Una sanzione di 2 milioni di euro è

stata irrogata dal Garante Privacy a Lusha Systems Inc.,data

broker statunitense che tramite la propria piattaforma fornisce,

a pagamento,informazioni "arricchite",come posizione

lavorativa,indirizzi e-mail e numeri di telefono.

Lusha,ricorda una nota del Garante,"raccoglie da più fonti

tali dati - ad esempio attraverso attività di scraping dai

social network e di acquisto da altri data broker - e li mette a

disposizione dei clienti della piattaforma per finalità

commerciali o anti-frode. Tra le informazioni disponibili sulla

piattaforma vi erano anche quelle relative a rappresentanti dei

vertici istituzionali,della pubblica amministrazione,delle

forze dell'ordine e della magistratura".

Per l'Autorità,"la società ha trattato i dati personali di

un elevato numero di persone presenti sul territorio italiano in

violazione dei principi di liceità,correttezza,trasparenza e

minimizzazione dei dati. In particolare,l'informativa fornita

agli interessati non risultava chiara e facilmente accessibile.

Inoltre,con riferimento al fondamento di liceità del

trattamento,l'Autorità ha ritenuto che il perseguimento del

legittimo interesse non fosse un'adeguata base giuridica".

Nel definire il procedimento,il Garante ha affermato che "il

Gdpr si applica anche al trattamento dei dati personali dei

soggetti censiti nell'archivio di Lusha,società priva di uno

stabilimento in Ue,in quanto tale trattamento ricade

nell'ambito del criterio del monitoraggio previsto dal

Regolamento europeo. Infatti,Lusha non si limita alla raccolta

delle informazioni professionali,ma ne cura anche

l'aggiornamento e il controllo nel tempo. Operazioni che

integrano quindi un'attività di monitoraggio dei comportamenti e

delle posizioni personali degli interessati su Internet,

configurando un vero e proprio 'tracciamento' rilevante ai sensi

del Gdpr".

"Accertata l'illiceità della condotta posta in essere da

Lusha e ritenuto che i trattamenti,ancora in corso,fossero

privi di una valida base giuridica fin dall'origine,l'Autorità

- conclude la nota - ha vietato alla società di trattare i dati

personali degli interessati presenti sul territorio italiano e

ne ha ordinato la cancellazione".