Contatti aziendali arricchiti: la sanzione Lusha del Garante riguarda chi compra

«Il Garante privacy sanziona Lusha per 2 milioni di euro. Monitorati e in vendita i dati di un elevato numero di persone»: così l’Autorità ha annunciato, il 14 luglio 2026, l’ordinanza-ingiunzione contro Lusha Systems Inc. (registro dei provvedimenti n. 542, doc. web n. 10275035; collegio Stanzione presidente e relatore, Cerrina Feroni vicepresidente, Ghiglia componente, Montuori segretario generale). Lusha vende accesso a un database di contatti professionali — «sales intelligence», arricchimento contatti B2B — dalla sede di Boston, controllata al 100% da Lusha Systems Ltd. L’istruttoria non nasce da un controllo di routine: nasce nell’aprile 2025 da articoli di stampa che segnalavano, dentro la piattaforma, i numeri di telefono delle più alte cariche della Repubblica. Sono poi arrivati un reclamo e una segnalazione di persone che avevano ricevuto chiamate e messaggi pubblicitari indesiderati da terzi e ne avevano chiesto l’origine.

Che cosa vende, esattamente, questo mercato

I dati, dice la Società, sono «solitamente contenuti nei biglietti da visita o nel “blocco firma” delle e-mail»: nome, titolo, ruolo, anzianità, e-mail, telefono, Stato di lavoro. Riorganizzati in una «Scheda contatto aziendale» univoca, reperibile «sulla base di diversi filtri». Fra i modi dichiarati per ottenerli c’è un «algoritmo di creazione delle e-mail»: quando l’indirizzo non è disponibile, viene dedotto — anche per chi non è su LinkedIn, perché «la e-mail […] può essere desunta attraverso un algoritmo […] o acquisita da altre fonti».

Il primo punto forte è la giurisdizione. Lusha ha sostenuto di non essere soggetta al Regolamento: nessuno stabilimento nell’Unione, criteri dell’art. 3, par. 2 non applicabili, nessun obbligo di rappresentante. Il punto di contatto tedesco serve «solo per essere facilmente raggiungibile per le persone e le autorità dell’UE e del Regno Unito»; l’applicazione volontaria delle norme europee sarebbe un allineamento agli standard internazionali, non un obbligo.

Il Garante ha ritenuto integrati entrambi i criteri dell’art. 3, par. 2. Sulla lett. a): non era escludibile che, fra chi accede alla piattaforma, vi fossero persone i cui dati diventano oggetto di trattamento — quindi interessati. Sulla lett. b), il passaggio che pesa più di tutti: l’attività di arricchimento e aggiornamento dei contatti — «per verificare che la persona rivestisse ancora una certa posizione lavorativa o abbia cambiato posizione o luogo di lavoro», anche tramite «cross-check» tra fonti — «sembravano implicare un controllo della posizione lavorativa del Contatto nel tempo tale da determinare un monitoraggio del suo comportamento», «suscettibile di integrare un monitoraggio del comportamento […] ai sensi dell’art. 3, par. 2, lett. b)». Il database non è una fotografia: è un aggiornamento continuo, ed è proprio questo a farlo ricadere sotto il GDPR.

Il Garante aveva già allargato il «monitoraggio»: bloccando un plug-in che leggeva lo stress dei dipendenti in chat, e con l’obbligo, già legge italiana, di dichiarare per iscritto la logica dei sistemi che monitorano i lavoratori.

La stessa attività, due letture diverse

Nella propria difesa la Società ha richiamato un’istruttoria precedente della CNIL: secondo quanto il provvedimento riferisce come tesi difensiva di Lusha, l’autorità francese avrebbe concluso che «non vi fosse monitoraggio in quanto non c’è alcuna attività di profilazione […] Lusha registra il cambio di lavoro dei soggetti censiti ma questo non implica profilazione ma solo aggiornamento del dato […] è applicazione del principio di esattezza del dato». Il Garante italiano è arrivato a una conclusione diversa. Stesso trattamento, due regolatori, due letture distanti: è il tipo di incertezza che chi acquista questi servizi deve gestire, non ignorare.

