Una sanzione da 2 milioni di euro colpisce Lusha Systems Inc., la piattaforma statunitense che vende informazioni professionali arricchite su persone fisiche. Il Garante per la protezione dei dati personali ha accertato che la società raccoglieva indirizzi email e numeri di telefono, insieme alla posizione lavorativa e ad altri dettagli professionali, attraverso lo scraping dei social network e l’acquisto di dati da altri intermediari, mettendo poi queste informazioni a disposizione di clienti paganti per finalità commerciali o di prevenzione delle frodi.
Chi finiva nell’archivio della piattaforma
Tra i profili censiti comparivano anche rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura italiana. L’istruttoria ha ricostruito il funzionamento della piattaforma, evidenziando come la raccolta non si limitasse a un’operazione una tantum di acquisizione dei dati professionali. Lusha infatti curava l’aggiornamento e il controllo delle informazioni nel tempo, verificando periodicamente la posizione lavorativa e i recapiti delle persone censite nell’archivio. Questa attività di monitoraggio continuativo dei comportamenti online degli interessati ha rappresentato uno degli elementi che hanno spinto il Garante a qualificare il trattamento come un vero tracciamento, rilevante ai sensi del regolamento europeo sulla protezione dei dati.
La base giuridica giudicata insufficiente
L’informativa fornita agli interessati non risultava chiara né facilmente accessibile, secondo quanto accertato dall’Autorità.
Sul piano giuridico, il nodo principale riguardava il fondamento del trattamento. Lusha invocava il legittimo interesse come base per la raccolta e la diffusione dei dati, ma il Garante ha ritenuto questo presupposto inadeguato, considerata la portata e la natura delle informazioni trattate, che includevano recapiti personali di un elevato numero di cittadini italiani.
La decisione affronta anche la questione della territorialità. Lusha non dispone di uno stabilimento nell’Unione Europea, circostanza che in teoria potrebbe limitare l’applicazione del regolamento comunitario. Il Garante ha però chiarito che il GDPR si applica comunque, perché il trattamento realizzato dalla piattaforma ricade nel criterio del monitoraggio previsto dalla normativa europea. Accertata l’illiceità della condotta e verificato che i trattamenti erano privi di una valida base giuridica fin dall’origine, l’Autorità ha vietato a Lusha di trattare i dati delle persone presenti in Italia, ordinandone la cancellazione dagli archivi della società.
