[doc. web n. 10275035]

Provvedimento del 14 luglio 2026

Registro dei provvedimenti
n. 542 del 14 lugio 2026

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia, componente e il dott. Luigi Montuori, segretario generale;

VISTO il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati, di seguito “Regolamento” o “RGPD”);

VISTO il Codice in materia di protezione dei dati personali (d.lgs. 30 giugno 2003, n. 196, di seguito “Codice”);

VISTA la documentazione in atti;

VISTE le osservazioni formulate dal segretario generale ai sensi dell’art. 15 del regolamento del Garante n. 1/2000, adottato con deliberazione del 28 giugno 2000;

RELATORE il prof. Pasquale Stanzione;

1. FATTO E ISTRUTTORIA PRELIMINARE

1.1. Origine dell’istruttoria

1. In considerazione di alcuni articoli di stampa che segnalavano la presenza dei numeri di telefono delle più importanti cariche della Repubblica italiana all’interno della piattaforma Lusha, nell’aprile 2025 l’Ufficio ha avviato un’istruttoria preliminare nei confronti della società Lusha Systems Inc. (di seguito “Lusha”, la “Società” o il “Titolare”), in persona del legale rappresentante pro-tempore, con sede legale a Boston, MA 02199, USA, controllata al 100% dalla Lusha Systems Ltd.

2. Successivamente, il Garante ha ricevuto un reclamo e una segnalazione da parte di interessati che, dopo essere stati destinatari di messaggi e chiamate pubblicitarie indesiderate da parte di società terze e previa richiesta di chiarimenti sulla fonte di acquisizione dei dati di contatto, hanno scoperto che i loro dati risultavano disponibili sulla piattaforma Lusha in assenza di un loro consenso a tale trattamento.

1.2. La richiesta di informazioni dall’Autorità e il riscontro della Società

3. In data 7 aprile 2025 (prot. 47069 di pari data) l’Ufficio ha formulato nei confronti di Lusha e di un’altra società, con sede in Germania, che risultava dalla prima nominata come punto di contatto per l’UE, una richiesta di informazioni ai sensi dell’art. 157 del Codice chiedendo di fornire elementi sul numero di interessati italiani presenti nel proprio database (in seguito, anche, “database B2B”), le fonti di acquisizione dei dati nonché informazioni sui trattamenti effettuati. Sono state inoltre chieste la Valutazione di impatto sulla protezione dei dati personali (VIP) e la legitimate interest assessment (LIA).

4. La Società ha fatto pervenire il suo riscontro in data 29 maggio 2025 (prot. n. 78434 del 30 maggio 2025), dopo l’ottenimento di una proroga fino al 30 maggio 2025 (prot. n. 53505 del 17 aprile 2025).

5. Questa ha innanzitutto affermato di non ritenersi soggetta al Regolamento o al Codice in quanto la stessa non ha uno stabilimento in UE, non troverebbero applicazione gli ulteriori criteri previsti dall’art. 3, par. 2, del Regolamento, nonché ha dichiarato di non essere tenuta a nominare un rappresentante. La Società ha individuato un punto di contatto in Germania solo per essere facilmente raggiungibile per le persone e le autorità dell’UE e del Regno Unito così come, pur non essendone tenuta, ha volontariamente dato applicazione alle norme del Regolamento per adeguarsi agli standard internazionali ed europei.

6. La Società ha inoltre dichiarato quanto segue:

- in base alla propria nomenclatura, sono definiti “Customers” (o “Clienti”), gli utenti che si sono iscritti al servizio e possono usufruire dei dati contenuti nel database B2B di contatti. Di contro vi sono i “Contacts” (o “Contatti”), ossia coloro i cui dati sono raccolti e resi disponibili nel database a prescindere dall’essere o meno anche Clienti della Società;

- di agire in qualità di titolare per: il trattamento dei dati relativi alla visita del suo sito; la raccolta e il trattamento dei dati relativi all’adesione al gruppo Lusha, alla pagina fan su Facebook o alla pagina LinkedIn; la raccolta e il trattamento dei dati relativi ai profili aziendali i cui dati sono accessibili tramite la piattaforma;

- di trattare le informazioni relative a circa XX di interessati italiani, ivi compresi i soggetti che non utilizzano la piattaforma (Contatti) i quali sarebbero però informati tramite l’invio di un’apposita informativa che contiene quanto previsto dall’art. 14 del Regolamento;

- che i propri Clienti possono utilizzare i dati per le finalità di «Vendite/marketing B2B a clienti potenziali e attuali, reclutamento, business intelligence o prevenzione delle frodi» ed è loro responsabilità verificare e garantire che ogni singolo utilizzo sia conforme alle leggi applicabili;

- di non svolgere attività di marketing diretto in Italia;

- di rimuovere dal proprio database i dati dei Contatti che hanno esercitato l’opposizione;

- che i dati contenuti nel database possono essere organizzati e consultati secondo più filtri (es. numero di telefono, e-mail, localizzazione o attività lavorativa);

- di escludere dal database i dati dei Contatti che ricoprono cariche pubbliche o che sono altrimenti considerati personaggi pubblici;

- di limitare la raccolta a: nomi, indirizzi e-mail e numeri di telefono, nonché a qualifica professionale, anzianità, ruolo e ubicazione di un Contatto;

- di garantire l’esattezza e l’accuratezza dei dati tramite la verifica di più fonti e il confronto dei dati e l’aggiornamento settimanale dei dati, cosa che comporta la cancellazione o rettifica dei dati ritenuti non esatti.

7. Con riferimento alle fonti di raccolta dei dati personali, la Società ha indicato le seguenti: informazioni pubblicamente disponibili su Internet, come i profili su social media pubblici, nonché da blog e forum professionali; soggetti specializzati nella fornitura di informazioni dai quali Lusha acquista o licenzia i dati; dal proprio “Community Program” che implica la raccolta dei dati dei membri del Programma nella misura in cui gli stessi acconsentano alla condivisione di informazioni; tramite algoritmo di creazione delle e-mail.

8. Infine, con riferimento alle basi giuridiche, Lusha ha svolto un Legitimate Interest Assessment (LIA), all’interno della VIP, con la quale ha concluso che il trattamento dei dati dei Contatti e la relativa comunicazione ai Clienti soddisfi i requisiti del legittimo interesse.

2. AVVIO DEL PROCEDIMENTO PER L’ADOZIONE DEI PROVVEDIMENTI CORRETTIVI E SANZIONATORI

9. In base agli elementi acquisiti nel corso delle attività sopra descritte, con nota del 6 agosto 2025 (prot. n. 109501), notificata ai sensi dell’art. 166, c. 5, del Codice, l’Ufficio ha avviato il procedimento per l’adozione dei provvedimenti di cui all’art. 58, par. 2, del Regolamento nei confronti della Società quale titolare del trattamento.

2.1. Ambito di applicazione territoriale del Regolamento

10. Rilevata l’assenza di uno stabilimento nell’Unione da parte della Società e risultata non contestata la raccolta e il trattamento di dati personali di cittadini europei, l’Ufficio ha ritenuto che Lusha offrisse il proprio servizio anche a persone fisiche stabilite nell’UE.

11. Poiché non risultava possibile escludere che i soggetti che accedono alla piattaforma siano anche, e soprattutto, persone fisiche i cui dati diventano così oggetto di trattamento e, pertanto, sono da considerare “interessati”, l’Ufficio ha ritenuto che Lusha offrisse i propri servizi a interessati europei e soddisfatto il criterio di cui all’art. 3, par. 2, lett. a) del Regolamento.

12. Dalla documentazione in atti, risultava inoltre che la Società non si limitasse solo a raccogliere i dati dei Contatti da più fonti ma li riorganizzasse in una “Scheda contatto aziendale” univoca e identificabile al fine di rendere i dati contenuti nel database facilmente reperibili sulla base di diversi filtri, nonché li arricchisse per renderli completi e li aggiornasse costantemente al fine di fornire dati sempre attuali. In particolare, sia l’attività di arricchimento sia quella di aggiornamento (per esempio per verificare che la persona rivestisse ancora una certa posizione lavorativa o abbia cambiato posizione o luogo di lavoro), anche tramite “cross-check”, sembravano implicare un controllo della posizione lavorativa del Contatto nel tempo tale da determinare un monitoraggio del suo comportamento.  

13. L’Ufficio ha così ritenuto che la Società realizzasse un monitoraggio del comportamento lavorativo dei Contatti, necessario a valutarne le posizioni personali/lavorative ricoperte da questi nel tempo, suscettibile di integrare un monitoraggio del comportamento degli interessati ai sensi dell’art. 3, par. 2, lett. b) del Regolamento.

2.2. Rispetto dei principi di liceità e minimizzazione dei dati

14. Lusha raccoglie i dati di diverse categorie interessati (Clienti, Contatti, Utenti, Visitatori, ecc.) e, per la maggior parte delle finalità perseguite, dichiara di trattarli per il perseguimento del legittimo interesse. L’Ufficio ha limitato l’istruttoria al trattamento dei dati dei “Contatti”.

15. Con riferimento ai Contattii, Lusha ha dichiarato di trattare i dati solitamente contenuti nei biglietti da visita o nel “blocco firma” delle e-mail: nome, titolo professionale, ruolo, anzianità, e-mail, numero di telefono, Stato dove svolge l’attività lavorativa.

16. Ciononostante ulteriori dati sono raccolti tramite altri canali come:

- il “Community Program”: i membri della community condividono i dati della loro rete aziendale professionale, come l’intestazione delle e-mail e i blocchi di firma, il nome dei clienti, il nome dell’azienda, il titolo professionale, il numero di telefono aziendale e l’indirizzo e-mail. Inoltre, Lusha può accedere ai calendari dei membri della community e tenere traccia di informazioni quali i titoli delle riunioni, i partecipanti e i loro indirizzi e-mail;

- i dati degli account di posta elettronica quando gli utenti forniscono l’accesso al loro account tramite le API di Google o Microsoft;

- i dati forniti dalle società affiliate o parte del gruppo, come società controllate e controllanti, joint venture e altre entità o partner commerciali;

- fonti pubblicamente accessibili e tramite algoritmo che analizza le fonti disponibili al pubblico per comprendere i modelli di posta elettronica aziendali standard (ad esempio nome.cognome@azienda.com);

- i profili dei social network aziendali quando un utente utilizza l’estensione del browser di Lusha durante l’uso di LinkedIn.

17. All’interno della “Informativa Privacy” pubblicata online (o “Privacy Notice”) non risultava individuata una specifica base giuridica per la raccolta dei dati dei Contatti ma si faceva riferimento al legittimo interesse quale fondamento di liceità per consentire ai Clienti di accedere al database, dunque, tecnicamente per consentire la comunicazione dei dati dei Contatti ai Clienti. Solo all’interno della VIP (§5) trasmessa in riscontro alla richiesta di informazioni dell’Ufficio si chiariva che la base giuridica per la raccolta dei dati dei Contatti fosse il legittimo interesse.

18.  L’enorme numero di dati raccolti, da fonti diverse tra loro e da soggetti terzi, al fine di realizzare un trattamento che, da un lato, è difficile che gli interessati possano prevedere o aspettarsi e, dall’altro, è suscettibile di avere impatti significativi sui medesimi, rendendo gli stessi contattabili da soggetti terzi per fini non preventivabili, faceva sorgere dubbi sull’adeguatezza del legittimo interesse come base giuridica.

19. A ciò si aggiungeva che: l’art. 129 del Codice richiede il consenso dei contraenti per l’inserimento dei loro dati in elenchi cartacei o elettronici a disposizione del pubblico e per l’utilizzo di tali dati per finalità di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale; e l’art. 130 del Codice, in sintesi, richiede il consenso degli utenti e contraenti per l’invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale.

20. In presenza di un trattamento particolarmente esteso, intrusivo e basato su un enorme numero di dati, nonché suscettibile di produrre un impatto notevole su interessati ignari, l’Ufficio ha contestato alla Società che non avesse in alcun modo giustificato il ricorso al legittimo interesse come base giuridica né dimostrato l’origine lecita dei dati.

21. Infine, con riferimento all’informazione e all’opposizione, l’Ufficio ha osservato che l’attribuzione agli interessati di un così breve tempo per esercitare l’opt-out (7 giorni a partire dall’invio dell’informativa tramite e-mail) esponesse al rischio che l’interessato non si opponga per contingenze estranee alla sua volontà.

22. Inoltre, nessun elemento di valutazione è stato fornito per giustificare il perseguimento dell’interesse alla “fraud prevention”, ossia per «verificare e autenticare la correlazione tra gli attributi “esternalizzati” di un individuo e i dati effettivi che supportano tali attributi».

23. Con riferimento ai dati contenuti nei calendari dei membri del Community program, ai titoli delle riunioni, ai partecipanti e i loro indirizzi e-mail, nonché ai dati degli account di posta elettronica, l’Ufficio ha ritenuto che tali informazioni risultassero non necessarie. Tale raccolta era quindi astrattamente suscettibile di integrare la violazione del principio di minimizzazione di cui all’art. 5, par. 1, lett. c), del Regolamento.

24. Tutto ciò premesso, l’Ufficio ha ritenuto che, per la raccolta e il trattamento dei dati dei Contatti, la Società non abbia individuato alcuno valido fondamento di liceità in quanto, nelle modalità e per la fattispecie sopra descritte, il ricorso al legittimo interesse non sembrava costituire un adeguato fondamento di liceità. Ciò in possibile violazione del principio di liceità e correttezza di cui all’art. 5, par. 1, lett. a) e c) del Regolamento nonché degli artt. 6 e 7 del Regolamento. A tali violazioni si affiancava quella relativa all’art. 129 del Codice.

2.3. Rispetto dei principi di trasparenza

25. L’informativa pubblicata sul sito della Società, che al momento dell’istruttoria risultava aggiornata al 5 febbraio 2025, non chiariva quale fosse il fondamento di liceità per la raccolta dei dati dei Contatti né chi fosse il rappresentante della Società nell’UE. Tali omissioni risultavano astrattamente idonee a violare il principio di correttezza e trasparenza, nonché di adeguata informazione agli interessati, di cui agli artt. 5, par. 1, lett. a); 12; e 13, par. 1), lett. a) e c), del Regolamento.

2.4. Informazione agli istanti

26. Nonostante la Società abbia dichiarato di fornire l’informativa a tutti i Contatti, l’Autorità ha ricevuto segnalazioni e reclami (in particolare i fasc. nn. 459328 e 465278, messi a diposizione della Società, e definiti rispettivamente con provvedimenti nn. 349 (doc. web n. 10262105) e 350 (doc. web n. 10262367) del 14 maggio 2026) nei quali si lamentava la raccolta e il trattamento di dati da parte di Lusha al di fuori di qualunque informazione dei relativi istanti. Anche tale omissione risultava astrattamente idonea a determinare la possibile violazione del principio di correttezza e trasparenza, nonché di adeguata informazione agli interessati, di cui agli artt. 5, par. 1, lett. a) e 14 del Regolamento.

2.5. Dati riferiti a soggetti pubblici e istituzionali

27. Dall’istruttoria preliminare risultavano presenti sulla piattaforma, a titolo meramente esemplificativo, i dati di contatto dei seguenti soggetti: il Presidente della Repubblica italiana Sergio Mattarella, il Vice-Presidente del Consiglio dei Ministri e Ministro Antonio Tajani, il ministro Guido Crosetto, tutti espressamente indicati con le loro qualifiche istituzionali, nonché il già ministro e poi Vicepresidente della Commissione europea Raffale Fitto; la deputata Chiara Appendino e il senatore Stefano Patuanelli; i commissari dell’Autorità per le Garanzie nelle Comunicazioni Elisa Giomi e Massimiliano Capitanio; nonché Saverio Valentino, componente dell’Autorità Garante della Concorrenza e del Mercato. Ancora, tra i vari contatti rinvenuti nel database si rilevava la presenza del cancelliere tedesco Friedrich Merz e della ex cancelliera Angela Merkel.

28. Tali circostanze sembrano sintomatiche del fatto che la Società non fosse in grado di escludere quelle informazioni che lei stessa riteneva di non dover trattare. Ciò comprovava l’assenza di misure tecniche e organizzative volte ad attuare i principi di protezione dei dati di cui all’art. 25 del Regolamento, nonché la violazione del principio di minimizzazione nella misura in cui la Società ha raccolto e conservato informazioni che la stessa riteneva non pertinenti. Tali comportamenti risultano così in possibile violazione degli artt. 5, par. 1, lett. c) e 25 del Regolamento.

3. ESERCIZIO DEL DIRITTO DI DIFESA DA PARTE DEL TITOLARE

29. La Società, esercitando il proprio diritto di difesa, ha trasmesso le proprie “deduzioni e osservazioni difensive” in data 6 ottobre 2025 (prot. n. 132076 del 7 ottobre 2025) e chiesto di essere audita.