Che cosa ha deciso il Garante

Per la maggior parte delle finalità la Società ha dichiarato come base giuridica il legittimo interesse, sorretto da un Legitimate Interest Assessment dentro la valutazione d’impatto, con la conclusione che trattamento e comunicazione ai Clienti soddisfacessero i requisiti. Il Garante non ha condiviso, e ha dichiarato l’illiceità del trattamento per violazione degli artt. 5, par. 1, lett. a) e c); 6; 12 e 25 GDPR — liceità, minimizzazione, base giuridica, informazione agli interessati, protezione fin dalla progettazione. Ha vietato, ex art. 58, par. 2, lett. f), ogni ulteriore trattamento dei dati di interessati in territorio italiano acquisiti senza adeguata base giuridica, ordinandone la cancellazione (lett. g), con adempimento entro 60 giorni. Sanzione, da pagare entro 30 giorni: 2.000.000 di euro. Il massimo edittale era l’art. 83, par. 5 (20 milioni o il 4% del fatturato mondiale, se superiore), con l’art. 83, par. 3 applicato per unica condotta. Resta la definizione agevolata dell’art. 166, comma 8, del Codice: adeguandosi, oppure pagando metà sanzione. Disposta anche la pubblicazione sul sito del Garante, come sanzione accessoria.

Ma il pezzo non è sul venditore

Il provvedimento colpisce Lusha. Ma la domanda vera è un’altra: che succede se quel database è già nel vostro CRM? Diventate titolari autonomi del trattamento. La conformità del fornitore non si trasferisce insieme al file scaricato.

Tre punti operativi. Primo: l’aggiornamento continuo di ruolo e posizione — ciò che rende utile qualunque database di contatti — è esattamente ciò che il Garante ha qualificato come monitoraggio del comportamento. Nel provvedimento quella qualificazione serve a fondare la giurisdizione su una società senza stabilimento europeo; per un’impresa stabilita in Italia il GDPR si applica comunque, e la questione della giurisdizione non si pone. Ma resta il giudizio sulla natura dell’attività, e quell’attività è la stessa che compie chi tiene un CRM vivo, arricchito con dati di terzi. Secondo: un’e-mail dedotta da un algoritmo resta un dato personale come una raccolta; il fatto che sia stata calcolata, anziché acquisita, non ne cambia la natura — la stessa cautela che vale per i pixel di tracciamento nelle e-mail, altro fronte dove il Garante misura la distanza fra tecnico e personale. Terzo: la provenienza resta rintracciabile. Chi ha segnalato al Garante ci è arrivato dopo chiamate e messaggi da terzi, chiedendone l’origine: quella domanda risale la catena, e arriva a chi ha comprato il contatto, non solo a chi lo ha venduto.

Un quarto punto riguarda i nostri lettori più degli altri: l’istruttoria è partita perché in un database commerciale c’erano i recapiti diretti delle più alte cariche dello Stato. Un archivio che tiene insieme nome, ruolo, anzianità e recapito diretto dei dirigenti di un’organizzazione — pubblica o privata — non è solo un problema di protezione dei dati: è, per costruzione, una mappa di chi decide che cosa, utile a chi prepara un attacco mirato, dallo spear phishing all’ingegneria sociale. Per una pubblica amministrazione, per la difesa, per un’azienda con funzioni sensibili, la domanda non è solo «chi ha i miei dati», ma «chi ha la mappa della mia organizzazione».

Cosa fare adesso

Inventario delle fonti dei contatti nel CRM: cosa è stato comprato o arricchito da terzi, quando, con quale contratto e base giuridica.
Chiedete al fornitore, per iscritto, il LIA: non la rassicurazione commerciale, il documento.
Verificate di saper rispondere a un interessato che chieda da dove viene il suo dato: è la domanda con cui è cominciata questa istruttoria.
Trattate l’e-mail dedotta algoritmicamente come un dato personale a tutti gli effetti, anche se il fornitore la presenta come «generata».
Guardate il problema dall’altro lato: quanto della vostra organizzazione — ruoli, gerarchie, recapiti — è già in vendita, e chi deve saperlo.

Come lo risolviamo noi

La verifica della provenienza e della base giuridica di ogni contatto che entra nei vostri sistemi non è un parere legale da archiviare: è un controllo che gira sul CRM e sui flussi di acquisizione, con un registro delle fonti — chi ha fornito cosa, quando, con quale base giuridica e documento a supporto — pronto da esibire a un’ispezione, o a un interessato che chiede da dove viene il suo dato. Lo stesso impianto tiene insieme CRM, archivi, gestionali, documenti e sistemi dell’organizzazione in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. Vale la pena dirlo qui più che altrove: se il modello gira dentro casa, i dati dei vostri contatti e la mappa della vostra organizzazione non attraversano il sistema di un terzo. Sempre in due modalità: on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure cloud dedicato, con data center in Italia; sempre con gestione condivisa.

Volete sapere da dove vengono davvero i contatti nel vostro CRM? Mezz’ora con un nostro esperto, senza costi, per la prima mappa delle fonti.