Due milioni di euro è la cifra che la società statunitense Lusha Systems Inc. dovrà corrispondere a seguito della decisione del Garante per la protezione dei dati personali, che ha sanzionato il data broker per aver monitorato e messo in vendita informazioni personali di migliaia di cittadini italiani in assenza di una base giuridica idonea.
COSA FA E CHI C’È DIETRO AL BUSINESS DELL’INTELLIGENCE COMMERCIALE DI LUSHA
Fondata nel 2016 da Assaf Eisenstein Yoni Tserruya, Lusha Systems Inc. ha sede a Boston ed è controllata al 100% dalla Lusha Systems Ltd.
La società si presenta sul mercato come un sistema di sales intelligence e dati B2B utilizzato da oltre 280.000 team in tutto il mondo, inclusi colossi come Google, Zendesk e Yotpo. Il suo modello di business si basa sulla fornitura di contatti verificati, segnali di acquisto e informazioni aziendali per finalità di marketing e reclutamento, attingendo a un database che vanta oltre 300 milioni di contatti aziendali e 30 milioni di profili societari.
L’accesso a queste informazioni avviene tramite vari piani di abbonamento, che vanno da una versione gratuita con 40 crediti mensili a pacchetti a pagamento come il piano Starter da 37,45 dollari al mese, il piano Pro da 45,45 dollari o il piano Premium da 259,95 dollari, fino a soluzioni personalizzate denominate Scale per le grandi organizzazioni.
Attraverso un’estensione per browser, API o integrazioni con CRM come Salesforce, gli utenti possono visualizzare e scaricare e-mail e numeri di telefono di potenziali prospect.
L’INCHIESTA SUI DATI DEI VERTICI ISTITUZIONALI
L’azione del Garante privacy ha avuto origine nell’aprile 2025, in seguito a segnalazioni giornalistiche che evidenziavano la presenza sulla piattaforma dei numeri di telefono delle più alte cariche della Repubblica Italiana.
Tra i soggetti censiti figuravano – “a titolo meramente esemplificativo” scrive l’Autorità – il presidente della Repubblica Sergio Mattarella, il vicepresidente del Consiglio Antonio Tajani, il ministro della Difesa Guido Crosetto, oltre a esponenti politici e membri di autorità indipendenti come Raffale Fitto, Chiara Appendino, Stefano Patuanelli, Elisa Giomi, Massimiliano Capitanio e Saverio Valentino.
Il Garante privacy ha rilevato la presenza di dati appartenenti anche a figure internazionali come il cancelliere tedesco Friedrich Merz e la ex cancelliera Angela Merkel. Come riportato nel comunicato stampa di ieri dell’Autorità, tra le informazioni disponibili vi erano quelle relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura. L’istruttoria ha inoltre preso le mosse da reclami di cittadini che si erano scoperti inseriti nel database di Lusha senza aver mai fornito il proprio consenso.
IL MONITORAGGIO DEL COMPORTAMENTO E IL NODO DELLA BASE GIURIDICA
Lusha raccoglie i dati personali attraverso diverse modalità, tra cui lo scraping da social network come LinkedIn, l’acquisto da altri fornitori e il proprio Community Program, che permette di estrarre dettagli di contatto dalle rubriche e dalle e-mail dei membri della comunità.
Il Garante privacy ha stabilito che tali attività non si limitano a una mera raccolta statica, ma configurano un vero e proprio monitoraggio del comportamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR). Nel provvedimento del 14 luglio 2026 si legge infatti che Lusha non si limita alla raccolta delle informazioni professionali, ma ne cura anche l’aggiornamento e il controllo nel tempo, operazioni che integrano quindi un’attività di monitoraggio dei comportamenti e delle posizioni personali degli interessati su Internet, configurando un vero e proprio tracciamento rilevante ai sensi del Regolamento europeo.
L’Autorità ha quindi contestato alla società l’uso del legittimo interesse come base giuridica, ritenendolo inadeguato per un trattamento così intrusivo e massivo di dati sottratti al controllo degli interessati. È stato inoltre accertato che le informazioni fornite nelle informative non erano né chiare né facilmente accessibili.
LA SANZIONE E LE MISURE CORRETTIVE
In seguito agli accertamenti, il Garante privacy ha quantificato la sanzione in 2 milioni di euro, pari al 10% del massimo edittale di 20 milioni di euro previsto per le violazioni più gravi. Oltre alla multa, l’Autorità ha adottato misure drastiche, infatti ha vietato alla società di trattare i dati personali degli interessati presenti sul territorio italiano e ne ha ordinato la cancellazione.
Durante il procedimento, Lusha ha cercato di difendersi sostenendo l’inapplicabilità del regolamento europeo alle società senza stabilimento in Ue, citando precedenti decisioni di autorità straniere come quella dell’autorità di controllo francese, la Commission Nationale de l’Informatique ed des Libertés (Cnil) e dell’autorità di controllo lussemburghese, Commission Nationale pour la Protection des Données (Cnpd), ma il Garante italiano ha ribadito la propria autonomia decisionale e la giurisdizione basata sul criterio del monitoraggio.
La società ha successivamente dichiarato di aver rimosso i contatti relativi alle istituzioni pubbliche italiane e di aver dismesso l’accesso al Community Program per gli utenti con IP italiano.
Il provvedimento finale sottolinea che l’acquisizione illecita dei dati ha natura strutturale e non episodica, coinvolgendo un numero elevatissimo di soggetti sul territorio nazionale.