30. Lusha ha innanzitutto chiarito che, con riferimento ai Contatti, raccoglie i dati tipicamente contenuti nei biglietti da visita che i Clienti usano per svolgere attività di vendita, marketing e recruiting, impegnandosi al rispetto delle norme applicabili.

31. Ha poi affermato che: «I Clienti forniscono spesso a Lusha elenchi di propri clienti effettivi o potenziali, affinché essa li arricchisca con informazioni provenienti dal database B2B».

3.1. Inapplicabilità del Regolamento

32. Secondo la Società i suoi trattamenti non integrerebbero i requisiti dell’art. 3, par. 2, del Regolamento e, a sostegno di tale, ha citato l’autorità di controllo francese, la Commission Nationale de l’Informatique ed des Libertés (in seguito “CNIL”), nella decisione del 20 dicembre 2022 (SAN-2022-024), e l’autorità di controllo lussemburghese, Commission Nationale pour la Protection des Données (o “CNPD”) sulla base di una e-mail del 9 giugno 2022.

33. Sia la decisione della CNPD sia quella della CNIL verterebbero sulle medesime attività di trattamento oggetto di analisi. Sicché, in presenza di tali precedenti che hanno riconosciuto la non applicabilità del Regolamento, la Società ha concluso che: «il Garante dovrebbe attribuire il dovuto rilievo alle loro decisioni e non discostarsene immotivatamente», pena la violazione del principio di: leale cooperazione ex art. 4, par. 3 TUE; di applicazione coerente e omogenea del diritto UE, espresso dal Considerando n. 10 e dal Capo VII del RGPD; di certezza e interpretazione conforme del diritto UE.

3.1.1. Inapplicabilità dell’art. 3, par. 2, lett. a), RGPD

34. Più nel dettaglio, con riferimento al criterio di cui all’art. 3, par. 2, lett. a), del Regolamento, Lusha ha sostenuto di non offrire beni o servizi a persone fisiche nell’UE. Al contrario, i suoi servizi sono concepiti, offerti ed erogati solo a persone giuridiche per uso professionale, non a persone fisiche per uso privato.

35. Secondo la Società, ai sensi di tale norma:

- l’applicazione del RGPD va valutata con riferimento a specifiche attività di trattamento;

- poiché la norma parla di offerta di beni o servizi nei confronti degli “interessati”, quindi di persone fisiche ex art. 4, n. 1, RGPD, il Regolamento non è applicabile laddove il trattamento si limiti all’offerta di beni o servizi a favore di società di capitali, società di persone o altre persone giuridiche;

- la mera presenza, in un database, di dati personali riferibili a residenti nell’Unione non è sufficiente a determinare l’applicabilità del RGPD ma è necessario che il titolare si rivolga esplicitamente o manifesti una chiara intenzione di offrire beni o servizi a interessati;

- il RGPD si applica solo quando i dati trattati riguardano gli stessi interessati (“i suddetti interessati”) cui viene offerta la prestazione di beni o servizi.

36. Come evincibile dal sito, dai “Termini e Condizioni” e dall’“Informativa Privacy” (aggiornata al 5.2.2025), i servizi di Lusha sono concepiti per le imprese. Risulta chiaro che la registrazione materiale sulla piattaforma è effettuata da una persona fisica in qualità di rappresentante della persona giuridica e chi accetta le condizioni contrattuali dichiara di agire come componente di un’organizzazione.

37. Lusha considera il RGPD una “regola aurea” (golden standard) in materia di protezione dei dati e, per tale motivo, ne adotta nozioni e concetti senza però che questo implichi che il Regolamento trovi applicazioni o vincoli la Società.

38. Inoltre, contrariamente a quanto contestato dall’Ufficio, Lusha ha adottato una serie di misure per impedire l’accesso ai propri servizi a persone fisiche. In particolare:

- al momento della creazione di un account, l’Utente finale (ossia la persona fisica che si registra per conto della persona giuridica) è tenuto a fornire un indirizzo e-mail professionale. Non sono accettate e-mail appartenenti a domini pubblici (es. Gmail, Yahoo, Hotmail, …);

- tramite il programma “Know Your Business” (KYB), Lusha si avvale di strumenti di verifica esterni nonché di banche dati per assicurare che i potenziali clienti risultino registrati e operino in un ordinamento giuridico riconosciuto;

39. Secondo la Società, l’atto di avvio del procedimento sanzionatorio non indica alcuna norma che imponga la richiesta di documenti, come una procura, per attestare la natura di persona giuridica dei Clienti.

40. Inoltre, quand’anche in casi isolati singoli professionisti riescano a iscriversi ed essere accettati come Clienti, ciò non muta la natura B2B dei servizi offerti e non giustifica l’applicabilità dell’art. 3, par. 2, lett. a), del RGPD.

41. In ogni caso, secondo Lusha il Regolamento non troverebbe applicazione perché i destinatari del suo servizio (i Clienti) non sono gli interessati i cui dati sono soggetto di trattamento (i Contatti).

3.1.2. Inapplicabilità dell’art. 3, par. 2, lett. b), RGPD

42. Con riferimento al criterio di cui all’art. 3, par. 2, lett. b), del Regolamento, Lusha ha sostenuto che il trattamento contestato non implichi un’attività di tracciamento dei Contatti, né profilazione, né analisi comportamentali idonee a integrare la nozione di monitoraggio identificata dal Considerando 24 del Regolamento e dalle Linee guida del Comitato Europeo per la protezione dei dati (CEPD) n. 3/2018 sull’ambito di applicazione territoriale del RGPD.

43. La Società ha concluso che non basta che siano trattati i dati di interessati, anche in modo protratto nel tempo, affinché il Regolamento trovi applicazione, ma occorre che il trattamento si traduca in attività di profilazione e in analisi comportamentale.

44. Pertanto, secondo Lusha l’art. 3, par. 2, lett. b), del Regolamento non troverebbe applicazione al trattamento dei dati dei Contatti per i seguenti motivi:

- Assenza di analisi comportamentale: la Società tratta solo informazioni di carattere personale come nome, indirizzo e-mail, numero di telefono, qualifica, ruolo e sede. Tali dati non riflettono ne rivelano comportamenti, abitudini o preferenze e non sono oggetto di alcuna “successiva analisi comportamentale”;

- Assenza di monitoraggio: secondo la Società, l’attività di “monitoraggio” implica il tracciamento del comportamento online o offline degli interessati, ad esempio tramite la registrazione delle attività di navigazione su Internet o la videosorveglianza in spazi pubblici o privati. Si tratta, quindi, di un «trattamento sistematico e intrusivo di dati personali» che Lusha non realizza perché si limita a trattare dati di contatto professionale al fine di garantirne l’accuratezza;

- Esattezza dei dati: le misure volte a garantire l’accuratezza delle informazioni disponibili nel database non rientrano nel concetto di monitoraggio ma perseguono il solo scopo di assicurarne l’esattezza dei dati ex art. 5, par. 1, lett. d), RGPD e sono funzionali alla tutela dei Contatti;

- Assenza di profilazione: Lusha non effettua una profilazione rilevante ai sensi dell’art. 4, n. 4, del Regolamento nella misura in cui non “valuta” i Contatti, né “analizza” o “prevede” aspetti attinenti alla loro vita lavorativa, economica, sanitaria o personale, ma si limita alla fornitura di recapiti professionali accurati.

3.2. Inapplicabilità del Codice privacy

45. All’inapplicabilità del Regolamento conseguirebbe l’inapplicabilità del Codice quale atto complementare e integrativo, operante nei limiti dell’art. 3 del RGPD. Con il d.lgs. n. 101 del 10 agosto 2018 il legislatore ha abrogato le disposizioni del Codice incompatibili con il RGPD e, in particolare, l’art. 5 che estendeva l’applicazione del diritto italiano ai titolari stabiliti fuori dall’Unione.

3.3. Trasparenza e informazione sulla base giuridica e il rappresentante UE

46. Alla data del 5 febbraio 2025 (data di aggiornamento dell’Informativa Privacy o “Privacy Notice”), Lusha sarebbe già stata trasparente rispetto alla base giuridica per la raccolta dei dati e sia in riferimento al proprio rappresentante.

47. Quanto alla base giuridica, i dati dei Contatti non sono raccolti direttamente presso gli interessati, perciò l’art. 13 RGPD non è applicabile. Inoltre, pur non essendone obbligata, Lusha ha comunque pubblicato delle informative (ossia l’“Informativa Privacy” o “Privacy Notice”, e l’“Informativa sui Dati Personali” o “Personal Information Notice”, quest’ultima aggiornata al gennaio 2023) che, «se lette in modo corretto e contestuale» (pag. 4, osservazioni difensive), garantiscono un’informazione adeguata ai Contatti sul legittimo interesse, inclusa la relativa fase di raccolta. In ogni caso, l’Informativa sui Dati Personali rispetta anche i requisiti dell’art. 14 ed è stata inviata a ciascun Contatto prima dell’inserimento dei relativi dati nel database.

48. In particolare, il par. 4.1 dell’Informativa Privacy chiarisce che la finalità di «arricchire, aggiornare, sottoporre a controlli incrociati, e convalidare il database B2B di Lusha» si fonda sul legittimo interesse. Tale indicazione rende trasparente il fatto che Lusha raccolga e tratti i dati dei Contatti per creare e mantenere il proprio database. Inoltre, altri passaggi dell’Informativa Privacy fanno riferimento alla “raccolta” dei dati.

49. In secondo luogo, nell’Informativa sui Dati Personali (“Personal Information Notice”), si chiarisce che i dati dei Contatti sono raccolti ai fini della loro inclusione nel database sulla base del legittimo interesse e si informa gli interessati circa la possibilità di esercitare il diritto di opt-out, nonché ulteriori opzioni e i diritti a loro disposizione.

50. Le stesse informative fornivano indicazioni circa l’esistenza, l’identità e i recapiti del rappresentante di Lusha nell’UE, espressamente indicato come «rappresentante per la protezione dei dati in base all’articolo 27 del RGPD».

51. Da ultimo, con riferimento ai reclami e segnalazioni ricevuti dall’Autorità, la Società ha dichiarato di aver inviato l’Informativa sui Dati Personali ai rispettivi interessati, indicando le date degli invii e relativa marcatura temporale.

3.4. Validità del legittimo interesse

52.  Con riferimento al fondamento di liceità del trattamento dei dati dei Contatti, la Società ha citato la Sentenza della Corte di Giustizia UE del 7 dicembre 2023, SCHUFA Holding AG, C-26/22 e C-64/22, par. 83, nella misura in cui dimostrerebbe la possibilità di fondare il trattamento su interessi legittimi anche quando i dati siano raccolti indirettamente, ossia quando la raccolta avvenga tramite soggetti terzi.

53. Lo stesso Garante avrebbe in passato ammesso che lo sviluppo di attività B2B fondate sul legittimo interesse sia compatibile con il quadro normativo purché accompagnato da adeguate garanzie (ad esempio, trasparenza e possibilità di opt-out). In particolare la Società ha citato i provvedimenti del 22 febbraio 2018, del 15 gennaio 2020 [9256486], [8080493] e del 29 aprile 2025 [10145986].

54. Analogamente, il CEPD, nel parere 28/2024 in materia di legittimo interesse nell’ambito dei modelli di intelligenza artificiale, avrebbe ribadito che tale base giuridica è ammissibile anche previa raccolta di informazioni sugli interessati da fonti pubbliche o da terze parti e la loro messa a disposizione dei clienti, purché supportato da un bilanciamento accurato e da misure di salvaguardia adeguate.

55. Nel merito delle sue attività, la Società ha così dichiarato che: «le attività di trattamento di Lusha si fondano, pertanto, sul legittimo interesse dei Clienti a svolgere attività di commercio B2B e sul legittimo interesse di Lusha a fornire un servizio che faciliti tali attività».

56. L’interesse primario di Lusha consiste nell’interesse economico a fornire servizi affidabili ai Clienti, in particolare garantendo loro dati di contatto professionali accurati e aggiornati al fine di prevenire le frodi e di instaurare interazioni commerciali significative ed efficaci con altre imprese e con i rispettivi rappresentanti.

57. La Società ha così sottolineato che la nozione di legittimo interesse deve essere intesa in senso ampio, ricomprendendo anche i legittimi interessi dei suoi Clienti che includono:

- Tutela contro il furto d’identità, la sostituzione di persona e frodi online. Fornendo informazioni convalidate e aggiornate, ricavate da fonti pubbliche, contributi comunitari e partnership affidabili, Lusha consente ai Clienti di verificare e autenticare la coerenza tra gli attributi professionali dichiarati da una persona fisica e i dati effettivamente corrispondenti;

- Sviluppo commerciale, marketing e reclutamento. Attraverso l’accesso a dati di contatto aggiornati le organizzazioni possono identificare e connettersi con potenziali clienti, candidati qualificati e figure decisionali strategiche.

58. Con riferimento al requisito della necessità del trattamento per il perseguimento dei legittimi interessi, la Società ha ribadito di trattare solo categorie limitate di dati, chiaramente definite e di natura professionale (quali nome, estremi di contatto, qualifica e posizione lavorativa). Questi dati devono necessariamente essere oggetto di arricchimento, verifica e sostituzione.

59. La Società ha ritenuto di evitare la raccolta diretta dei dati presso gli interessati, giudicandola una modalità “strutturalmente incompleta”, perché avrebbe escluso una quota ampia di contatti professionali e sarebbe stato di scarso aiuto a fini di antifrode e sostituzione di persona.

60. Per quanto riguarda il bilanciamento con i diritti e le libertà fondamentali degli interessati, la Società ha scelto di impedire la possibilità di effettuare ricerche libere e ampie sul proprio database per evitare l’estrazione massiva di dati o l’uso improprio della piattaforma. Piuttosto, ha adottato un sistema basato su “crediti” che i Clienti devono acquistare e consumare per accedere ai dati; ciò al fine di incoraggiare ricerche mirate e contestualizzate, limitando l’accesso complessivo ai dati dei Contatti.

61. Con riferimento all’impatto del trattamento sui Contatti, la Società ha dichiarato: di non trattare categorie di dati di cui agli artt. 9 e 10 RGPD, né dati che possano essere qualificati come propriamente privati (es., informazioni finanziarie); che il trattamento non incide sulla vita privata dei Contatti perché Lusha non ha un rapporto diretto con questi e i trattamenti si riferiscono a dati professionali, spesso già pubblicamente disponibili;

62. La Società ha poi dichiarato di ritenere che il trattamento rientri nelle legittime aspettative dei Contatti perché:

- li informa sui trattamenti tramite l’Informativa sui Dati Personali inviata a ciascun Contatto e l’Informativa Privacy pubblicamente disponibile;

- tratta solo categorie limitate di dati strettamente riferite alla sfera lavorativa e non alla vita privata;

- la circostanza che i dati pubblicati online possano essere riutilizzati da terzi – soprattutto quando tali informazioni sono rese pubbliche a un’ampia platea (ad es. su LinkedIn) – rientra nelle ragionevoli aspettative degli interessati.

63. La Società ha poi individuato alcune opportunità e vantaggi professionali che il trattamento produce per i Contatti, ossia: la possibilità di essere contattati da recruiter per posizioni lavorative; la ricezione di comunicazioni commerciali pertinenti; una comunicazione professionale più mirata ed efficiente.

64. Infine, la Società ha adottato misure aggiuntive per mitigare i rischi, ossia l’adozione di un periodo di riflessione volontario di sette giorni per l’opt-out dell’interessato che, ferma restando la possibilità di opporsi in qualunque momento, anche oltre tale periodo, opera come garanzia volontaria che consente a chi ne faccia richiesta di escludere ab origine l’aggiunta dei dati al database.

65. Con riferimento al Community program, la Società ha definito necessari i dati così raccolti in quanto tale programma è funzionale a garantire e migliorare l’esattezza del database. Solo così si può mantenere il database aggiornato e corretto, in attuazione dell’art. 5, par. 1, lett. d), RGPD (e, al contempo, a vantaggio del bilanciamento dei legittimi interessi ex art. 6, par. 1, lett. f), RGPD).

66. La Società ha poi specificato, con riferimento ai dati contenuti nei calendari dei membri della Community, di offrire – separatamente – una funzionalità calendario per i membri della Community. Si tratterebbe di un’operazione di trattamento autonoma (“Lusha Over Calendar”) che si integra con i calendari degli utenti (Google/Outlook) per permettere riunioni più efficaci.

3.5. Inapplicabilità del Titolo X del Codice privacy

67. Con riferimento agli artt. 129 e 130 del Codice, la Società ha dichiarato di non essere un “fornitore di comunicazioni elettroniche” bensì di operare come piattaforma online che consente l’accesso a dati di natura commerciale. L’art. 129 del Codice non troverebbe comunque applicazione perché la Società non produce, gestisce o commercializza elenchi pubblici di abbonati e il suo database non può essere equiparato agli elenchi universali di abbonati previsti dall’art. 129, anche perché è più simile ad un “elenco categorico” che ad un “elenco alfabetico”.

