- ENGLISH VERSION

Il Garante privacy sanziona Lusha per 2 milioni di euro
Monitorati e in vendita i dati di un elevato numero di persone

Una sanzione di 2 milioni di euro è stata irrogata dal Garante privacy a Lusha Systems Inc., data broker statunitense, che tramite la propria piattaforma fornisce, a pagamento, informazioni “arricchite” relative a persone fisiche, come la posizione lavorativa, gli indirizzi e-mail e i numeri di telefono.

Lusha raccoglie da più fonti tali dati - ad esempio attraverso attività di scraping dai social network e di acquisto da altri data broker – e li mette a disposizione dei clienti della piattaforma per finalità commerciali o anti-frode.

Tra le informazioni disponibili sulla piattaforma vi erano anche quelle relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura.

La società ha trattato i dati personali di un elevato numero di persone presenti sul territorio italiano in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati.

In particolare, l’informativa fornita agli interessati non risultava chiara e facilmente accessibile.

Inoltre, con riferimento al fondamento di liceità del trattamento, l’Autorità ha ritenuto che il perseguimento del legittimo interesse non fosse un’adeguata base giuridica.

Nel definire il procedimento, il Garante ha affermato che il GDPR si applica anche al trattamento dei dati personali dei soggetti censiti nell’archivio di Lusha, società priva di uno stabilimento in UE, in quanto tale trattamento ricade nell’ambito del criterio del monitoraggio previsto dal Regolamento europeo. Infatti, Lusha non si limita alla raccolta delle informazioni professionali, ma ne cura anche l’aggiornamento e il controllo nel tempo. Operazioni che integrano quindi un’attività di monitoraggio dei comportamenti e delle posizioni personali degli interessati su Internet, configurando un vero e proprio “tracciamento” rilevante ai sensi del GDPR.

Accertata l’illiceità della condotta posta in essere da Lusha e ritenuto che i trattamenti, ancora in corso, fossero privi di una valida base giuridica fin dall’origine, l’Autorità ha vietato alla società di trattare i dati personali degli interessati presenti sul territorio italiano e ne ha ordinato la cancellazione.

Roma, 27 luglio 2026

_______

The Italian Data Protection Authority imposes a fine of €2 million on Lusha
Monitoring and sale of data relating to a large number of people

A fine of 2 million euros has been imposed by the Italian Data Protection Authority on Lusha Systems Inc., a US-based data broker operating a platform that provides paid access to ‘enriched’ information on individuals, such as their job titles, email addresses and telephone numbers.

Lusha collects such data from multiple sources – for example, through social network scraping and purchases from other data brokers – and makes it available to the platform’s customers for commercial or anti-fraud purposes.

The information available on the platform also included details relating to senior representatives of institutions, public administration, law enforcement agencies and the judiciary.

The company processed the personal data of a large number of individuals in Italy without complying with the principles of lawfulness, fairness, transparency and data minimisation. 
In particular, the information provided to data subjects was neither clear nor easily accessible.

Furthermore, with regard to the lawfulness of the processing, the Authority established that the pursuit of a legitimate interest did not provide an adequate legal basis.

The Authority stated in its decision that the GDPR also applies to the processing of personal data of individuals included in the Lusha database – a company with no establishment in the EU – as such processing qualifies as monitoring under the European Regulation. As a matter of fact, Lusha does not merely collect professional information, but also carries out updates and checks over time; since these operations involve the online monitoring of the behaviour and employment status of the data subjects, they are subject to the GDPR.

Having found that Lusha’s conduct was unlawful and that the processing operations – still ongoing – had been carried out without a valid legal basis from the outset, the Authority imposed a ban on the processing of the personal data relating to data subjects located in Italy and ordered the erasure of such data.

Rome, 27 July 2026