(Il testo seguente è tratto integralmente dalla nota stampa inviata all’Agenzia Opinione) –
////
Una sanzione di 2 milioni di euro è stata irrogata dal Garante privacy a Lusha Systems Inc., data broker statunitense, che tramite la propria piattaforma fornisce, a pagamento, informazioni “arricchite” relative a persone fisiche, come la posizione lavorativa, gli indirizzi e-mail e i numeri di telefono.
Lusha raccoglie da più fonti tali dati – ad esempio attraverso attività di scraping dai social network e di acquisto da altri data broker – e li mette a disposizione dei clienti della piattaforma per finalità commerciali o anti-frode.
Tra le informazioni disponibili sulla piattaforma vi erano anche quelle relative a rappresentanti dei vertici istituzionali, della pubblica amministrazione, delle forze dell’ordine e della magistratura. La società ha trattato i dati personali di un elevato numero di persone presenti sul territorio italiano in violazione dei principi di liceità, correttezza, trasparenza e minimizzazione dei dati. In particolare, l’informativa fornita agli interessati non risultava chiara e facilmente accessibile.
Inoltre, con riferimento al fondamento di liceità del trattamento, l’Autorità ha ritenuto che il perseguimento del legittimo interesse non fosse un’adeguata base giuridica.
Nel definire il procedimento, il Garante ha affermato che il GDPR si applica anche al trattamento dei dati personali dei soggetti censiti nell’archivio di Lusha, società priva di uno stabilimento in UE, in quanto tale trattamento ricade nell’ambito del criterio del monitoraggio previsto dal Regolamento europeo. Infatti, Lusha non si limita alla raccolta delle informazioni professionali, ma ne cura anche l’aggiornamento e il controllo nel tempo. Operazioni che integrano quindi un’attività di monitoraggio dei comportamenti e delle posizioni personali degli interessati su Internet, configurando un vero e proprio “tracciamento” rilevante ai sensi del GDPR.
Accertata l’illiceità della condotta posta in essere da Lusha e ritenuto che i trattamenti, ancora in corso, fossero privi di una valida base giuridica fin dall’origine, l’Autorità ha vietato alla società di trattare i dati personali degli interessati presenti sul territorio italiano e ne ha ordinato la cancellazione.
