Acquistare contatti "GDPR ready" può costare caro: ne avevamo parlato qui a luglio 2025, portando il caso di Lusha Systems Inc., il data broker statunitense che vende a pagamento numeri di telefono, email e informazioni professionali di milioni di persone per cui il Garante per la Protezione dei Dati Personali aveva aperto un'istruttoria l'8 aprile 2025. Un anno dopo, il procedimento si è chiuso: sanzione di 2 milioni di euro, divieto di trattare ulteriormente i dati degli italiani raccolti senza una base giuridica valida e ordine di cancellarli.
Non si tratta solo di un caso di cronaca privacy: va fatto il punto anche su chi, in azienda, ha acquistato o valutato contatti da piattaforme come questa.
Perché la condotta di Lusha è illecita
Lusha costruisce i suoi database incrociando più fonti: scraping di profili social, acquisto di elenchi da altri data broker, arricchimento progressivo dei contatti nel tempo. Il risultato sono profili molto dettagliati con ruolo aziendale, email e telefono venduti ai clienti per due finalità: prospecting commerciale e verifiche anti-frode (ad esempio controllare se un contatto che si presenta con un certo ruolo aziendale corrisponde davvero a quella persona o per intercettare tentativi di impersonificazione).
Il punto contestato dal Garante non è la finalità, ma il metodo: aggiornare e monitorare costantemente le informazioni di una persona sul web, senza che questa ne sia consapevole né abbia dato consenso, configura una vera attività di "tracciamento" rilevante ai sensi del GDPR. È anche il motivo per cui il Regolamento Europeo si applica a Lusha nonostante non abbia sede in UE: il criterio del monitoraggio dei comportamenti online supera il problema della territorialità. Tra i dati finiti in vendita c'erano anche recapiti di vertici istituzionali, rappresentanti delle forze dell'ordine e della magistratura.
Cosa ha stabilito il Garante
L'Autorità ha accertato che Lusha ha violato i principi di liceità, correttezza, trasparenza e minimizzazione: l'informativa fornita agli interessati non era chiara né facilmente accessibile, e la società non poteva contare su una base giuridica adeguata per il trattamento.
Il punto più interessante è proprio quest'ultimo: Lusha si appoggiava al legittimo interesse (art. 6 GDPR) per giustificare la raccolta e la vendita dei dati senza consenso. Il legittimo interesse richiede un bilanciamento reale tra l'interesse economico dell'azienda e i diritti della persona coinvolta, che deve restare informata e poter opporsi. Il Garante ha ritenuto che raccogliere dati con scraping massivo, aggiornarli nel tempo e rivenderli a terzi sia un'attività troppo invasiva per essere coperta da un semplice interesse commerciale: serviva il consenso esplicito degli interessati, che non c'era. È esattamente il varco che avevamo segnalato nel nostro articolo blog del 2025 parlando di database "GDPR ready" che si appoggiano al legittimo interesse invece che al consenso.
Perché riguarda le aziende italiane, non solo Lusha
Chi ha acquistato contatti da Lusha o da piattaforme simili non è automaticamente al sicuro. L'art. 82 del GDPR prevede una responsabilità solidale tra chi fornisce i dati e chi li utilizza: se il contatto era illecito all'origine, anche l'azienda che lo ha usato per una newsletter o una campagna di prospecting può essere chiamata a risponderne. Chi usava Lusha non acquistava un file CSV di contatti su cui fare attività di prospecting commerciale, bensì un accesso continuativo a un servizio che, tramite un'estensione del browser, recupera all'istante dal database di Lusha le informazioni sul contatto che si sta consultando (per esempio mentre si naviga su un profilo LinkedIn escono email, telefono e dati aziendali, spesso oltre il necessario, in violazione del principio di minimizzazione). È una differenza che pesa sul piano della responsabilità: non si tratta di un acquirente passivo di un database preesistente, ma di chi ogni volta innesca attivamente la ricerca e la profilazione di una persona specifica. Le aziende acquirenti rischiano inoltre il danno reputazionale di una segnalazione al Garante.
Se la tua azienda ha usato contatti di questo tipo ecco cosa devi fare
Vale la pena verificare in azienda se sono stati usati contatti Lusha o di data broker analoghi, e in caso positivo chiedere un parere al DPO su come procedere (anche alla luce dell'ordine di cancellazione emesso dal Garante). Più in generale, prima di affidarsi a una piattaforma di lead generation è bene farsi indicare l'origine dei dati e la prova del consenso raccolto, non fidandosi della sola etichetta "GDPR ready".
La strada più sicura resta comunque quella dei contatti first-party, raccolti direttamente con consenso esplicito: costano più tempo, ma non portano rischi legali nascosti.
Hai dubbi sulla liceità dei contatti nel tuo CRM o sulla piattaforma di lead generation da cui intendi acquistare? Richiedi ora una consulenza privacy: il nostro team privacy analizzerà le fonti dati, verificherà i consensi e ti affiancherà nell'implementazione delle migliori pratiche GDPR. Contattaci: marketing@scponline.it
Fonte:
- COMUNICATO STAMPA - Il Garante privacy sanziona Lusha per 2 milioni di euro. Monitorati e in vendita i dati di un elevato numero di persone – garanteprivacy.it
- Caso Lusha e sovranità dei dati: la minaccia invisibile – Angelo Jannone – Cybersecurity360.it
