Il Garante per la protezione dei dati personali ha irrogato una sanzione di 2 milioni di euro a Lusha Systems Inc., data broker statunitense che, attraverso la propria piattaforma, fornisce a pagamento informazioni relative a persone fisiche – come la posizione lavorativa, gli indirizzi e-mail e i numeri di telefono – raccogliendo i dati da molteplici fonti, tra cui attività di scraping dai social network e acquisti da altri data broker per poi metterli a disposizione dei propri clienti per finalità commerciali o anti-frode.
Tra le informazioni presenti sulla piattaforma figuravano anche quelle relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura.
Secondo l’Autorità, la società ha trattato i dati personali di un elevato numero di persone presenti sul territorio italiano in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati.
In particolare, l’informativa fornita agli interessati non risultava chiara né facilmente accessibile e, quanto al fondamento giuridico del trattamento, il Garante ha ritenuto che il legittimo interesse invocato dalla società non costituisse una base adeguata.
Nel definire il procedimento, l’Autorità ha chiarito che il GDPR si applica anche al trattamento dei dati personali dei soggetti censiti nell’archivio di Lusha, società priva di uno stabilimento in UE, in quanto tale trattamento ricade nell’ambito del criterio del monitoraggio previsto dal Regolamento europeo: Lusha non si limita, infatti, a raccogliere le informazioni professionali, ma ne cura anche l’aggiornamento e il controllo nel tempo, un’attività che configura un vero e proprio tracciamento dei comportamenti e delle posizioni personali degli interessati su Internet e rientrante nell’ambito rilevante del GDPR.
Accertata l’illiceità della condotta e ritenuto che i trattamenti, ancora in corso, fossero privi di una valida base giuridica fin dall’origine, il Garante ha vietato a Lusha di trattare i dati personali degli interessati presenti sul territorio italiano e ne ha ordinato la cancellazione.