68. Parimenti, non troverebbe applicazione l’art. 130 del Codice nella misura in cui la Società non effettua comunicazioni di marketing ma queste sono svolte dai suoi Clienti che si assumono la piena responsabilità del rispetto della normativa applicabile.

3.6. Rispetto dei principi di data protection by design e by default

69. Per quanto riguarda la presenza di dati di funzionari statali e personaggi pubblici, la Società ha sostenuto che le contestazioni mosse nei suoi confronti non individuino violazioni del RGPD ma siano da ricondurre ad: «(a) un presunto mancato mantenimento di una garanzia spontanea, equiparato a concetti di promessa infranta che il GDPR non contempla; (b) una lettura non corretta degli artt. 5(1)(c), 25 e 32 GDPR, che confonde una misura precauzionale autonoma con l’ammissione che certi dati non siano necessari; e (c) l’asserzione che la presenza marginale di dati di contatto professionali riferibili a funzionari statali possa costituire violazione, nonostante il trattamento sia sorretto dall’art. 6(1)(f) GDPR e supportato da misure tecniche e organizzative allo stato dell’arte».

70. In assenza di un obbligo “concreto” del Regolamento, l’adozione di garanzie ulteriori rispetto a quelle contemplate dalla normativa non può trasformarsi in un obbligo la cui violazione comporti responsabilità e sanzioni. Inoltre, si confonde la scelta adottata spontaneamente a titolo prudenziale con un’inesistente ammissione che i dati esclusi non siano necessari. L’Autorità non avrebbe dimostrato perché l’eventuale presenza residua di dati professionali di funzionari statali costituisca un trattamento illecito. Al contrario, secondo la Società, anche il trattamento di tali dati rientra nelle finalità di comunicazione.

71. Citando poi la giurisprudenza e le linee guida europee in materia di diritto all’oblio, la Società ha affermato che i personaggi pubblici godono di una minore aspettativa di privacy rispetto ad altri interessati.

72. In ogni caso, per escludere dal database i contatti di funzionari pubblici, Lusha adotta da anni misure volontarie e tecnologie avanzate, quali filtri specifici, soppressione di domini e verifiche periodiche.

73. La residua presenza di un numero ridotto di profili, riscontrata nelle contestazioni, è stata causata da una lacuna tecnica dell’algoritmo di esclusione, che non intercettava titoli lavorativi particolarmente specifici. Ossia, il sistema intercettava qualifiche come “Presidente” e non titoli descrittivi o più articolati come “Presidente della Repubblica Italiana”, “Vice Primo Ministro” o “Leader dell’Opposizione”. Appena individuata la problematica, Lusha ha documentato l’anomalia, eliminato i dati e, in data 14.8.2025, ha rimosso i contatti residui del settore pubblico italiano (Pubblica Amministrazione, Forze dell’Ordine, Magistratura, Governo, Forze Armate, ecc.) dal proprio database.

3.7. Ulteriori interventi volontari

74. Al fine di dimostrare la propria volontà di collaborare per assicurare il massimo rispetto alla normativa, Lusha ha informato di aver adottato le seguenti nuove misure:

- aggiornamento della World Map of Direct Marketing Regulations per l’Italia, per fornire ai Clienti un’informazione più chiara sulla disciplina italiana del marketing diretto;

- avvio del processo di integrazione del Registro Pubblico delle Opposizioni nella apposita funzione di Lusha;

- rafforzamento del processo di registrazione dei Clienti introducendo ulteriori verifiche (obbligo di indicare la ragione sociale e la sede, dichiarazione tramite checkbox di essere autorizzati a operare per conto della società rappresentata);

- aggiornamento della Informativa Privacy e delle Informative sui Dati Personali, per rendere ancor più chiaro il ricorso al legittimo interesse e re-invio ai Contatti italiani, in lingua italiana, della Informativa sui Dati Personali aggiornata;

- estensione, a partire dall’ottobre 2025, del periodo di riflessione (cooling-off period) da 7 a 14 giorni concesso ai nuovi Contatti per esercitare l’opt-out;

- progressiva dismissione e blocco dell’accesso al Community Program in Italia;

- rafforzamento delle misure di esclusione dei dati relativi a funzionari pubblici e figure assimilabili, inclusa la rimozione dei residui profili legati al settore pubblico in Italia e l’introduzione di: (i) un controllo settimanale basato su intelligenza artificiale dei siti istituzionali ufficiali per identificare ed eliminare eventuali nominativi corrispondenti nel database; e (ii) audit trimestrali affidati a un consulente terzo volti a garantire un monitoraggio continuo e un miglioramento costante delle misure adottate.

3.8. Circostante attenuanti

75. Con riferimento alla natura, gravità e durata della violazione, la Società ha:

- contestato la qualificazione del proprio trattamento come “particolarmente esteso e intrusivo”, in quanto i dati oggetto di trattamento sono solo identificatori professionali di base, normalmente resi disponibili dagli stessi professionisti in contesti lavorativi. Lusha non tratta categorie di dati di cui agli artt. 9 e 10 RGPD;

- sostenuto che il contesto professionale riduce la gravità;

- specificato che il servizio di Lusha è strutturalmente diverso da un elenco “aperto” o “pubblico”;

- sostenuto che non è stato individuato alcun danno concreto agli interessati;

- dichiarato che la violazione è caratterizzata da “bassa offensività” nella misura in cui le contestazioni attengono a profili interpretativi e all’efficacia di presidi volontari eccedenti il minimo legale.

76. Inoltre, Lusha ha sempre agito in buona fede e l’eventuale violazione non può essere imputata né a titolo di dolo né di colpa, nonché cooperato con l’Autorità rafforzando la compliance della Società.

77. La Società ha poi provveduto a certificare l’intero team legale e di compliance attraverso qualifiche CIPP (Certified Information Privacy Professional) e i suoi trattamenti sono sottoposti a verifiche indipendenti da parte di terzi sulla base di diverse certificazioni.

78. Infine, la Società ha definito il suo fatturato come “contenuto”, “modesto” e con “margini negativi”, oltre ad evidenziare di non essere un operatore dominante nel suo mercato di riferimento e di continuare a investire in compliance senza trarne profitto.

3.9. L’audizione della Società e la seguente comunicazione

79. In data 11 febbraio 2026 si è svolta, presso la sede dell’Autorità, l’audizione della Società che ha innanzitutto confermato l’adozione di alcune misure per porre rimedio alle contestazioni. In particolare ha chiarito di aver:

- rimosso integralmente tutti i contatti residui riconducibili a enti e istituzioni pubbliche italiane presenti nel database, nonché aggiornato e rafforzato il sistema di esclusione in modo tale da comprendere anche la pubblica amministrazione, le forze dell’ordine e l’autorità giudiziaria;

- completato il processo di reinvio delle Informative sui Dati personali «a tutti i Contatti, inclusi quelli residenti in Italia (pari, per l’Italia, a oltre XX), operazione conclusa in data 29 gennaio 2026»;

- aggiornato i propri Termini e Condizioni;

- dismesso e bloccato l’accesso al Community Program per i Clienti che si registrano tramite indirizzi IP italiani o a soggetti associati a domini riconducibili a organizzazioni italiane;

80. Con riferimento all’applicabilità del Regolamento ai sensi dell’art. 3, par. 2, lett. a), la Società ha sostenuto che ciò che rileva ai fini della giurisdizione è l’intenzione di offrire i propri servizi a persone fisiche stabilite nell’UE. Nel caso concreto, l’intenzione di Lusha è offrire i propri servizi solo ad aziende e organizzazioni in quanto servizio B2B. Ciò che deve essere dimostrato non è quindi l’intenzione dell’utente di agire come persona giuridica ma l’intenzione di Lusha di rivolgersi ad altre aziende piuttosto che a privati. In applicazione di tale tesi, le verifiche della Società si concentravano solo sulle e-mail usate in fase di iscrizione: il sistema ammetteva solo e-mail business ed escludeva quelle personali (come Gmail, Yahoo, ecc.).

81.In ipotesi, l’accesso sarebbe stato bloccato anche se l’utente avesse tentato di iscriversi con dominio personale (es. nome@nomecognome.it). Questo perché la Società non intende offrire i propri servizi a entità con account propri, come per esempio i liberi professionisti e le ditte individuali, e il loro accesso al servizio integrerebbe una violazione delle condizioni contrattuali perché l’utente non può agire come individuo.

82. In seguito all’accertamento dell’Autorità la Società ha introdotto ulteriori misure come la necessità di inserire il nome dell’azienda, la ragione sociale e una check box per dichiarare di agire per conto dell’azienda. Inoltre, la mail usata viene oggi confrontata con quelle contenute in un database di aziende, società e fornitori esterni di cui la Società si è dotata. Non si richiedono elementi come il codice fiscale o la partita IVA della società, la fattura o una delega.

83. Con riferimento al criterio del monitoraggio di cui all’art. 3, par. 2, lett. b), del Regolamento, la Società ha sottolineato le analogie tra l’indagine del Garante e quella precedentemente condotta dalla CNIL. All’esito della sua istruttoria, la CNIL avrebbe ritenuto che: «non vi fosse monitoraggio in quanto non c’è alcuna attività di profilazione ai sensi del Regolamento. Lusha registra il cambio di lavoro dei soggetti censiti ma questo non implica profilazione ma solo aggiornamento del dato. Il fatto che qualcuno cambi lavoro, e quindi conseguentemente Lusha cambia la qualifica nel database, non implica profilazione nella misura in cui non porta a capire le preferenze comportamentali. Significa solo che l’aggiornamento della posizione lavorativa è applicazione del principio di esattezza del dato». Inoltre, la Società ha specificato che: «per aggiornare i contatti nel database deve controllarli tutti periodicamente e costantemente. Questo è necessario per l’aggiornamento dei dati e deriva da un obbligo di accuratezza».

84. Con riferimento al fondamento di liceità la Società ha confermato di ricorrere al legittimo interesse ex art. 6, par. 1, lett. f), del Regolamento sia per la raccolta dei dati dei Contatti sia per la loro comunicazione a terzi per fini di terzi. Inoltre, gli interessati hanno una legittima aspettativa a essere contattati da aziende e professionisti in quanto sono loro che hanno reso pubbliche le proprie informazioni.

85. Sul tema, dopo che l’Ufficio ha rilevato che nei profili Linkedin degli utenti (indicata dalla Società come principale fonte dei dati) non sono disponibili i loro dati di contatto (numero di telefono ed e-mail), la Società ha dichiarato che: «se la persona si iscrive su Linkedin significa che vuole presentarsi come professionista sul mercato del lavoro. […] Per quanto riguarda i dati non disponibili su Linkedin, con riferimento alla e-mail, questa può essere desunta attraverso un algoritmo con conseguente tentativo di invio di un’informativa o acquisita da altre fonti. Per quanto riguarda i numeri di telefono vengono acquistati da “vendor” prevalentemente statunitensi con cui Lusha lavora». Dunque: «se i dati di contatto non sono disponibili su Linkedin, Lusha li integra attraverso altre fonti tra cui anche la partecipazione ad eventi disponibili online o attraverso “community” online».

86. Da ultimo, con comunicazione del 18 febbraio 2026 (prot. 26323), la Società ha riportato in forma scritta i chiarimenti resi nel corso dell’audizione con riferimento al procedimento che ha coinvolto Lusha dinanzi alla CNIL. In tale sede, nel riconoscere «la piena autonomia e sovranità decisionale di codesta Autorità, nonché l’assenza di efficacia formalmente vincolante della decisione della CNIL», la Società ha ribadito che: con riferimento all’art. 3, par. 2, lett. a), RGPD, la CNIL avrebbe riconosciuto che l’offerta di beni e servizi da parte di Lusha sia rivolta esclusivamente ai Clienti; con riferimento al criterio di cui all’art. 3, par. 2, lett. b), RGPD, invece, le CNIL avrebbe concluso che i trattamenti di Lusha non integrano un’ipotesi di tracciamento, profilazione o attività di monitoraggio del comportamento degli interessati.

4. VALUTAZIONI DELL’AUTORITÀ

87. All’esito dell’attività istruttoria, valutate le argomentazioni addotte dalla Società e delle quali il dichiarante risponde ai sensi dell’art. 168 del Codice, l’Autorità ritiene che le stesse risultino solo parzialmente idonee ad escluderne la responsabilità.

4.1. Funzionamento del servizio offerto

88. Il servizio offerto della Società consiste nel mettere a disposizione dei Clienti – a fronte del pagamento di un abbonamento mensile, annuale o personalizzato e salvo un limitato periodo di utilizzo gratuito – le informazioni contenute nel proprio database.

89. Tali informazioni sono organizzate in una “Scheda contatto aziendale” (“Business Contact Card”) per ogni singolo Contatto che, previo aggiornamento su base settimanale, contiene i dati relativi ad una specifica persona fisica della quale si forniscono le seguenti informazioni: nome, indirizzo e-mail, numero di telefono, qualifica professionale, anzianità, ruolo e ubicazione. Tali informazioni costituiscono dati personali ai sensi dell’art. 4, n. 1, del Regolamento.

90. Il modello di business è incentrato sulla messa a disposizione dei dati personali dei Contatti ai Clienti. Ciò è reso possibile tramite diversi e successivi trattamenti: innanzitutto la raccolta dei dati tramite più fonti; poi l’organizzazione e la strutturazione di tali dati tramite incrocio e/o unione con altri dati, in modo da creare le “schede contatto” univoche; segue l’arricchimento delle schede con le informazioni eventualmente mancanti prese da altre fonti; dopodiché tali schede sono sottoposte a costante e periodico aggiornamento tramite osservazione delle vicende relative alla vita lavorativa dei Contatti; infine e contestualmente all’aggiornamento, vi è la messa a disposizione delle schede contatto ai Clienti che possono consultarle tramite diverse funzioni: per esempio filtrando i risultati (per numero di telefono o e-mail, localizzazione, attività lavorativa o, anche, ruolo, anzianità, dimensioni dell’azienda, cambi di lavoro, ecc.) o tramite suggerimento automatico a mezzo di algoritmi di raccomandazione basati sugli interessi inferiti dai Clienti.

91. Con riferimento a tali trattamenti e come riconosciuto dalla Società nel riscontro del 29 maggio 2025, l’Autorità ritiene che Lusha rivesta la qualifica di titolare del trattamento ex art. 4, n. 7, del Regolamento dal momento che è lei a determinare la finalità (la messa a disposizione dei dati) e i mezzi del trattamento (le varie modalità di cui si compongono i processi di raccolta, unione, arricchimento, aggiornamento e messa a disposizione e/o esclusione dei dati dal database). A loro volta i Clienti potranno utilizzare i dati così ottenuti per proprie finalità, in qualità di autonomi titolari del trattamento.

92. Le principali fonti di raccolta dei dati risultano essere le piattaforme LinkedIn e Salesforce, nonché blog, siti e forum professionali. A queste si aggiungono i dati dei Contatti che la Società ottiene dai propri Clienti che si vincolano con le condizioni contrattuali del Community Program, nonché dall’integrazione tramite API di Lusha con altri servizi e CRM dei Clienti (per esempio, Gmail, Outlook, Outreach. Sul tema, nel par. 3.2 della Privacy Notice acquisita agli atti, si legge: «By connecting your email account as an Integration, Lusha may scan and/or extract business contact details from the inbox and may use it to improve its services») e tramite l’utilizzo delle “Lusha integrations”, come le estensioni di Lusha per browser o altri software che consentono la raccolta di dati durante la navigazione online del Cliente che ha installato tali estensioni.

93. Infine, eventuali informazioni mancanti vengono ricostruite tramite diversi trattamenti. Gli indirizzi e-mail vengono acquisiti da altre fonti oppure desunti tramite algoritmi di creazione (es. nomecognome@azienda.dominio). Alla creazione dell’e-mail segue il tentativo di invio di un’informativa. Per quanto riguarda i numeri di telefono, questi vengono acquistati da altri “vendor” o partner che collaborano con la Società e che sono prevalentemente di origine statunitense.

4.2. Sull’applicabilità del Regolamento

94. In via preliminare occorre soffermarsi sull’applicabilità del Regolamento (UE) 2016/679 ai trattamenti dei dati degli interessati che si trovano nell’UE effettuati da un titolare (o un responsabile) non stabilito nell’Unione. Nel far ciò risulta opportuno sgombrare il campo da valutazioni effettuate da altri soggetti e, in particolare, dai richiamati precedenti delle autorità del Lussemburgo e della Francia.

