Il Garante per la protezione dei dati personali ha sanzionato per 2 milioni di euro Lusha Systems, data broker statunitense che vende accesso a contatti professionali «arricchiti»: ruolo in azienda, indirizzo email, numero di telefono. Oltre alla multa, l’Autorità ha vietato alla società di trattare i dati delle persone in Italia raccolti senza una base giuridica adeguata e ne ha ordinato la cancellazione. Il provvedimento porta il numero 542 del 14 luglio ed è stato reso noto il 27 luglio.
La notizia è circolata come vicenda di privacy dei cittadini, e lo è: tra le persone schedate ci sono anche rappresentanti istituzionali, funzionari pubblici e magistrati. Ma per chi fa impresa c’è una seconda lettura, meno comoda.
Cosa ha contestato l’Autorità
Secondo il Garante la società raccoglieva informazioni da più fonti — tra cui il prelievo automatico dai social network e l’acquisto da altri data broker — e non si limitava a metterle in vendita: le aggiornava e monitorava nel tempo, seguendo i cambi di ruolo e di posizione lavorativa delle persone. È questo passaggio che l’Autorità ha qualificato come monitoraggio e tracciamento, non come semplice raccolta di dati professionali.
La difesa della società si reggeva sul legittimo interesse come base giuridica. Il Garante l’ha ritenuta inadeguata per un trattamento di quella portata, condotto senza che le persone potessero esercitare un controllo, e ha contestato la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione, oltre a informative poco chiare e difficili da raggiungere.
Al data broker sono stati contestati liceità, correttezza, trasparenza e minimizzazione. Oltre alla sanzione da 2 milioni di euro, il Garante ha vietato il trattamento dei dati delle persone in Italia raccolti senza base giuridica adeguata e ne ha ordinato la cancellazione.
Fonte: Garante per la protezione dei dati personali, provvedimento n. 542/2026
Perché riguarda anche chi compra, non solo chi vende
Su questo serve essere precisi: il Garante ha colpito il venditore, non i clienti. Nessuna azienda che aveva acquistato quei contatti è stata sanzionata, e il provvedimento non contiene contestazioni verso di loro.
Il punto è un altro, e vale a prescindere da questo caso. Quando compri una lista e la usi per contattare aziende o professionisti, non stai comprando un prodotto e basta: stai iniziando un tuo trattamento di dati personali, di cui sei titolare autonomo. La domanda che dovresti poterti fare non è se il fornitore ha una liberatoria, ma se tu sei in grado di spiegare da dove arriva quel numero di cellulare e perché hai il diritto di usarlo. Se la risposta è «l’ho comprato», non è una risposta.
Vale la pena notare anche il dettaglio pratico: l’ordine di cancellazione riguarda i dati detenuti dal data broker. Le copie già scaricate dai clienti restano nei loro CRM, dove continuano a essere un trattamento in corso, di cui risponde chi le detiene.
Le domande da fare prima del prossimo acquisto
Se l’outreach commerciale della tua attività si appoggia a liste comprate, questo è un buon momento per una verifica, non per farsi prendere dal panico.
Chiedere al fornitore da quali fonti provengono i dati e su quale base giuridica sono stati raccolti; controllare se il fornitore dichiara di aver informato le persone; verificare cosa succede quando qualcuno chiede la cancellazione, e se la richiesta si propaga fino al tuo CRM; tenere traccia scritta di queste risposte, perché in caso di reclamo la prova sta a chi tratta i dati.
C’è poi una considerazione di merito, prima ancora che di conformità: le liste «arricchite» comprate a volume sono anche il carburante dell’outreach a freddo che nessuno legge. Il costo di conformità e il tasso di risposta puntano nella stessa direzione, cioè verso contatti raccolti direttamente, con il consenso di chi li lascia, anche se sono molti di meno.
In breve
Il Garante ha multato per 2 milioni di euro un data broker che rivendeva contatti professionali di persone in Italia, gli ha vietato di trattarne i dati e ne ha ordinato la cancellazione. I clienti non sono stati sanzionati, ma chi usa liste acquistate per vendere è titolare del proprio trattamento e deve poter dimostrare da dove arrivano quei dati. La verifica da fare è sulla filiera del contatto, non sulla fattura del fornitore.