Due milioni a un data broker: il Garante dice che tenere aggiornato un profilo è monitoraggio

Il prodotto eravate voi, e il catalogo era consultabile

C'è una categoria di aziende di cui non si parla quasi mai, perché non ha clienti fra il pubblico e non fa pubblicità: i data broker. Il modello è semplice da spiegare e sgradevole da leggere. Si raccolgono informazioni su persone reali da fonti diverse, si mettono insieme in un profilo, e si vende l'accesso a quel profilo a chi paga.

Lusha Systems Inc. fa questo. Attraverso la propria piattaforma fornisce, a pagamento, informazioni "arricchite" su persone fisiche: la posizione lavorativa, gli indirizzi email, i numeri di telefono. Il Garante descrive con precisione le due modalità di acquisizione: scraping dai social network e acquisto da altri data broker. La destinazione dichiarata è commerciale o antifrode.

Fra le informazioni disponibili sulla piattaforma, scrive l'Autorità, c'erano anche quelle relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell'ordine e della magistratura.

Le contestazioni, una per una

Il Garante ha accertato la violazione dei principi di liceità, correttezza, trasparenza e minimizzazione. In particolare:

L'informativa non era chiara né facilmente accessibile. È il vizio classico di questo settore: le persone i cui dati stanno nel catalogo non sono clienti della piattaforma, non ci sono mai arrivate, e nella grande maggioranza dei casi non sanno di esserci dentro.

Il legittimo interesse non è una base giuridica adeguata. È il punto su cui l'intera industria dell'arricchimento dati regge la propria posizione: i dati professionali sono pubblici, e il nostro interesse commerciale è legittimo. L'Autorità ha ritenuto che quel bilanciamento non tenga.

Il trattamento era privo di una valida base giuridica fin dall'origine, e risultava ancora in corso al momento della decisione. Da qui non solo la sanzione, ma il divieto e l'ordine di cancellazione: se non c'è mai stata una base, non c'è nulla da correggere in avanti.

Il passaggio che conta più dei due milioni

La parte destinata a essere citata è un'altra, e riguarda la giurisdizione.

Lusha è una società statunitense priva di uno stabilimento nell'Unione europea. La difesa naturale, in questi casi, è che il GDPR non si applichi. Il Garante ha affermato il contrario, e il ragionamento merita di essere seguito perché non si basa sul luogo in cui stanno i server né su quello in cui stanno i clienti.

Il regolamento europeo si applica anche a titolari non stabiliti nell'Unione quando il trattamento riguarda il monitoraggio del comportamento di persone che si trovano nell'Unione. L'Autorità ha osservato che Lusha non si limita a raccogliere informazioni professionali: ne cura anche l'aggiornamento e il controllo nel tempo. E questa manutenzione continuativa del profilo — verificare se una persona ha cambiato ruolo, azienda, recapito — configura, secondo il Garante, un'attività di monitoraggio dei comportamenti e delle posizioni personali su Internet: un vero e proprio "tracciamento" rilevante ai sensi del GDPR.

1. 01
   Raccolta una tantum

   forse discutibile, ma è una fotografia
2. 02
   Aggiornamento nel tempo

   il profilo viene mantenuto vivo e verificato
3. 03
   Monitoraggio

   e con il monitoraggio arriva la giurisdizione europea

Il principio, se regge, è ampio. Non riguarda solo Lusha: riguarda chiunque tenga aggiornato un archivio di persone europee da fuori dall'Unione, e distingue nettamente fra chi ha scattato una foto e chi tiene una telecamera accesa.

Perché finisce in un sito di cybersecurity

Perché un catalogo del genere non è soltanto un problema di marketing molesto. Un archivio che accoppia nome, ruolo aziendale, email e telefono verificati e aggiornati è la materia prima esatta del social engineering mirato: il pretexting, la truffa del falso CEO, il phishing costruito sull'organigramma reale invece che su una lista comprata a caso.

E qui torna il dettaglio più pesante del provvedimento: nel catalogo c'erano anche forze dell'ordine e magistratura. Un elenco aggiornato di chi occupa quei ruoli, con i recapiti, non è un problema di privacy in senso astratto. È una capacità di targeting, e chi la compra non deve dichiarare perché.

Cosa può fare una persona, e cosa deve fare un'azienda

Se siete una persona: il diritto di accesso e quello di cancellazione valgono anche verso soggetti come questo, e valgono anche se non avete mai avuto un rapporto con loro — è esattamente il punto affermato dal Garante. Non serve dimostrare un danno per chiedere.

Se siete un'azienda che compra liste di contatti: l'acquisto non trasferisce il problema al venditore. Chi usa quei dati per contattare persone è titolare del proprio trattamento e risponde della base giuridica su cui lo fonda. La domanda da porre al fornitore prima della firma è la meno confortevole: da dove vengono, e cosa è stato detto alle persone che ci sono dentro?

Se siete un responsabile della sicurezza: conviene sapere quanto della vostra struttura organizzativa è già acquistabile. Non per rimuoverla — spesso non si può — ma perché cambia la soglia di plausibilità dei messaggi che il vostro personale riceve. Un tentativo di truffa che cita il nome giusto, il ruolo giusto e il numero interno giusto non richiede alcuna intrusione preventiva: richiede un abbonamento.

Nota sulle fonti e sui limiti: questo dossier si basa sul comunicato ufficiale del Garante del 27 luglio 2026 e sul richiamo al provvedimento del 14 luglio 2026. Al momento della scrittura non risultano dichiarazioni pubbliche della società né informazioni su eventuali impugnazioni: il provvedimento è amministrativo e, come tutti, è impugnabile nelle sedi previste.