95. Premesso che il Garante tiene nella più alta considerazione le valutazioni effettuate dai suoi omologhi europei, coi quali, come è noto, intrattiene costanti relazioni e confronti nell’ambito del meccanismo di cooperazione e coerenza descritto dal Capo VII del Regolamento, ai sensi del diritto europeo e al di fuori del già citato meccanismo di cooperazione e coerenza, il Garante non è vincolato dalle loro valutazioni e non è giuridicamente soggetto ad eventuali precedenti statuizioni. Tale circostanza è riconosciuta anche dalla Società nella comunicazione del 18 febbraio 2026 con la quale ha depositato una nota di chiarimento alle dichiarazioni rese nel corso dell’audizione.

96. Più nel dettaglio, con riferimento alla e-mail dell’autorità del Lussemburgo, il Garante evidenzia che poiché si tratta di un atto relativo ad uno specifico caso, l’e-mail non può che avere natura di comunicazione tra soggetti terzi rispetto al Garante e pertanto può, se del caso, far stato solo tra le parti coinvolte. Tale atto, tra l’altro non oggetto di pubblicazione, deve ritenersi privo di valore giuridico erga omnes e non vincolante per le altre autorità di controllo europee.

97. Con riferimento alla decisione SAN-2022-024 del 20 dicembre 2022 dell’autorità di controllo francese (“CNIL”), a prescindere dalla fattispecie oggetto di analisi, anche tale pronuncia è frutto di una valutazione relativa allo specifico caso concreto sottoposto a tale autorità e anche questa non è vincolante per il Garante e le altre autorità di controllo. Come anche desumibile dal considerando 143 del Regolamento, anche questa decisione produce effetti giuridici solo nei confronti delle parti in causa.

98. Premesso che, in generale, l’ordinamento giuridico dell’UE ha attribuito alla Corte di Giustizia, attraverso il rinvio pregiudiziale di cui all’art. 267 del TFUE, la fondamentale funzione nomofilattica del diritto europeo, cui consegue l’obbligo di applicazione coerente e omogenea del diritto UE, il rispetto del principio di leale cooperazione di cui all’art. 4, par. 3, TUE da parte del Garante deve valutarsi in relazione alle procedure di cooperazione previste dal Capo VII del Regolamento. Poiché la Società non ha uno stabilimento nel territorio di uno Stato membro, la citata procedura di cooperazione non trova applicazione e, quindi, non è configurabile alcuna violazione del principio di leale cooperazione del Garante nei confronti di altre autorità di controllo europee (Cfr. Linee guida 3/2018 del CEPD, pag. 14).

99. Parimenti, al di fuori delle procedure di cooperazione già citate che, con riferimento alla normativa in materia di protezione dei dati personali, attribuiscono al CEPD il compito di assicurare l’applicazione coerente del RGPD (cfr. Corte di Giustizia 10 febbraio 2026, WhastsApp Ireland c. CEPD, C-97/23 P, punto 103), l’Autorità ritiene che l’esigenza espressa dal Considerando 10 del Regolamento, volta a garantire un livello di protezione dei diritti e delle libertà equivalente in tutti gli Stati membri, non comporti, per ciò solo, per un’autorità di controllo l’impossibilità di discostarsi dalle precedenti valutazioni di altra autorità. Al contrario, in base all’art. 57, par. 1, del Regolamento, ciascuna autorità di controllo è competente ad eseguire i compiti e ad esercitare i poteri ad essa conferiti a norma di tale Regolamento nel territorio dello Stato membro di appartenenza.

4.2.1. Il criterio dell’offerta di beni o prestazioni di servizi a interessati nell’UE di cui all’art. 3, par. 2, lett. a), RGPD

100. Con riferimento al criterio di cui all’art. 3, par. 2, lett. a), del Regolamento, Lusha ha sostenuto che i suoi servizi sarebbero concepiti, offerti ed erogati solo a persone giuridiche per uso professionale, non a persone fisiche per uso privato.

101. Dalla documentazione in atti risulta che a fronte dell’interesse e dell’intenzione della Società di offrire i propri servizi solo a persone giuridiche non corrisponde una organizzazione e una struttura tale, così come l’adozione di meccanismi e misure idonee, da escludere le persone fisiche dall’accesso ai propri servizi. Se è pacifico che l’intenzione della Società debba e possa essere valutata, e quindi anche dimostrata, sulla base delle azioni da questa intraprese per passare da una progettazione astratta a un modello operativo concreto (cfr. Considerando 23 RGPD), sicché la Società avrebbe dovuto adeguatamente rendere operative e concretizzare le sue intenzioni, proprio dall’analisi del precipitato pratico del suo convincimento si ricava come la Società non fosse in grado di garantire e di dimostrare di interloquire con persone giuridiche e non anche con persone fisiche.

102. In particolare, a differenza di quel che avviene da parte di altri operatori nei mercati B2B, i quali per limitare la fornitura dei propri servizi solo a persone giuridiche o comunque ad individui nell’ambito di un’attività di business, si premurano di richiedere elementi univocamente sintomatici di un’attività di impresa (come la partita IVA o la dimostrazione di un potere di rappresentanza o delega), la Società non ha implementato adeguate misure.

103. Ciò premesso, sebbene non si ritenga raggiunta la prova che i servizi della Società siano offerti solo a persone giuridiche e non anche a soggetti astrattamente qualificabili come “interessati” persone fisiche, si riconosce che, anche sulla base delle linee guida CEPD 3/2018, il ricorso al criterio di cui all’art. 3, par. 2, lett. a), RGPD comporterebbe l’applicabilità del Regolamento al trattamento di dati personali dei “Clienti”.

104. Se, dunque, in generale non può essere condivisa la tesi secondo la quale il Regolamento non trovi applicazione ai trattamenti di dati personali effettuati dalla Società, residuando trattamenti che, come esposto, possono ricadere nell’ambito di applicazione del Regolamento, l’Autorità riconosce che il criterio di cui all’art. 3, par. 2, lett. a), RGPD non possa coprire anche i trattamenti dei dati dei Contatti ai quali è limitata la presente istruttoria.

4.2.2. Il criterio del monitoraggio del comportamento degli interessati di cui all’art. 3, par. 2, lett. b), RGPD

105. L’art. 3, par. 2, lett. b), del Regolamento ne fonda l’applicazione in presenza di un’attività di «monitoraggio del […] comportamento [di interessati che si trovano nell’Unione] nella misura in cui tale comportamento ha luogo all’interno dell’Unione».

106. Tale criterio risulta esplicitato dal considerando 24 del Regolamento per il quale: «È opportuno che anche il trattamento dei dati personali degli interessati che si trovano nell’Unione ad opera di un titolare del trattamento o di un responsabile del trattamento non stabilito nell’Unione sia soggetto al presente regolamento quando è riferito al monitoraggio del comportamento di detti interessati, nella misura in cui tale comportamento ha luogo all’interno dell’Unione. Per stabilire se un’attività di trattamento sia assimilabile al controllo del comportamento dell’interessato, è opportuno verificare se le persone fisiche sono tracciate su internet, compreso l’eventuale ricorso successivo a tecniche di trattamento dei dati personali che consistono nella profilazione della persona fisica, in particolare per adottare decisioni che la riguardano o analizzarne o prevederne le preferenze, i comportamenti e le posizioni personali».

107. Secondo costante giurisprudenza della Corte di Giustizia, ai fini dell’interpretazione uniforme del diritto dell’Unione si deve tener conto non soltanto del suo tenore letterale ma anche del contesto nel quale esso s’inscrive e degli obiettivi perseguiti dalla normativa di cui essa fa parte (sentenze 18 dicembre 2025, Storstockholms Lokaltrafik, C-422/24, punto 28; 1° agosto 2025, Alace e Canpelli, C-758/24 e C-759/24, EU:C:2025:591, punto 91; 28 novembre 2024, Másdi, C-169/23, EU:C:2024:988, punto 39; 7 dicembre 2023, UF e AB contro Land Hessen, C‑26/22 e C‑64/22, ECLI:EU:C:2023:958, punto 48). Inoltre, l’obiettivo del RGPD consiste nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall’art. 8, par. 1, della Carta dei Diritti Fondamentali dell’UE e all’art. 16, par. 1, TFUE (sentenze del 27 febbraio 2025, Dun & Bradstreet Austria, C-203/22, EU:C:2025:117, punto 51; 4 ottobre 2024, C-446/21, Schrems c. Meta Platforms Ireland Ltd., EU:C:2024:834, punto 45 e giurisprudenza ivi citata).

108. Tale interpretazione è sostenuta anche dalle Linee guida 3/2018 del CEPD, laddove si legge, a pag. 4, che: «L’articolo 3 del RGPD rispecchia la volontà del legislatore di assicurare una tutela globale dei diritti degli interessati nell’UE e di stabilire, in termini di requisiti sulla protezione dei dati, una parità di condizioni per le imprese attive sui mercati UE, in un contesto caratterizzato da flussi di dati su scala mondiale».

109. Più precisamente, il Regolamento troverà applicazione qualora il comportamento dell’interessato sia sottoposto a “monitoraggio” o “controllo”. Tali concetti possono essere considerati sinonimi nella misura in cui sia nella versione inglese che in quella francese del Regolamento sono rappresentati con la stessa formula: la versione inglese parla di “monitoring” e “to monitor” «the behaviour of data subjects», la versione francese parla di “suivi” «du comportement des personnes concernées». A tal riguardo, la Corte di Giustizia ha sostenuto che le disposizioni del diritto dell’UE devono essere interpretate e applicate in modo uniforme alla luce delle versioni vigenti in tutte le lingue dell’Unione e, in caso di divergenza, la disposizione di cui trattasi deve essere interpretata in funzione dell’economia generale e della finalità della normativa di cui essa fa parte (cfr. sentenze 18 dicembre 2025, Storstockholms Lokaltrafik, C-422/24, ECLI:EU:C:2025:980, punto 31; 13 febbraio 2025, Verbraucherzentrale Berlin, C-612/23, EU:C:2025:82, punto 31 e giurisprudenza ivi citata).

110. Secondo il considerando 24, il controllo o monitoraggio si integra quando l’interessato è “tracciato” su internet («tracked on the internet» in inglese e «suivies sur internet» in francese) e, in particolare, quando tale tracciamento è funzionale all’adozione di decisioni che riguardano l’interessato oppure, in alternativa (il considerando usa la disgiuntiva “o”) per analizzare o anche prevedere: le preferenze, i comportamenti, e le posizioni personali dell’interessato.

111. Tali obiettivi possono anche essere raggiunti tramite un trattamento espressamente definito dal considerando 24 come “eventuale” e “successivo” a un tracciamento già svolto, ossia il ricorso alla profilazione ex art. 4, n. 4, del Regolamento. Da ciò si desume che la profilazione non è una condicio sine qua non del tracciamento delle persone fisiche su internet (e, quindi, del loro monitoraggio o controllo) ma un trattamento solo “eventuale” che, se presente, certamente contribuisce a rafforzare e rendere più efficiente il tracciamento, nonché alzare il livello di rischio dello stesso, ma la cui assenza non incide sulla possibilità di tracciare il comportamento delle persone fisiche.

112. Che il “tracciamento su internet”, quale figura sintomatica del “monitoraggio” del comportamento degli interessati, sia un’attività distinta dalla profilazione in senso tecnico lo si ricava anche dalla lettura del considerando 30 del Regolamento e, conseguentemente, della normativa sui sistemi di tracciamento.

113. Il considerando 30 fa riferimento alla raccolta di “tracce” relative alle persone fisiche in conseguenza dell’utilizzo di strumenti come gli identificativi online, gli indirizzi IP o i marcatori (es. i cookie). Tramite questi, le persone fisiche «possono lasciare tracce che […] possono essere utilizzate per creare profili delle persone fisiche e identificarle». In tal senso, creare profili non vuol dire porre in essere attività di profilazione ma realizzare un elenco “statico” di attributi riferiti a una persona fisica. Ciò è desumibile dai provvedimenti in materia di cookie e altri strumenti di tracciamento (ex multis, con riferimento al Garante, si vedano le: Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021, doc. web n. 9677876; Linee Guida in materia di utilizzo di tracking pixel nelle comunicazioni di posta elettronica, 17 aprile 2026, doc. web n. 10241943). Il funzionamento dei cookie e degli altri strumenti di tracciamento come i pixel, consente infatti di “tracciare” l’attività dell’utente ma non anche, istantaneamente e contestualmente con la medesima azione, di profilarlo, ossia di porre in essere attività valutative e/o predittive sulla persona. La profilazione è quindi un’attività successiva che viene realizzata con le informazioni ottenute dal previo tracciamento.

114. Da ciò ne segue che il “tracciamento su internet” che integra il “monitoraggio del comportamento degli interessati” può sicuramente essere funzionale ad una “successiva” ed “eventuale” attività di profilazione dello stesso ma resta comunque un trattamento distinto e logicamente antecedente alla profilazione, astrattamente utile anche per altri trattamenti che non integrano la profilazione. Come si legge nelle “Linee guida cookie” del 10 giugno 2021: «I cookie possono dunque svolgere importanti e diverse funzioni, tra cui il monitoraggio di sessioni, la memorizzazione di informazioni su specifiche configurazioni riguardanti gli utenti che accedono al server, l’agevolazione nella fruizione dei contenuti online etc. […]. Se da un lato è tramite i cookie che è possibile consentire, tra l’altro, alle pagine web di caricarsi più velocemente, come pure instradare le informazioni su una rete - in linea dunque con adempimenti strettamente connessi alla operatività stessa dei siti web -, sempre attraverso i cookie è possibile anche veicolare la pubblicità comportamentale (c.d. “behavioural advertising”) e misurare poi l’efficacia del messaggio pubblicitario, ovvero conformare tipologia e modalità dei servizi resi ai comportamenti dell’utente oggetto di precedente osservazione».

115. Che il concetto di monitoraggio e quello di profilazione facciano riferimento ad attività ontologicamente autonome e distinte lo si ricava inoltre, in applicazione dell’art. 35, par. 6, del Regolamento, dalle “Linee guida in materia di valutazione d’impatto” del 4 aprile 2017 del Gruppo di lavoro Articolo 29 (WP 248 rev.01) e fatte proprie dall’CEPD, nella parte in cui si elencano i criteri sintomatici di un rischio elevato. Tale elenco individua autonomamente – rispettivamente ai punti 1 e 3 – la profilazione e il monitoraggio come conseguenza del trattamento utilizzato per «osservare, monitorare o controllare gli interessati, ivi inclusi i dati raccolti tramite reti». Quale esempio di “monitoraggio sistematico” si cita, a pag. 12, «Un’azienda che monitora sistematicamente le attività dei suoi dipendenti, controllando anche la postazione di lavoro dei dipendenti, le loro attività in Internet, ecc.». Allo stesso modo anche il Garante, nell’Allegato 1 al provvedimento n. 467 dell’11 ottobre 2018, doc. web n. 9058979, ha individuato separatamente la profilazione dall’osservazione, monitoraggio o controllo degli interessati. Da ultimo, si può citare l’art. 37, par. 1, lett. c), RGPD nella parte in cui considerata «il monitoraggio regolare e sistematico degli interessati su larga scala», e non la profilazione, come un’attività che determina l’obbligo di designazione del Responsabile della protezione dei dati.

116. Inoltre, nelle linee guida 3/2018, il CEPD, nel ribadire che «il monitoraggio del comportamento di interessati che si trovano nell’Unione, potrebbe quindi comprendere una vasta gamma di attività», propone un elenco non esaustivo di trattamenti che possono integrare un monitoraggio rilevante ai sensi dell’art. 3, par. 2, lett. b), del Regolamento. Tra questi, i seguenti sono quelli che più si avvicinano al trattamento effettuato dalla Società: l’attività di geolocalizzazione, in particolare a scopi di marketing; monitoraggio o comunicazione regolare sullo stato di salute di un individuo. A pag. 17 il CEPD offre poi un esempio di monitoraggio che non richiede necessariamente un trattamento di profilazione: «trattando i dati di ubicazione dell’interessato al fine di offrire pubblicità mirata sulla base di tale ubicazione, le attività di trattamento riguardano anche il monitoraggio del comportamento di persone fisiche nell’Unione. Il trattamento della sturt-up statunitense, quindi, ricade nell’ambito di applicazione del RGPD anche ai sensi dell’articolo 3, paragrafo 2, lettera b)».

117. Deve quindi concludersi che affinché si possa integrare il monitoraggio o controllo del comportamento degli interessati è necessario dimostrare il “tracciamento” delle persone fisiche su internet; non anche la presenza di una profilazione rilevante ai sensi dell’art. 4, n. 4 del Regolamento o analisi comportamentale.

118. Infine, il Considerando 24 richiede che il tracciamento dell’interessato debba essere finalizzato “in particolare” ad «adottare decisioni che la riguardano o analizzarne o prevederne le […] posizioni personali».

