misure non fossero sufficienti a ribaltare il bilanciamento, perché il sistema dei crediti dipende comunque dalla disponibilità economica dei clienti e il periodo di riflessione è stato giudicato troppo breve e poco efficace, anche per la scarsa affidabilità dell’informativa inviata via email.

Misure correttive e sanzione

Concluso che il trattamento dei dati dei Contatti in Italia era illecito ab origine per mancanza di un’adeguata base giuridica, il Garante ha disposto:

• il divieto di ogni ulteriore trattamento dei dati degli interessati che si trovano nel territorio italiano acquisiti in assenza di adeguata base giuridica;
• la cancellazione di tali dati;
• l’obbligo di comunicare l’adempimento entro 60 giorni dalla notifica.

Sul piano sanzionatorio, l’Autorità ha applicato l’art. 83 GDPR, individuando il massimo edittale in 20.000.000 euro e irrogando una sanzione di 2.000.000 euro. La quantificazione ha tenuto conto della gravità e della natura strutturale della violazione, dell’elevato numero di interessati coinvolti, della colpa, della cooperazione della società, dell’assenza di precedenti, dell’assenza di dati particolari o di condanne penali, delle certificazioni e del contesto economico del mercato di riferimento.

Esiti finali

Sono state confermate le violazioni degli artt. 5, par. 1, lett. a) e c), 6, 12 e 25 GDPR, mentre sono state archiviate le contestazioni relative agli artt. 7, 13, 14 GDPR e all’art. 129 del Codice privacy. È stata inoltre disposta la pubblicazione del provvedimento e dell’ordinanza ingiunzione sul sito del Garante.