Garante Privacy multa Lusha per 2 milioni: nel database anche Mattarella

Il Garante per la protezione dei dati personali ha inflitto una multa da 2 milioni di euro a Lusha Systems Inc., data broker statunitense con sede a Boston, vietandole di trattare i dati personali di cittadini presenti sul territorio italiano e ordinandone la cancellazione. Lo riporta HDblog.

Lusha opera una piattaforma di sales intelligence che fornisce a pagamento informazioni "arricchite" su persone fisiche: posizione lavorativa, indirizzi email e numeri di telefono, sia fissi che mobili. I dati vengono raccolti attraverso attività di scraping dai social network — LinkedIn in primo luogo — e acquistati da altri data broker, per poi essere messi a disposizione dei clienti della piattaforma a fini commerciali o di prevenzione delle frodi.

Nel database della società figuravano, a titolo esemplificativo secondo quanto scritto dall'Autorità nel provvedimento del 14 luglio 2026, il Presidente della Repubblica Sergio Mattarella, il vicepresidente del Consiglio Antonio Tajani, il ministro della Difesa Guido Crosetto e numerosi altri esponenti politici e membri di autorità indipendenti. Il Garante ha rilevato la presenza nel sistema anche di dati relativi al cancelliere tedesco Friedrich Merz e all'ex cancelliera Angela Merkel, oltre a rappresentanti delle forze dell'ordine e della magistratura.

L'Autorità ha accertato che la condotta di Lusha non si limita a una raccolta statica di informazioni, ma ne prevede anche l'aggiornamento e il controllo nel tempo: attività che configurano, ai sensi del GDPR, un vero e proprio monitoraggio dei comportamenti e delle posizioni personali degli interessati su Internet. Il Garante ha quindi stabilito che il Regolamento europeo si applica anche a Lusha, nonostante la società sia priva di uno stabilimento nell'Unione Europea, in quanto rientra nel criterio del monitoraggio previsto dalla normativa.

Tra le violazioni contestate: l'assenza di una base giuridica idonea per il trattamento, la mancata informativa agli interessati — molti dei quali non hanno mai aperto un account né firmato alcun contratto con la piattaforma — e la mancata nomina di un rappresentante nell'UE. Il procedimento era stato avviato nell'aprile 2025, dopo che un informatico aveva segnalato pubblicamente la rintracciabilità online dei recapiti di figure istituzionali di primo piano, e a seguito delle segnalazioni di diversi cittadini che lamentavano telefonate promozionali indesiderate effettuate con dati ottenuti tramite i servizi di Lusha.