119. Nella fattispecie concreta, la Società pone in essere diversi trattamenti di dati dei Contatti: dalla raccolta all’organizzazione e unione con altre informazioni, fino all’arricchimento e costante aggiornamento degli stessi, che gli consentono di analizzare la posizione lavorativa (quale sottocategoria di una posizione personale) di diverse centinaia di migliaia di persone fisiche e/o prendere la decisione di rendere disponibile (o escludere, come si vedrà nel caso dei funzionari pubblici) il dato dal proprio database. Inoltre, da quanto disponibile in atti risulta che la Società aggiorna costantemente, quanto meno su base settimanale, le “schede contatto” univoche per ciascuna persona fisica censita nel database. Così facendo, ancorché in assenza di un’attività di profilazione rilevante ai sensi dell’art. 4, n. 4, del Regolamento, la Società protrae nel tempo il “tracciamento su internet” delle posizioni personali dei Contatti, integrando la precedente decisione sugli interessati, conseguente all’attività di monitoraggio, con l’ulteriore finalità di analizzare le modifiche delle posizioni personali e lavorative degli stessi.

120. Dunque, contrariamente a quanto sostenuto dalla Società, l’Autorità ritiene che il monitoraggio del comportamento degli interessati non necessiti di profilazione o analisi comportamentale in senso tecnico, bensì della raccolta di informazioni, o tracce di queste, relative ai comportamenti e posizioni personali degli interessati all’interno dell’Unione, per adottare decisioni che li riguardano con riferimento all’attività lavorativa. Tutte attività che Lusha pone in essere tramite la creazione e poi costante aggiornamento delle “schede contatto” univoche ad ogni persona fisica.

121. Il fatto che l’aggiornamento della posizione lavorativa dei Contatti sia posto in essere anche quale misura volta a garantire l’accuratezza delle informazioni in attuazione del principio di esattezza ex art. 5, par. 1, lett. d), RGPD, non esclude la realizzazione, in concreto, di un monitoraggio del comportamento degli interessati.

122. L’Autorità ritiene quindi che, in primis, tracciare la posizione, qualifica, ubicazione o altro elemento relativo all’attività lavorativa di una persona fisica al fine di valutarne l’inserimento in un database (e, quindi, determinare o meno la messa a disposizione dei suoi dati a soggetti terzi), così come e in aggiunta, successivamente, monitorare la presenza, la modifica o la cancellazione dei citati dati relativi all’attività lavorativa al fine di analizzare eventuali variazioni, in modo continuato e costante nel tempo, integri non solo la lettera ma anche la ratio del criterio del monitoraggio di cui all’art. 3, par. 2, lett. b), del Regolamento e fondi quell’opportunità di tutelare, in condizioni di parità su scala mondiale per tutte le imprese attive nei mercati UE, la persona fisica ai sensi del diritto dell’UE.

123. Deve quindi ritenersi provato che il Regolamento trovi applicazione al trattamento dei dati dei Contatti effettuato dalla Società, in qualità di titolare del trattamento, sulla base all’art. 3, par. 2, lett. b), del medesimo Regolamento.

4.2.3. Applicabilità del Codice

124. All’applicabilità del Regolamento ai trattamenti oggetto di istruttoria consegue inoltre quella del Codice.

4.3. Trasparenza sulla base giuridica e sul rappresentante UE

125. Il principio di trasparenza ex art. 5, par. 1, lett. a), del Regolamento, declinato negli obblighi informativi di cui agli artt. 12 e ss del medesimo Regolamento, impone al titolare di fornire agli interessati – «in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro» – le informazioni necessarie per descrivere i trattamenti. In particolare, tali informazioni devono comprendere l’identità e i dati di contatto del titolare e, ove questo non sia stabilito nell’UE, del suo rappresentante, nonché le finalità del trattamento e le relative basi giuridiche.

126. La Società ha sostenuto che sia l’Informativa Privacy (“Privacy Notice”) sia l’Informativa sui Dati Personali (“Personal Information Policy”), «se lette in modo corretto e contestuale», consentissero di individuare il legittimo interesse quale base giuridica.

127. Con riferimento all’Informativa Privacy, nella versione del 5 febbraio 2025 oggetto di istruttoria, ai paragrafi 4 e 4.1, il legittimo interesse è spesso invocato come base giuridica. Ciononostante, non si fa riferimento alla raccolta dei dati che, invece, era l’oggetto della contestazione dell’Ufficio. Inoltre, pur riconoscendo che l’operazione di raccolta del dato possa essere considerata implicita nei trattamenti successivi, in assenza di specifica indicazione della raccolta dei dati, sorretta dalla relativa base giuridica, l’interessato si ritrova privo di un’informazione essenziale alla corretta comprensione dei trattamenti e, quindi, incapace di esercitare al meglio i diritti che l’ordinamento gli riconosce. A ciò deve aggiungersi che specificare l’attività di raccolta del dato aiuta a determinare la fonte di acquisizione dello stesso anche ai fini di valutare l’ambito di applicazione dell’art. 13 o 14 del Regolamento.

128. Con riferimento all’Informativa sui Dati Personali, in via preliminare si rileva che tale documentazione non risulti facilmente accessibile sul sito della Società. La documentazione legale non è presente nella home page ma è disponibile soltanto cliccando sulla voce “Resources” del menù e poi su “About” al fine di aprire la relativa pagina che reca, in calce alla stessa, diversi link ipertestuali (si veda anche lo screenshot fornito dalla Società, All. 6, deduzioni e osservazioni difensive). Tra questi, nella colonna “Legal”, sono presenti i collegamenti ad alcuni documenti come i Terms and Condition, la Privacy Notice e la Cookie Policy, ma non anche la citata Informativa sui Dati Personali (“Personal Information Policy”). Dunque, se per raggiungere l’Informativa Privacy servono almeno tre click, non risulta invece possibile accedere all’Informativa sui Dati Personali a causa dell’assenza del relativo link. L’unico modo agevole per raggiungere tale ultimo documento è risultato essere l’interrogazione di un motore di ricerca. Operazione che necessariamente presuppone la previa conoscenza dell’esistenza online del documento. Lo stesso Ufficio ha avuto contezza di tale documento perché prodotto dalla Società con le osservazioni difensive. Ciò premesso, il contesto molto più sintetico e l’indicazione delle fonti di acquisizione dei dati rendano possibile desumere la base giuridica della raccolta dei dati, anche qui indicata nel legittimo interesse.

129. In conseguenza di quanto sopra, le difese della Società possono essere considerate parzialmente risolutive delle contestazioni mosse nella misura in cui le informazioni sul fondamento di liceità della raccolta dei dati risultano comunque disponibili per gli interessati. Tuttavia, le modalità con le quali le informazioni sono state complessivamente fornite non risultano in linea con i criteri stabiliti dall’art. 12, par. 1, del Regolamento. Proprio il fatto che le informazioni rilevanti non fossero disponibili nella home page, nonché la necessità di una particolare attenzione nella lettura di più documenti in lingua inglese, dunque non nella lingua della nazionalità dei Contatti, impedisce di qualificare l’informazione fornita come concisa, trasparente, intellegibile, semplice e chiara o facilmente accessibile.

130. Con riferimento al rappresentante ex art. 27 del Regolamento, l’Autorità prende atto del mutato approccio palesato dalla Società. In sede di riscontro alla richiesta di informazioni dell’Ufficio la Società aveva sostenuto di non essere tenuta a nominare un proprio rappresentante in UE e di aver individuato un mero punto di contatto in Germania. Parimenti, l’Informativa Privacy si riferiva a tale ente quale “contact point” nell’UE. Invece, in sede di esercizio del diritto di difesa la Società ha sostenuto di aver nominato un proprio rappresentante e che l’Informativa sui Dati Personali facesse espresso riferimento alla qualifica di cui all’art. 27 del Regolamento.

131. L’Autorità ritiene di poter condividere il più recente convincimento della Società nel considerare il punto di contatto individuato come suo rappresentante nell’Unione.

132. In conclusione, l’Autorità dispone l’archiviazione della specifica violazione dell’art. 13, par. 1), lett. a) e c), del Regolamento ma conferma la violazione degli artt. 5, par. 1, lett. a); e 12 del Regolamento con riferimento al principio di trasparenza e i suoi corollari.

4.4. Sull’informativa ai Contatti

133. Con riferimento alla segnalazione (fasc. n. 459328) e al reclamo (fasc. n. 465278) ricevuti, l’Autorità ha contestato alla Società l’assenza di qualunque informazione ai relativi interessati nella loro qualità di Contatti.

134. La Società ha sostenuto di aver inviato l’Informativa sui Dati Personali e prodotto un foglio di testo riportante una stringa contenente diversi valori, tra i quali l’indirizzo e-mail degli interessati, e un “timestamp” a riprova della data di invio dell’informativa. Ancorché in assenza di meccanismi che garantiscano l’autenticità e non ripudiabilità del file e sebbene la Società non abbia fornito elementi certi circa diretta provenienza del file di testo dai suoi sistemi informativi, nonché in ordine alla diretta riconducibilità all’adempimento specificamente richiesto, l’Autorità non dispone di elementi sufficienti per confermare la circostanza contestata. Conseguentemente, si dispone l’archiviazione della contestazione relativa alla possibile violazione del principio di correttezza e trasparenza, nonché all’obbligo di fornire informazione agli interessati, di cui agli artt. 5, par. 1, lett. a) e 14 del Regolamento.

4.5. Sul fondamento di liceità del trattamento dei dati dei Contatti

135. Con riferimento ai Contatti, Lusha ha dichiarato di raccogliere e trattare solo il nome, l’e-mail, il numero di telefono, la qualifica professionale, l’anzianità, il ruolo e l’ubicazione al fine di metterli a disposizione dei propri Clienti e per finalità antifrode, sulla base del legittimo interesse proprio e dei Clienti. Ha poi riassunto tali interessi nel proprio “primario” interesse economico a: «fornire servizi affidabili, in particolare garantendo ai Clienti dati di contatto professionali accurati e aggiornati [e consentendo loro] di prevenire le frodi e di instaurare interazioni commerciali, sia online sia offline, significative ed efficaci con altre imprese e con i rispettivi rappresentanti».

136. In via preliminare, si conferma quanto già espresso in sede di contestazione con riferimento alla Legitimate Interest Assessment (“LIA”). Tale documento, interamente contenuto nelle poche righe di cui si compone il §5 della valutazione d’impatto, non contiene elementi utili a supportare la decisione della Società di ricorrere al legittimo interesse quale base giuridica per il trattamento dei dati dei Contatti. La LIA così predisposta, in maniera generica e con affermazioni non dimostrate, si limita a dichiarare che il trattamento sia necessario e proporzionato. È inoltre assente ogni valutazione circa il bilanciamento con i diritti degli interessati. Queste mancanze sono tali da consentire di ritenere del tutto omessa, e non semplicemente lacunosa, la LIA.

137. Durante l’istruttoria, a sostegno del ricorso al legittimo interesse, la Società ha citato la giurisprudenza della Corte di Giustizia e quella di altre autorità di controllo, ivi compreso il Garante per la protezione dei dati personali. L’Autorità non intende disconoscere tali precedenti che, al contrario, contengono elementi utili ai fini dell’analisi della fattispecie concreta, così come non intende negare l’astratta possibilità di ricorrere al legittimo interesse quale fondamento di liceità. Tuttavia, la possibilità di avvalersi di tale base giuridica deve essere valutata in concreto e risultare rispettosa delle condizioni poste dall’art. 6, par. 1, lett. f), del Regolamento.

138. La Corte di Giustizia ha ritenuto che il valido ricorso al legittimo interesse dipenda dal superamento di un test tripartito (ex multis, la sentenza del 4 luglio 2023, Meta Platforms e a., C-252/21, EU:C:2023:537, punto 106, e giurisprudenza ivi citata. A riguardo, si vedano anche le “Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR”, vers. 1.0, adottate l’8 ottobre 2024 dal CEPD, nonché il “Parere 28/2024 su taluni aspetti relativi alla protezione dei dati ai fini del trattamento dei dati personali nel contesto dei modelli di IA”, adottato dal CEPD il 17 dicembre 2024, §3.3, citato anche dalla stessa Società). Il titolare deve quindi dimostrare di aver soddisfatto tre condizioni cumulative, ossia: aver perseguito un interesse legittimo; trattare solo i dati necessari al perseguimento di tale interesse; e, infine, che gli interessi o le libertà e i diritti fondamentali degli interessati non prevalgono sul legittimo interesse perseguito dal titolare (c.d. “balancing test”). Il rispetto di tali condizioni sarà esaminato nei seguenti sotto paragrafi.

4.5.1. La condizione della liceità dell’interesse perseguito

139. Il perseguimento di specifici interessi da parte di un titolare può essere considerato legittimo nella misura in cui non sia vietato dall’ordinamento giuridico. In altre parole, per essere “legittimo” l’interesse perseguito deve innanzitutto essere lecito.

140. Con specifico riferimento al marketing diretto, ancorché questa sia un’attività pienamente lecita, che costituisce esercizio della libertà d’impresa e del diritto di iniziativa economica di cui all’art. 41 Cost., resta comunque un’attività regolamentata tanto nell’ordinamento nazionale quanto in quello europeo. I principi generali in materia di attività pubblicitaria impongono che questa sia sempre trasparente e riconoscibile come tale, nonché corretta e non ingannevole. Quando tale attività è svolta per mezzo del trattamento di dati personali, la disciplina consumeristica è integrata da quella in materia di corretto trattamento dei dati personali. Alla normativa generale del Regolamento deve aggiungersi l’art. 13 della direttiva 2002/58/CE e l’art. 130 del Codice (che lo recepisce nell’ordinamento italiano), che richiede il previo consenso del contraente o utente per l’invio di comunicazioni commerciali. Infine, quando l’attività pubblicitaria è svolta previa profilazione degli interessati destinatari delle comunicazioni commerciali, tale attività può essere vietata ai sensi di altre normative (es. artt. 26, par. 3 e 28, par. 2 del regolamento UE 2022/2065).

141. Pur non avendo l’Ufficio contestato alla Società la possibile violazione dell’art. 130 del Codice, non essendo lei il soggetto che invia materiale pubblicitario, il quadro normativo sopra riassunto lascia trasparire come, in materia di marketing diretto, sia la normativa nazionale che quella europea, condividano la medesima ratio: la necessità che un’attività lecita ma comunque potenzialmente impattante sulla libertà e autonomia dei consociati sia effettuata sotto il controllo degli stessi.

142. A ciò deve aggiungersi che, da costante giurisprudenza dell’Autorità, la comunicazione dei dati personali a terzi per lo svolgimento di attività commerciale e/o pubblicitaria nell’interesse di terzi deve comunque fondarsi ab origine su un valido consenso dell’interessato ed è onere di chi realizza una banca dati di contatti, attingendo a diverse fonti, di verificare l’origine lecita dei dati e, quindi, esercitare un reale controllo sulle liste acquisite per accertare la possibilità di cedere lecitamente i contatti così raccolti (ex multis, provv. “Realmaps” del 16 gennaio 2025, n. 11, doc. web n. 10110241. Si vedano anche le “Linee guida in materia di attività promozionale e contrasto allo spam” del 4 luglio 2013, §2.6.3, doc. web n. 2542348).

143. Inoltre, già nelle “Linee guida in materia di attività promozionale e contrasto allo spam”, del 4 luglio 2013, il Garante aveva chiarito che in assenza di consenso del contraente o utente non è possibile effettuare comunicazioni promozionali neanche nel caso in cui i dati siano tratti da registri pubblici, elenchi, siti internet, atti o documenti conosciuti o conoscibili da chiunque. Ne segue che, sia nel caso di acquisizione diretta dei dati dagli utenti e/o interessati, sia indirettamente tramite scraping, utilizzo di algoritmi o acquisto di dati da altri soggetti, la Società si sarebbe dovuta attivare per ottenere un consenso volto a coprire la finalità di comunicazione dei dati a terzi per finalità commerciali di terzi.

144. Sotto altro profilo, pur giudicando fondata la tesi difensiva della Società che non ritiene di integrare le condizioni dell’art. 129 del Codice, anche da tale norma si ricava il principio per cui l’utente non può essere destinatario di comunicazioni di marketing diretto senza il suo consenso, e, per questo, qualificate come “indesiderate”.

145. Tutto ciò posto, con riferimento alla finalità di messa a disposizione dei dati dei Contatti ai propri Clienti, da questi riutilizzati per autonome finalità di marketing o promo-pubblicitarie, nella misura in cui anche la comunicazione a terzi per proprie finalità pubblicitarie, di vendita diretta, di ricerca di mercato o di comunicazione commerciale può essere svolta solo previo consenso del contraente o utente, l’Autorità ritiene che l’interesse così perseguito dalla Società non sia “legittimo”.

146. Diversamente – con riferimento al soddisfacimento della prima condizione del “test tripartito” individuato dalla Corte di Giustizia, come riassunto al punto 138 del presente provvedimento – l’Autorità ritiene, nel caso di specie, astrattamente legittimo il trattamento dei dati per finalità antifrode.

147. In ogni caso, lo stesso considerando 47 del Regolamento specifica che, ancorché legittimi, gli interessi perseguiti possono costituire una base giuridica del trattamento solo a condizione che non prevalgano gli interessi, i diritti e le libertà fondamentali dell’interessato, «tenuto conto delle ragionevoli aspettative nutrite dall’interessato in base alla sua relazione con il titolare del trattamento».

148. Le medesime considerazioni sopra esposte con riferimento all’interesse della Società possono essere svolte con riferimento al perseguimento degli interessi a vantaggio dei Clienti di Lusha.

4.5.2. La condizione della stretta necessità del trattamento

149. Per quanto riguarda la seconda condizione, relativa alla necessità del trattamento, essa impone di verificare che il perseguimento dell’interesse non possa ragionevolmente essere raggiunto in modo altrettanto efficace mediante altri mezzi meno pregiudizievoli per i diritti fondamentali degli interessati, in particolare per i diritti al rispetto della vita privata e alla protezione dei dati personali garantiti dagli art. 7 e 8 della Carta dei Diritti Fondamentali dell’UE.

150. La condizione attinente alla necessità del trattamento deve inoltre essere esaminata unitamente al principio di minimizzazione dei dati sancito all’art. 5, par. 1, lett. c), del RGPD (v., in tal senso, sentenze della Corte di Giustizia del 4 luglio 2023, Meta Platform e a., C-252/21, ECLI:EU:C:2023:537, punti 108 e 109 e giurisprudenza ivi citata. Si vedano anche le “Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR” del CEPD, dell’8 ottobre 2024, punto 29). Inoltre, sulla base del considerando 47 RGPD, che parla di “stretta necessità” del trattamento rispetto all’interesse perseguito, secondo la giurisprudenza della Corte, il concetto di necessità deve essere interpretato in modo da rispecchiare pienamente gli obiettivi del diritto in materia di protezione dei dati. Ne segue che la necessità di un trattamento non copre quei trattamenti che rendono più semplice o utile raggiungere l’interesse prefissato (sentenza 4 luglio 2023, Meta Platform e a., C-252/21, ECLI:EU:C:2023:537, punti 99, 102).

151. Al fine della creazione di una “Scheda contatto aziendale” univoca la Società ha dichiarato di avere necessità di raccogliere dati personali come nome, indirizzo e-mail, numero di telefono, qualifica professionale, anzianità, ruolo e ubicazione.

152. Dalla documentazione in atti risulta però che la Società abbia raccolto anche altri dati da diverse fonti: dai propri Clienti nell’ambito del Community Program o tramite integrazioni con altri servizi, come le informazioni relative ai “CRM database”, ivi presenti le informazioni di soggetti terzi, le intestazioni e gli oggetti delle e-mail, le informazioni sulle riunioni in calendario (partecipanti alla riunione, descrizione della riunione, oggetto, data e ora della riunione), nonché dati di navigazione. Con riferimento a tali informazioni non risulta evidente il rapporto di stretta necessità con la finalità di mettere a disposizione dei Clienti una scheda riassuntiva dei dati di contatto di un soggetto. Al contrario, la raccolta di tali informazioni risulta eccedente e non giustificata dalla Società. Quest’ultima non ha comunque fornito nessun elemento per valutare la proporzionalità e necessità della raccolta di tali dati ma si è limitata a comunicare l’interruzione del Community Program in Italia.

153. Anticipando quanto si dirà più dettagliatamente nel prosieguo, dalle risultanze istruttorie risulta inoltre che la Società abbia raccolto dati relativi a funzionari e altre cariche pubbliche, anche apicali, al fine di metterle a disposizione dei Clienti per finalità commerciali. Deve tuttavia rilevarsi che chi opera nella pubblica amministrazione non persegue finalità di business e non si ravvisano quindi, né la Società ha fornito elementi a riguardo, valide e lecite ragioni per cui un soggetto imprenditoriale debba ottenere i dati del singolo funzionario per finalità di marketing o commerciali. A maggior ragione questo vale nei confronti di soggetti apicali della pubblica amministrazione e/o di organi costituzionali. Sicché, l’Autorità ritiene che la Società non abbia fornito un’idonea giustificazione per mettere a disposizione dei Clienti, per finalità commerciali o per il perseguimento del proprio interesse economico, anche le informazioni relative a soggetti operanti nel contesto pubblico. Al contrario, nella tabella riepilogativa dei rischi sottesi al trattamento, riportata in calce alla VIP, Lusha risulta consapevole della non necessità del trattamento di tali dati.

154. Con riferimento ai trattamenti antifrode, la Società ha dichiarato che l’interesse ad evitare le frodi si sostanzi nella tutela contro il furto d’identità e la sostituzione di persona mettendo a disposizione dei Clienti informazioni convalidate e aggiornate per verificare e autenticare la coerenza tra gli attributi professionali dichiarati da una persona fisica e quelli ottenuti da Lusha. In altre parole, questo interesse è raggiunto mettendo a disposizione del richiedente le informazioni relativa a una persona fisica. Si tratta quindi di una modalità che determina la cessione definitiva di una serie di informazioni personali a un soggetto terzo nonché di un numero di informazioni che può anche risultare superiore al necessario.

155. Diversamente, con riferimento al caso concreto e limitatamente alle fattispecie qui oggetto di analisi, l’Autorità ritiene che il soddisfacimento di un interesse antifrode, con la stessa efficacia, potesse anche essere perseguito evitando la cessione definitiva di tutte le informazioni disponibili relative a un certo soggetto. Cessione che, a sua volta, potrebbe generare lo stesso rischio di frode che dovrebbe scongiurare nella misura in cui fornire informazioni su una persona fisica può determinare un rischio reputazionale o per la sicurezza, il furto d’identità o la frode (cfr. CEPD, Parere 28/2024 sul trattamento dei dati personali nel contesto dei modelli di IA, 17 dicembre 2024, punto 79 e ss). Dunque, piuttosto che fornire ai Clienti ogni informazione sulla persona, si sarebbe potuto chiedere al Cliente di inserire le informazioni in suo possesso affinché la piattaforma riscontrasse (o no) la presenza di una corrispondenza con il soggetto dichiarato essere l’oggetto della ricerca.

156. L’Autorità ritiene che – con riferimento al soddisfacimento della seconda condizione del “test tripartito” individuato dalla Corte di Giustizia, di cui al punto 138 – in violazione del principio di minimizzazione di cui all’art. 5, par. 1, lett. c), del Regolamento, la Società abbia raccolto dati eccedenti e non necessari alla finalità di messa a disposizione dei dati ai Clienti. Conseguentemente, non si ritiene integrato il criterio della stretta necessità del trattamento per il perseguimento del legittimo interesse.

157. In particolare, il criterio della stretta necessità del trattamento non risulta soddisfatto nemmeno con riferimento ai trattamenti antifrode nella misura in cui la Società non ha dimostrato che tale interesse non potesse essere ragionevolmente raggiunto in modo altrettanto efficace con mezzi meno pregiudizievoli per i diritti fondamentali degli interessati.

4.5.3. La condizione del bilanciamento degli interessi

158. Per quanto riguarda la terza condizione, secondo la quale gli interessi o i diritti e le libertà fondamentali dell’interessato non devono prevalere sul legittimo interesse del titolare o di terzi, la Corte ha chiarito che ciò implica una ponderazione dei diritti e degli interessi contrapposti che dipende dalle circostanze del caso concreto (sentenze 4 luglio 2023, Meta Platform e a., C-252/21, ECLI:EU:C:2023:537, punti 110 e 17 giugno 2021, M.I.C.M., C-597/19, EU:C:2021:492, punto 111 e giurisprudenza ivi citata).

159. Nel caso specifico, la Società persegue un interesse economico a fornire un servizio per sé profittevole: fornire l’accesso ai dati dei Contatti per consentire ai Clienti di riutilizzare gli stessi per proprie finalità commerciali o per evitare truffe. In tal senso, anche l’interesse perseguito a vantaggio dei Clienti è di natura commerciale ma dipendente dall’interesse della Società e fruibile nei limiti e alle condizioni della stessa imposte. Diversamente da altri casi, l’interesse dei Clienti non risulta qualificato o autonomo da quello del titolare sicché può essere considerato in questo assorbito.

160. A fronte di tale interesse economico si pone il diritto fondamentale degli interessati (i Contatti) a non subire un ingiustificato trattamento dei loro dati e al di fuori del loro potere di controllo, il diritto a non subire ingerenze nella sfera privata e l’interesse a non ricevere comunicazioni commerciali senza un previo consenso o comunque subire pratiche commerciali non in linea con gli standard imposti dalle norme in materia. In considerazione del fatto che alcuni Contatti rivestono anche la qualifica di soggetti pubblici o ricoprono ruoli apicali nella pubblica amministrazione, rilevano anche l’interesse alla sicurezza dello Stato e il buon andamento e imparziale svolgimento delle funzioni pubbliche.

161. Di regola, il perseguimento di un interesse economico, ancorché in astratto lecito e rilevante, non è idoneo a comprimere i diritti fondamenti della persona, come quello alla protezione dei dati personali, nonché gli altri diritti e interessi citati, in assenza di specifiche condizioni che ne rendono ragionevole la compressione. A tal riguardo, la Società non ha fornito prova di alcuna ponderazione e bilanciamento con i diritti e gli interessi dei Contatti ma si è limitata a desumere l’interesse di un soggetto ad essere contattato per finalità commerciali dalla mera circostanza fattuale che lo stesso avesse creato un profilo su una piattaforma digitale con un focus più specifico all’ambiente lavorativo e professionale. Conseguentemente, e come a suo tempo già dichiarato nel Parere 6/2014 sul concetto di interesse legittimo, adottato il 9 aprile 2014 dal Gruppo di lavoro Articolo 29, a pag. 31, se l’interesse perseguito dal titolare non è “preminente”, è più probabile che l’interesse e i diritti dell’interessato prevalgano rispetto all’interesse del titolare.

162. La Società ha indicato elementi (come il sistema basato sui “crediti” che impedisce l’estrazione massiva di dati dal database) che più che contribuire al bilanciamento degli interessi in gioco a favore del titolare, sono da inquadrare come ulteriori misure di mitigazione del rischio. Come sarà meglio illustrato nel §4.5.4, le misure di mitigazione del rischio non sono comunque da sole idonee a consentire il prevalere dell’interesse del titolare o di terzi sui diritti e gli interessi degli interessati ma, a valle di una ponderazione già effettuata, possono contribuire a tal fine rafforzando la posizione del titolare o dei terzi.

163. Posta l’assenza di effettiva ponderazione degli interessi in gioco, l’Autorità ritiene che Lusha non abbia tenuto conto di fattori rilevanti come: la natura dei soggetti coinvolti (che non sono sempre imprenditori ma possono essere anche pubblici dipendenti), la natura dei dati trattati (in particolare, ancorché i dati di contatto non rientrino nelle categorie particolari di dati si tratta comunque di dati personali generalmente riservati e non sempre resi accessibili pubblicamente, specie quando espongono alla conoscenza altrui i contatti diretti), il rapporto tra i soggetti coinvolti, le ragionevoli aspettative degli interessati ed il contesto giuridico e fattuale in cui si è svolto il trattamento.

164. In particolare, risulta evidente come nessun procedente rapporto sussista tra i Contatti e la Società. In assenza di rapporto tra i soggetti coinvolti nel trattamento, già in astratto sembra possibile escludere quella “ragionevole aspettativa” al trattamento cui fa riferimento il considerando 47 del Regolamento.

165. Non può non rilevarsi come la Corte di Giustizia ponga particolare attenzione alla circostanza che gli interessati possano ragionevolmente attendersi un siffatto trattamento, nonché alla portata del trattamento in questione e all’impatto di quest’ultimo sulla persona (oltre alle sentenze già citate, si veda anche la sentenza del 7 dicembre 2023, UF e AB contro Land Hessen, C‑26/22 e C‑64/22, ECLI:EU:C:2023:958, punto 80). La Corte ha così ritenuto che «gli interessi e i diritti fondamentali dell’interessato potrebbero in particolare prevalere sull’interesse del titolare del trattamento qualora i dati personali siano trattati in circostanze in cui gli interessati non possano ragionevolmente attendersi un siffatto trattamento» (sentenza 9 gennaio 2025, Mousse, C-394/23, ECLI:EU:C:2025:2, punto 50).

166. Innanzitutto, come anche testimoniato dai reclami e dalle segnalazioni ricevute dall’Autorità, l’interessato può venire a conoscenza dell’esistenza del trattamento e della disponibilità dei suoi dati in un database non nel momento in cui riceve una prima comunicazione di marketing ma solo in seguito, ossia quando esercita il diritto di accesso ex art. 15 del Regolamento e il mittente lo informa di aver acquisito i dati sulla piattaforma Lusha.

167. Al di fuori di questi casi frutto dall’esperienza dell’Autorità, non è comunque ipotizzabile che i Contatti abbiano una qualsivoglia aspettativa che i loro dati presenti su piattaforme digitali e altri dati in possesso di soggetti terzi dagli stessi non individuabili possano essere raccolti, trattati, raggruppati in schede contatto, arricchiti con dati presi da altre fonti, incrociati con altre banche dati e poi costantemente aggiornati, al fine di essere messi a disposizione di un numero indefinito di Clienti.

168. Lusha risulta ben consapevole di ciò, quanto meno quando i dati sono raccolti da fonti diverse dalle piattaforme alle quale gli interessati si sono iscritti. Infatti, nella VIP dalla stessa redatta, al §4.13 e 4.14 si legge che: «in some cases, Lusha collects personal data from data subjects where they may not expect it. Lusha does not have an active relationship with data subjects and the use cases for processing are not primarily for the benefit of the data subjects (rather, they are for the benefit of Lusha’s customers). The collection of personal data from various datasets results in a merging of datasets which may mean that Lusha processes a wider set of data than the data subject might expect».

169. La Società ha ritenuto di controbilanciare questo vulnus di conoscenza e controllo in capo agli interessati con l’invio di un’informativa. Premesso che gli oneri informativi e di trasparenza sono obblighi generalizzati di ogni trattamento – sicché non è rinvenibile in capo alla Società alcuna particolare diligenza o virtuosa applicazione delle norme – la Società ha predisposto una Informativa Privacy, pubblicata sul sito, e un’Informativa sui Dati Personali asseritamente inviata ad ogni Contatto.

170. Per sue caratteristiche intrinseche nonché per le criticità già accertate al §4.3, l’Informativa Privacy pubblicata sul sito è del tutto inidonea a informare i Contatti del trattamento dei loro dati. Tale informativa potrebbe acquisire rilevanza solo dopo che il Contatto sia stato in qualche modo edotto dell’esistenza del trattamento.

171. Con riferimento all’Informativa sui Dati Personali, invece, posto che la stessa deve essere intesa come il necessario adempimento all’obbligo di cui all’art. 14 del Regolamento più che un meccanismo per controbilanciare l’impossibilità per gli interessati di prevedere un ulteriore trattamento dei loro dati, si rilevano le seguenti criticità. La scelta di Lusha di non raccogliere direttamente dagli interessati i dati, in particolare quelli di contatto, ha come conseguenza il fatto che l’Informativa sui Dati Personali possa essere inviata ad un indirizzo e-mail che l’interessato potrebbe non monitorare regolarmente, non usare più o sul quale non si aspetta di ricevere comunicazioni importanti. In ogni caso, elementari regole di sicurezza informativa da tempo consigliano agli utenti di non interagire con e-mail provenienti da destinatari non conosciuti. Tanto più se queste invitano a cliccare su un link o eseguire una certa procedura è plausibile ritenere che l’interessato possa considerare tale comunicazione come un tentativo di truffa e, quindi, determinarsi ad ignorare la comunicazione.

172. Deve inoltre rilevarsi che Lusha non ha la certezza che i recapiti in suo possesso siano corretti nella misura in cui dispone semplicemente della circostanza che uno stesso dato sia citato per almeno due volte in più fonti. Una tale ricorrenza, di poco superiore all’unità, può essere frutto di una mera coincidenza e non dare adeguate garanzia di correttezza. Diversamente, l’adozione di una policy diretta a cercare una maggior frequenza nell’individuazione dei dati di contatto avrebbe potuto evitare il rischio di raccogliere e considerare affidabile un dato obsoleto e non più in uso dall’interessato. Sembra essere questo un limite del business model del Titolare, conseguente alla scelta di non raccogliere direttamente i dati dagli interessati, che rientra nel rischio che lo stesso si assume e che avrebbe dovuto essere oggetto di apposita analisi nella VIP.

173.  Ulteriore elemento che determinata una compromissione dei diritti e degli interessi dei Contatti, non adeguatamente ponderato dalla Società, è il termine di conservazione dei dati individuato dalla Società. Sia nella VIP (al §4.5) sia nella Informativa sui Dati Personali oggetto di istruttoria (aggiornata al gennaio 2023), Lusha dichiara di trattare i dati finché risulti necessario, salvo aggiornamento o opposizione dell’interessato. L’indicazione di tale periodo di conservazione in un contesto in cui il Contatto potrebbe essere per lungo tempo ignaro del trattamento in corso è un elemento che accentua la soggezione dell’interessato al titolare e che, quindi, non consente di addivenire a un bilanciamento in cui gli interessi del titolare o di terzi prevalgano sugli interessi e i diritti degli interessati.

174. La Società individua inoltre alcuni vantaggi e opportunità che i Contatti possono ottenere dal trattamento: per esempio la possibilità di essere contatti da recruiter e la ricezione di comunicazioni professionali pertinenti ai propri interessi. Posto che anche queste circostanze sono dalla Società solo allegate ma non dimostrate o in alcun modo supportate, non può non rilevarsi come questi esempi costituiscano, semmai, i motivi per cui le persone si iscrivono su piattaforme orientate al lavoro. Sicché, in assenza di altro elemento o circostanza concreta, allo stato non disponibile in atti, da questi elementi può solo desumersi l’interesse della persona a iscriversi su una piattaforma e non anche la ragionevole aspettativa di ricevere proposte lavorative o comunicazioni commerciali al di fuori della piattaforma stessa e in un contesto di trattamento che sfugge al suo potere di controllo.

175. Oltre al fatto che, in generale, la presenza di un dato online o su una piattaforma digitale non comporti automaticamente o non autorizzi sempre soggetti terzi a riutilizzare tale dato per finalità ultronee a quelle che ne hanno determinato la pubblicazione, deve rilevarsi che non sempre le informazioni di contatto come l’indirizzo e-mail e, ancor meno frequentemente, il numero di telefono, sono accessibili su piattaforme come LinkedIn. In tali casi, la Società ha dichiarato di raccogliere e integrare i dati mancanti tramite l’acquisizione presso altre fonti. Sicuramente in questi casi, come anche noto alla Società che ha affrontato il tema nella VIP, l’interessato non può ragionevolmente prevedere che i suoi dati subiscano i trattamenti esaminati. Al contrario, è più probabile desumere un disinteresse o un’avversione dell’interessato a ricevere comunicazioni commerciali dal momento che ha fatto in modo di non rendere disponibili i propri dati di contatto sulla piattaforma.

176. Altro elemento rilevante è quindi la particolare estensione della raccolta dei dati nella misura in cui Lusha non si limita a raccogliere i dati disponibili sulla piattaforma LinkedIn o Salesforce ma integra quelli mancanti tramite diversi fonti, molte delle quali non a conoscenza dei Contatti e, quindi, al di fuori di ogni loro potere di controllo. Lusha raccoglie i dati dei Contatti anche da altre fonti: dai siti accessibili online; dai Clienti che utilizzano il servizio e che accettano di condividere i dati di terzi a loro disposizione nell’ambito del Community Program o integrando i propri servizi e-mail con quelli di Lusha; acquisendo dati da società affiliate o parte del gruppo; nonché tramite algoritmo che ricrea i modelli di posta elettronica aziendali standard (nome.cognome@azienda.com). Sono tutte circostanze sulle quali non solo i Contatti non hanno alcuna cognizione o aspettativa ma nemmeno alcun reale controllo e possibilità di arrestare una circolazione indiscriminata dei loro dati personali.

177. Non può non rilevarsi, inoltre, che con riferimento ai dati dei Contatti estratti dalle e-mail dei Clienti si è di fronte ad una comunicazione di dati personali di terzi da parte dei Clienti alla Società apparentemente priva di fondamento di liceità e tale da rendere illecita la comunicazione (eventualmente passibile di far sorgere una responsabilità autonoma dei Clienti in altra sede). Tanto più questo è vero se si considera che i mezzi di comunicazione tra privati possono essere oggetto di specifica tutela ai sensi dell’art. 15 della Costituzione della Repubblica italiana.  

178. Ancora, è smentito dai fatti e dalle risultanze dell’istruttoria che la Società abbia solo raccolto dati “pubblicamente disponibili” online nella misura in cui risulta accertato che informazioni come l’indirizzo e-mail e il numero di telefono, generalmente non disponibili, venivano integrati e raccolti da altre fonti non conosciute agli interessati.

179. L’enorme numero di dati raccolti da Lusha, da fonti molto diverse tra loro e in particolare da soggetti terzi, al fine di perseguire un interesse economico e a fronte di un’informazione inidonea a fornire consapevolezza agli interessati rende improbabile, da un lato, che tali trattamenti rientrino nelle aspettative degli interessati (rectius, dei Contatti) e, dall’altro, è suscettibile di avere impatti significativi sui medesimi, rendendo gli stessi contattabili da soggetti terzi per fini non preventivabili (o quanto meno al di fuori dei canali messi a disposizione dalla piattaforma con la quale l’interessato ha condiviso i suoi dati) e facendo sorgere, quando gli interessati vengono a conoscenza del trattamento dei loro dati, una sensazione di monitoraggio e sorveglianza continua. Dunque, con maggior certezza, il legittimo interesse non può essere considerato l’adeguata base giuridica per la raccolta dei dati dei Contatti dai Clienti della Società o da altre fonti non rientranti nel controllo degli interessati.

180. Tale conclusione varrebbe anche per la raccolta di dati da soggetti partner o facenti parte del gruppo della Società che, già a monte, con riferimento al loro trattamento, dovrebbero basarsi su un adeguato fondamento giuridico che legittimi la comunicazione dei dati a Lusha (cfr. art. 130 del Codice).

181. Infine, anche il parere 28/2024 del CEPD, in materia di legittimo interesse nell’ambito dei modelli di intelligenza artificiale, citato dalla Società, al punto 86 evidenzia come: «l’uso del web scraping nella fase di sviluppo può portare – in assenza di sufficienti garanzie – a conseguenze significative sulle persone, per via dell’ingente volume di dati raccolti, dell’elevato numero di interessati e della raccolta indiscriminata di dati personali». A ciò si aggiunge, che la raccolta di dati online (scraping) e non direttamente dagli interessati, incide sulle ragionevoli aspettative degli interessati (punto 94).

182. Risulta così ricostruita la presenza di un trattamento di dati personali che, ancorché non rientranti nelle categorie particolari di dati personali, sono suscettibili di esporre a terzi la sfera privata degli interessati, nonché risulta accertato il fatto che i Contatti hanno subìto un trattamento di dati personali in assenza di alcun precedente rapporto con la Società e senza poter ragionevolmente attendersi che, senza il loro consenso, questa trattasse i loro dati per metterli a disposizione di terzi. Tutto ciò ha provocato un ingiustificato impatto sulla sfera giuridica dei Contatti. Oltre al fastidio nel ricevere comunicazioni indesiderate, come anche documentato dalle segnalazioni e reclami ricevuti dall’Autorità, non è da escludere la sorveglianza della propria sfera personale e professionale, nonché l’impossibilità di controllare le informazioni a sé riferite e la lesione del diritto dei Contatti a non subire trattamenti occulti e/o ingerenze nella propria riservatezza per il perseguimento di un interesse economico della Società.

4.5.4. Misure di mitigazione degli impatti del trattamento

183. Qualora l’esito del bilanciamento non consenta di dimostrare che l’interesse perseguito possa prevalere sugli interessi, i diritti e le libertà dell’interessato, il titolare può ancora valutare l’introduzione di misure di mitigazione o di attenuazione al fine di creare condizioni di maggior favore per l’interessato e quindi addivenire a un ribilanciamento degli interessi.

184. Tale possibilità è ammessa dalle “Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR” del CEPD, dell’8 ottobre 2024 (così come dal “Parere 28/2024 su taluni aspetti relativi alla protezione dei dati ai fini del trattamento dei dati personali nel contesto dei modelli di IA”, adottato dal CEPD il 17 dicembre 2024, punti 96 e ss e, prima ancora, nel “Parere 6/2014 sul concetto di interesse legittimo” del Gruppo di lavoro Articolo 29, del 9 aprile 2014, pag. 49 e ss, che parlava di “garanzie supplementari”) che specificano, al par. 57, che queste misure di mitigazione non devono essere confuse con gli obblighi generali che il titolare è tenuto ad adottare per garantire la conformità al RGPD indipendentemente dal fondamento di liceità adottato. In tal senso, le misure di mitigazione sono garanzie aggiuntive rispetto a quelle richieste dal Regolamento.

185.  La Società ha previsto alcuni meccanismi che possono essere equiparati a misure di mitigazione, segnatamente: l’adozione di un sistema basato su “crediti” che i Clienti devono acquistare per accedere ai dati, ciò al fine di impedire l’estrazione massiva di dati dal database tramite ricerca libera; e, ferma restando la possibilità di opporsi in qualunque momento al trattamento, l’adozione di un periodo di riflessione volontario (cooling-off period) di sette giorni per l’opt-out dell’interessato al fine di escludere ab origine l’aggiunta dei dati al database.

186. Con riferimento al sistema dei crediti per accedere solo a un numero predeterminato di dati dei Contatti invece che a tutto il database, se anche questa possa essere considerata una buona misura, la tutela effettivamente apprestata agli interessati è nella pratica poco rilevante perché subordinata alla disponibilità economica dei Clienti. In altre parole, nulla impedisce ai Clienti di acquistare i crediti necessari per ottenere il quantitativo di dati di Contatti che reputano sufficiente per le proprie finalità e, anche, teoricamente, tutti i dati disponibili. Sicché, il livello di tutela che tale misura riconosce agli interessati è tale da non determinare una significativa modifica del bilanciamento degli interessi coinvolti.

187. Per quanto riguarda il periodo di riflessione volontario riconosciuto ai Contatti, fermo restando che l’opt-out è una facoltà discendente dal diritto di opposizione che l’art. 21 del Regolamento impone in tutti i casi in cui il trattamento è basato sui fondamenti di liceità di cui all’art. 6, par. 1, lettere e) o f) del RGPD, il riconoscimento all’interessato di 7 o 14 giorni per manifestare la volontà di non essere inseriti nel database non può essere considerata un’adeguata misura di garanzia a causa di alcuni elementi fattuali che la Società non ha adeguatamente ponderato.

188. Come già rilevato, infatti, la Società invia l’Informativa sui Dati Personali a un indirizzo e-mail che non ha certezza essere utilizzato o monitorato dall’interessato. Quando tale indirizzo è raccolto tramite altre fonti o comunque ricostruito sulla base delle informazioni disponibili, non è da escludere che l’indirizzo e-mail non sia costantemente monitorato dall’interessato. In ogni caso, l’interessato potrebbe non ritenere attendibile la comunicazione. A ciò deve aggiungersi che, anche qualora l’interessato ritenga affidabile la comunicazione, 7 o 14 giorni potrebbero comunque non essere sufficienti, specie in assenza di ulteriori solleciti o promemoria dell’imminente scadenza, per: documentarsi adeguatamente sull’identità della Società, conoscere le caratteristiche dei servizi offerti, comprendere le conseguenze del trattamento così come valutare potenziali vantaggi ed eventualmente manifestare, quindi, la propria opposizione. Conseguentemente, l’Autorità ritiene che un periodo di riflessione di 7 o 14 giorni, per le modalità concrete con cui è stato realizzato il trattamento, sia eccessivamente breve e non proporzionato all’estensione del trattamento e ai potenziali impatti sulla sua sfera giuridica dei Contatti.

189. In conclusione, l’Autorità ritiene che le misure di mitigazione degli impatti del trattamento adottate dalla Società non siano tali da determinare una rivalutazione del bilanciamento degli interessi a favore del Titolare del trattamento.

4.5.5. Sulla non adeguatezza in concreto del fondamento di liceità

190. Tutto ciò premesso, in considerazione del contesto, delle caratteristiche e modalità con cui la Società ha, in concreto, realizzato il trattamento dei dati personali dei Contatti, nonché della natura dei diritti e interessi coinvolti, il ricorso al fondamento di liceità di cui all’art. 6, par. 1, lett. f), del Regolamento non può essere considerato adeguato. Ciò in quanto, ricapitolando quanto sopra:  

- la messa a disposizione dei dati dei Contatti per il perseguimento degli interessi economici della Società e dei Clienti non può essere considerato un interesse “legittimo” ai sensi dell’art. 6, par. 1, lett. f), RGPD, nella misura in cui l’ordinamento richiede, quale fondamento di liceità per la cessione di dati personali a terzi per autonome finalità commerciali, il previo consenso del contraente o utente;

- la Società raccoglie un enorme numero di dati personali da più fonti, tra cui alcune che non possono essere considerate pubbliche nella misura in cui sono estratte da comunicazioni interpersonali private dei propri Clienti, o dall’integrazione con sistemi informatici o acquisiti da soggetti terzi. Da queste fonti la Società raccoglie dati che non risultano necessari e proporzionati per la creazione della “scheda contatto”. Inoltre, la Società raccoglie dati di funzionari pubblici e soggetti che ricoprono ruoli istituzionali che, in quanto tali, non agiscono per perseguire autonomi interessi professionali e, quindi, non sono necessari al perseguimento dell’interesse della Società e dei suoi Clienti. Invece, con riferimento all’interesse a prevenire o evitare frodi, la Società non ha dimostrato di non poter raggiungere lo stesso interesse con trattamenti meno invasivi;

- in considerazione della natura degli interessi e dei diritti oggetto di bilanciamento, dell’assenza di rapporti tra la Società e i Contatti, del fatto che non sia possibile sostenere che gli interessati potessero avere ragionevoli aspettative di subire i trattamenti descritti, nonché del ridotto rilievo delle misure di mitigazione degli impatti del trattamento, non è stato dimostrato che il perseguimento degli interessi del titolare o di terzi prevalga sugli interessi o i diritti e le libertà fondamentali degli interessati.

191. In ultima analisi, il servizio offerto dalla Società ricalca, nel caso concreto in modo non conforme alla normativa, quello già offerto da altri fornitori di servizi digitali con la differenza che questi ultimi basano la loro attività sul trattamento di dati forniti direttamente dagli interessati e riconoscendo agli stessi un maggior potere di controllo sui propri dati. Solo con riferimento a tali fornitori di servizi digitali è plausibile sostenere che gli interessati mirino a creare rapporti di business e/o possono aspettarsi di ricevere proposte di lavoro tramiti i canali e con le modalità messe a disposizione dalla piattaforma, oppure usare la medesima piattaforma per verificare le informazioni in loro possesso per fini di antifrode.

192. L’Autorità ritiene quindi di confermare e accertare la violazione dell’art. 5, par. 1, lett. c), del Regolamento con riferimento al principio di minimizzazione e la violazione degli artt. 5, par. 1, lett. a) e 6 del Regolamento nella misura in cui, in violazione del principio di liceità, correttezza e trasparenza, il fondamento di liceità di cui all’art. 6, par. 1, lett. f), del Regolamento non può essere considerata, nel caso concreto, un’adeguata base giuridica.

193. L’Autorità ritiene infine di archiviare la presunta violazione dell’art. 7 del Regolamento e dell’art. 129 del Codice.

4.6. Trattamento di dati relativi a personaggi pubblici e rispetto dei principi di data protection by design e by default

194. Con riferimento alla raccolta dei dati di soggetti pubblici, la Società ne ha riconosciuto e motivato la raccolta a causa di una lacuna tecnica dell’algoritmo di esclusione che non sarebbe stato in grado di intercettare titoli lavorativi particolarmente specifici.

195. La Società ne ha comunque giustificato il trattamento sulla base: dell’assenza di un concreto obbligo del Regolamento ad adottare misure che impediscano la raccolta di dati di soggetti pubblici; nonché della necessità del trattamento anche di tali dati. Tutto ciò deve tener conto, secondo la Società, del fatto che i personaggi pubblici godono di una minore aspettativa di riservatezza rispetto ad altri interessati.

196. In primo luogo è opportuno chiarire che nessun soggetto subisce, in generale e in astratto, una limitazione dei diritti al rispetto della vita privata e familiare e alla protezione dei dati personali di cui agli artt. 7 e 8 della Carta dei Diritti Fondamentali dell’UE. Semmai, in applicazione dell’art. 52 della medesima Carta, il Regolamento consente, caso per caso, la possibilità di limitare il diritto alla protezione dei dati personali nella misura in cui ciò sia proporzionato a perseguire finalità di interesse generale o altri diritti.

197. In tale contesto, la giurisprudenza e le linee guida citate dalla Società fanno tutte riferimento al c.d. “diritto all’oblio”, come inquadrato a partire dalla prima sentenza della Corte di Giustizia del 13 maggio 2014, Costeja, C-131/12. È di palmare evidenza come tale riferimento non sia appropriato al caso qui esaminato nella misura in cui, nel contesto applicativo del diritto all’oblio, la notorietà o rilevanza pubblica del soggetto coinvolto nella pubblicazione e/o ripubblicazione di informazioni e fatti a se riferiti è solo uno degli elementi del bilanciamento tra più diritti fondamentali: la riservatezza e/o il diritto alla protezione dei dati personali del soggetto e il diritto di cronaca e l’interesse della collettività a essere informata su eventi di particolare rilievo e attualità. Inoltre, la possibilità di prevedere esenzioni o deroghe alle norme in materia di protezione dei dati personali per “conciliare” tale diritto con quello alla libertà di espressione e di informazione è espressamente previsto dall’art. 85 del Regolamento. Dunque, solo in presenza di diritti di pari rango rispetto alla protezione dei dati personali e, in particolare, solo se il diritto di cronaca è esercitato nel rispetto della normativa di settore e dei limiti definiti dalla giurisprudenza costituzionale e di legittimità, la riservatezza del singolo può essere limitata nella misura e per il tempo necessario a soddisfare l’interesse della collettività.

198. Nessuna delle condizioni proprie del diritto all’oblio risulta applicabile alla fattispecie oggetto di analisi. Inoltre, non si ravvisa né è stato provato dalla Società un interesse pubblico o giuridicamente rilevante a conoscere i dati di contatto di funzionari pubblici per gli utilizzi sopra descritti.

199. Premesso che l’Autorità non condivide la tesi per cui nel database di Lusha fossero disponibili solo un numero ridotto di profili di soggetti pubblici, l’interesse economico dalla stessa perseguito fa venir meno la necessità di raccogliere e mettere a disposizione dei Clienti le informazioni di tali soggetti che, per loro natura, non perseguono autonomi interessi di business. Dunque, in assenza di altro elemento giustificativo della raccolta di tali dati, comunque non fornito dalla Società, l’Autorità ribadisce che non risulta necessaria la raccolta di tali dati per perseguire finalità di business proprie e dei Clienti.

200. A riprova della non necessità di tali dati per il modello di business della Società si rileva il fatto che, in seguito all’intervento dell’Autorità, Lusha abbia disposto la rimozione, dal proprio database, dei contatti di interi settori del contesto pubblico italiano (Pubblica Amministrazione, Forze dell’Ordine, Magistratura, Governo, Forze Armate, ecc.).

201. Inoltre, l’Autorità non ritiene condivisibile la posizione di considerare le misure e le tecnologie adottate per impedire la raccolta di tali dati (es. filtri, soppressione di domini e verifiche periodiche) quali misure spontaneamente adottate a titolo prudenziale e in assenza di uno specifico obbligo del Regolamento. Premesso che il RGPD è un atto normativo “generale”, sicché non sarebbe stato possibile che questo potesse porre specifici divieti di trattamento o imporre particolari obblighi di sicurezza, la non necessità del trattamento dei dati dei soggetti pubblici deriva proprio dalla finalità perseguita dal titolare e dalle modalità dallo stesso individuate. Non si è quindi di fronte a una “garanzia spontanea” o una “promessa infranta” del titolare, bensì dinanzi all’adozione di misure che Lusha ha adottato, ancorché in modo poco efficace, sulla base degli obblighi derivanti dai principi alla stessa noti: quelli di cui al combinato disposto degli artt. 5, par. 1, lett. c); 24; 25; e 32 del Regolamento.

202. Dall’istruttoria svolta e dalla documentazione in atti risulta che, ancorché la Società abbia ben definito il rischio di raccogliere dati di soggetti pubblici, non si è dotata di efficaci strumenti per escludere tali informazioni. Ciò comprovava l’assenza di misure tecniche e organizzative volte ad attuare i principi di protezione dei dati personali di cui all’art. 25 del Regolamento (data protection by design e by default).

203. L’Autorità conferma e accerta la violazione dei principi sopra citati e, quindi, delle norme di cui agli artt. 5, par. 1, lett. c) e 25 del Regolamento.

5. CONCLUSIONI

204. Alla luce delle valutazioni sopra esposte, risultano in parte confermati i profili oggetto di contestazione con l’atto di avvio del procedimento di cui all’art. 166 del Codice, in quanto le dichiarazioni rese nel corso dell’istruttoria e le difese addotte non sono risultate idonee a superare integralmente i rilievi formulati dall’Ufficio e, peraltro, non ricorre alcuno dei casi previsti dall’art. 11 del regolamento del Garante n. 1/2019.

205. Tali condotte sono imputabili al Titolare quanto meno a titolo di colpa nella misura in cui risulta dimostrato, oltre che in alcuni casi documentato nella VIP, che Lusha conoscesse le norme in materia (tanto da darvi spontanea applicazione) così come i rischi connessi ai suoi trattamenti. Nonostante la conoscenza della normativa, la Società ha solo formalmente, e comunque in modo lacunoso, bilanciato il proprio interesse economico con i diritti degli interessati, nonché dato non adeguata applicazione alle norme e ai principi posti a presidio dei diritti e del potere di controllo degli interessati. Pertanto, l’Autorità ritiene che la Società avrebbe ben potuto evitare gli errori in cui è incorsa usando l’ordinaria diligenza. A tal riguardo, secondo la giurisprudenza, la buona fede di cui all’art. 3, della l. n. 689/1981 rileva come causa di esclusione della responsabilità amministrativa solo qualora risulti che il trasgressore abbia fatto tutto quanto possibile per conformarsi al precetto di legge, onde nessun rimprovero possa essergli mosso. In tal senso, Cassazione civile sez. II, 29/11/2023, n. 33121, per la quale per integrare l’elemento soggettivo dell’illecito è sufficiente la semplice colpa, mentre l’errore sulla liceità della condotta (“buona fede”) può rilevare in termini di esclusione della responsabilità amministrativa solo quando risulti inevitabile, occorrendo a tal fine un elemento positivo, estraneo all’autore dell’infrazione, idoneo ad ingenerare in lui la convinzione della sopra riferita liceità, oltre alla condizione che da parte dell’autore sia stato fatto tutto il possibile per osservare la legge e che nessun rimprovero possa essergli mosso, così che l’errore sia stato incolpevole, non suscettibile cioè di essere impedito con l’ordinaria diligenza (ex multis si veda, anche, Cassazione civile sez. II, 11/06/2007, n. 13610).  

206. Pertanto, l’Autorità rileva l’illiceità della condotta posta in essere dal Titolare in relazione al trattamento dei dati dei Contatti, in ordine alla violazione delle seguenti disposizioni:

a) art. 5, par. 1, lett. a) e c); e 6 del Regolamento per aver svolto trattamenti in violazione del principio di liceità, correttezza e trasparenza e di minimizzazione dei dati, nonché per aver fondato il trattamento su una base giuridica non adeguata. Poiché tali trattamenti, tutt’ora in corso, devono essere considerati effettuati ab origine in assenza di valido fondamento di liceità, si rende necessario imporre il divieto di trattamento dei dati personali dei Contatti che si trovano nel territorio italiano e, per l’effetto, imporre la cancellazione dei dati dei Contatti che si trovano nel territorio italiano. Si rende inoltre necessaria l’imposizione di una sanzione pecuniaria nei termini di seguito indicati;

b) artt. 5, par. 1, lett. a); e 12 del Regolamento con riferimento alla violazione del principio di trasparenza e i suoi corollari, nei termini sopra descritti. Anche per tale violazione si rende necessaria l’imposizione di una sanzione pecuniaria nei termini di seguito indicati;

c) artt. 5, par. 1, lett. c) e 25 del Regolamento per non aver il Titolare adottato adeguate misure tecniche e organizzative volte ad impedire la raccolta dei dati di soggetti pubblici. Poiché il Titolare ha dichiarato di aver cancellato e cessato il trattamento di tali dati non è necessaria l’imposizione di una misura correttiva ma solo di una sanzione pecuniaria nei termini di seguito indicati.

207. L’Autorità dispone invece l’archiviazione delle presunte violazioni di cui agli artt. 7; 13, par. 1), lett. a) e c); e 14 del Regolamento e all’art. 129 del Codice.

6. ORDINANZA INGIUNZIONE

208. Ai sensi degli artt. 58, par. 2, lett. i), del Regolamento e dell’art. 166 del Codice, il Garante ha il potere di infliggere una sanzione amministrativa pecuniaria ai sensi dell’art. 83 del Regolamento, mediante l’adozione di una ordinanza ingiunzione. L’art. 83, par. 1, RGPD dispone che l’ammontare delle sanzioni amministrative pecuniarie devono essere: «in ogni singolo caso effettive, proporzionate e dissuasive».

209. Tenuto conto che la violazione delle predette disposizioni ha avuto luogo in conseguenza di un’unica condotta, ovvero in relazione allo stesso trattamento o trattamenti tra loro collegati, trova applicazione l’art. 83, par. 3, del Regolamento, ai sensi del quale l’importo totale della sanzione amministrativa pecuniaria non supera l’importo specificato per la violazione più grave. Considerato che, nel caso di specie, le violazioni più gravi sono soggette alla sanzione prevista dall’art. 83, par. 5, del Regolamento, l’importo della sanzione è da quantificarsi, nel massimo, in euro 20.000.000 ovvero, per le imprese, fino al 4 % del fatturato mondiale totale annuo dell’esercizio precedente se superiore.

6.1. Quantificazione della sanzione amministrativa pecuniaria

210. Per la determinazione del massimo edittale della sanzione pecuniaria occorre fare riferimento al fatturato dell’impresa, intesa ai sensi degli artt. 101 e 102 del TFUE come chiarito dal considerando 150 del Regolamento. Poiché dalla documentazione in atti risulta che Lusha Systems Inc. sia interamente controllata da Lusha Systems Ltd. (quest’ultima è inoltre espressamente qualificata quale contitolare del trattamento all’interno della “Informativa sul trattamento dei dati personali” aggiornata a maggio 2026), si prenderà come riferimento il fatturato indicato nel bilancio consolidato della Lusha Systems Ltd. (cfr. CEPD, Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR, 24 maggio 2023, §6.1.2). Conseguentemente, si determina il massimo edittale, nel caso in argomento, in euro 20.000.000.

211. L’ammontare della sanzione amministrativa pecuniaria va determinata in funzione delle circostanze di ogni singolo caso, tenendo in debito conto gli elementi previsti dall’art. 83, par. 2, del Regolamento:

- la gravità delle violazioni (art. 83, par. 2, lett. a), RGPD), tenuto conto dell’oggetto e delle finalità dei trattamenti, riconducibili ad attività commerciali, il fatto che le violazioni hanno riguardato il mancato rispetto dei principi base della normativa in materia, come l’individuazione del fondamento di liceità del trattamento, nonché l’elevato numero di Contatti o interessati italiani coinvolti nei trattamenti illeciti (nell’ordine delle XX) e la circostanza che l’acquisizione illecita dei dati ha natura strutturale e non episodica;

- quale fattore aggravante, il carattere negligente delle condotte (art. 83, par. 2, lett. b), RGPD) del Titolare;

- quale fattore attenuante, la circostanza che il Titolare non sia già stato destinatario di un provvedimento correttivo e sanzionatorio del Garante (art. 83, par. 2, lett. e), del RGPD);

- il fatto che il trattamento non ha avuto ad oggetto categorie particolari di dati personali o dati relativi a condanne penali e reati (art. 83, par. 2, lett. g), RGPD);

- quale fattore ulteriormente attenuante, la cooperazione dimostrata con l’autorità di controllo, al fine di porre rimedio alla violazione e limitarne i possibili effetti negativi, nonché la generale collaborazione in sede di istruttoria testimoniata anche dall’aver la Società partecipato attivamente al procedimento anche tramite nomina di uno studio legale italiano (art. 83, par. 2, lett. f), RGPD);

- l’adesione ai meccanismi di certificazione (art. 83, par. 2, lett. j), RGPD);

- quale fattore ulteriormente attenuante, i dati sui ricavi e il grado di concorrenzialità del mercato di riferimento (art. 83, par. 2, lett. k), RGPD).

212. In base al complesso degli elementi sopra indicati e ai principi di effettività, proporzionalità e dissuasività previsti dall’art. 83, par. 1, del Regolamento, e tenuto conto del necessario bilanciamento fra i diritti degli interessati e la libertà di impresa, anche al fine di limitare l’impatto economico della sanzione sulle esigenze organizzative e funzionali della Società, si ritiene debba applicarsi la sanzione amministrativa del pagamento di una somma di euro 2.000.000,00 (due milioni/00), pari al 10% del massimo edittale.

6.2. Sanzione accessoria

213. Nel caso in argomento si ritiene che debba applicarsi anche la sanzione accessoria della pubblicazione sul sito del Garante della presente ordinanza ingiunzione, prevista dall’art. 166, comma 7 del Codice e art. 16 del Regolamento del Garante n. 1/2019, tenuto conto della particolare gravità delle violazioni e del particolare disvalore delle condotte, nonché, e soprattutto, del fatto che i trattamenti effettuati dalla Società, in particolare in conseguenza delle modalità con cui sono raccolti i dati dei Contatti, è suscettibile di produrre effetti e di riverberarsi anche sui successivi trattamenti di dati personali svolti dai suoi Clienti.

TUTTO CIO’ PREMESSO IL GARANTE

214. ai sensi degli artt. 57 e 83 del Regolamento, dichiara l’illiceità del trattamento dei dati personali effettuato dalla società Lusha Systems Inc., in persona del legale rappresentante pro-tempore, con sede legale a Boston, MA 02199, USA, in qualità di titolare del trattamento, per la violazione degli artt. 5, par. 1, lett. a) e c); 6; 12 e 25 del Regolamento, nei termini di cui in motivazione, e:

a) ai sensi dell’art. 58, par. 2, lett. f), del Regolamento, impone il divieto di ogni ulteriore trattamento dei dati degli interessati che si trovano nel territorio italiano acquisiti in assenza di adeguata base giuridica;

b) ai sensi dell’art. 58, par. 2, lett. g), del Regolamento, impone la cancellazione dei dati degli interessati che si trovano nel territorio italiano acquisiti in assenza di adeguata base giuridica;

c) ai sensi dell’art. 58, par. 1, lett. a), del Regolamento e dell’art. 157 del Codice, prescrive di comunicare all’Autorità, entro il termine di 60 giorni dalla notifica del presente provvedimento, l’adempimento alle misure imposte alle precedenti lett. a) e b).

ORDINA

215. a Lusha Systems Inc., in persona del legale rappresentante pro-tempore, con sede legale a Boston, MA 02199, USA, di pagare la somma di euro 2.000.000,00 (due milioni/00) a titolo di sanzione amministrativa pecuniaria per le violazioni indicate in motivazione.

INGIUNGE

216. al predetto Titolare del trattamento in caso di mancata definizione della controversia ai sensi dell’art. 166, comma 8, del Codice, di pagare la somma di euro 2.000.000,00 (due milioni/00), secondo le modalità indicate in allegato, entro 30 giorni dalla notificazione del presente provvedimento, pena l’adozione dei conseguenti atti esecutivi a norma dell’art. 27 della legge n. 689/1981.

217. Si rappresenta che, ai sensi dell’art. 166, comma 8, del Codice, entro il termine di cui all’art. 10, comma 3, del decreto legislativo n. 150 del 2011 previsto per la proposizione del ricorso, il trasgressore può definire la controversia: a) adeguandosi alle prescrizioni del Garante; b) mediante il pagamento di un importo pari alla metà della sanzione irrogata.

DISPONE

218. la pubblicazione del presente provvedimento, ai sensi degli artt. 154-bis, comma 3, del Codice e 37 del regolamento del Garante n. 1/2019, nonché l’applicazione della sanzione accessoria della pubblicazione sul sito del Garante dell’ordinanza ingiunzione, come previsto dagli artt. 166, comma 7, del Codice e 16, comma 1, del regolamento del Garante n. 1/2019;

219. nonché, ai sensi dell’art. 17 del regolamento del Garante n. 1/2019, l’annotazione delle violazioni e delle misure adottate in conformità all’art. 58, par. 2, del Regolamento nel registro interno dell’Autorità previsto dall’art. 57, par. 1, lett. u), del Regolamento.

220. Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d.lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento è possibile proporre opposizione all’autorità giudiziaria ordinaria, con ricorso depositato presso il tribunale ordinario del luogo individuato nel medesimo art. 10, a pena di inammissibilità, entro il termine di trenta giorni dalla data di comunicazione del provvedimento ovvero entra sessanta giorni se il ricorrente risiede all’estero.

Roma, 14 luglio 2026

IL PRESIDENTE
Stanzione

IL RELATORE
Stanzione

IL SEGRETARIO GENERALE
Montuori