Lusha: lo stesso GDPR, due decisioni opposte tra CNIL e Garante italiano
Il provvedimento Lusha del Garante italiano non riguarda soltanto l’attività dei data broker. Pone una questione più profonda: quando il costante aggiornamento di dati professionali diventa monitoraggio del comportamento e rende applicabile il GDPR a una società extra-UE?
Il nodo dell’ambito territoriale
Lusha Systems Inc. è una società con sede legale a Boston, negli Stati Uniti, interamente controllata da Lusha Systems Ltd. Opera come data broker B2B, raccogliendo e organizzando informazioni professionali relative a persone fisiche; quindi, l’applicazione del GDPR non poteva quindi fondarsi sull’art. 3, par. 1 GDPR.
Attraverso una piattaforma a pagamento mette a disposizione dei propri clienti dati “arricchiti”, quali nome, posizione lavorativa, anzianità, ruolo, ubicazione, indirizzi e-mail e numeri telefonici. Questi dati provengono da social network professionali, siti e forum, programmi di condivisione, integrazioni con servizi e-mail e CRM, altri fornitori di dati e algoritmi capaci di ricostruire gli indirizzi aziendali.
Le informazioni vengono riunite in una scheda univoca per ciascun contatto, aggiornate periodicamente e utilizzate dai clienti per attività di vendita, marketing B2B, recruiting, business intelligence e prevenzione delle frodi.
Il Garante esclude anche che l’art. 3, par. 2, lett. a), possa giustificare l’applicazione del GDPR ai “Contatti”: il servizio è offerto ai clienti della piattaforma, mentre gli interessati censiti nella banca dati non ricevono alcun bene o servizio.
La decisione si fonda invece sull’art. 3, par. 2, lett. b): il trattamento riguarda il monitoraggio del comportamento di persone che si trovano nell’Unione, nella misura in cui tale comportamento avviene nell’Unione; infatti il GDPR non richiede cittadinanza o residenza europea, ma la presenza dell’interessato nell’Unione e la localizzazione del comportamento monitorato.
Perché, secondo il GPDP, esiste un monitoraggio
Lusha non si limita a raccogliere una volta nome, ruolo, e-mail e numero telefonico; da quanto rilevato durante l’istruttoria per ciascun interessato crea una scheda univoca, incrocia fonti differenti, ricostruisce le informazioni mancanti e aggiorna i dati almeno settimanalmente, verificando:
- posizione e qualifica professionale;
- anzianità e luogo di lavoro;
- cambiamenti di ruolo o di azienda;
- permanenza dei presupposti per includere il contatto nel database.
Per il GPDP, questo controllo continuativo costituisce un vero tracciamento online della posizione lavorativa, qualificabile come “posizione personale” ai sensi del considerando 24 GDPR.
Si può quindi affermare che il monitoraggio rilevante ai sensi dell’art. 3, par. 2, lett. b), GDPR non richiede necessariamente una profilazione: è sufficiente il tracciamento sistematico e continuativo delle variazioni della posizione personale o lavorativa dell’interessato, finalizzato ad assumere decisioni sulla raccolta, conservazione e comunicazione dei suoi dati.
La decisione opposta della CNIL
Nel 2022 la CNIL ( Garante Privacy Francese ) aveva raggiunto la conclusione contraria nei confronti della stessa Lusha; ha detta dell’Autorità transalpina il confronto tra i dati professionali contenuti nel database e le informazioni presenti su LinkedIn o Salesforce serviva soltanto a verificarne l’esattezza.
In assenza di profilazione, analisi o previsione di preferenze e comportamenti, non vi sarebbe stato “monitoraggio” ai sensi dell’art. 3, par. 2, lett. b) e quindi la conclusione era stata che il GDPR non risultava applicabile e la CNIL aveva pronunciato il non luogo a procedere, senza esaminare nel merito liceità, trasparenza e diritti degli interessati.
Non è quindi del tutto corretto affermare che CNIL e Garante abbiano deciso diversamente sulle medesime violazioni: la CNIL non ha valutato le violazioni sostanziali perché si è fermata alla questione territoriale; resta però indiscutibile il contrasto interpretativo sul concetto di monitoraggio.
Quale interpretazione appare più convincente?
A mio avviso, l’impostazione italiana è maggiormente aderente al considerando 24, che parla di tracciamento su Internet, “compreso l’eventuale ricorso successivo” alla profilazione. L’aggettivo “eventuale” e il riferimento alla profilazione “successiva” dimostrano che quest’ultima non è una condizione necessaria del monitoraggio.
Rimane però un punto critico: non ogni verifica dell’esattezza può automaticamente diventare monitoraggio. Diversamente, qualsiasi banca dati regolarmente aggiornata determinerebbe l’applicazione extraterritoriale del GDPR; nel caso Lusha, la soglia è superata dalla combinazione di continuità settimanale, pluralità delle fonti, osservazione dei cambiamenti lavorativi, arricchimento delle schede e decisione di rendere i dati disponibili a terzi.
Il problema sistemico
Il contrasto dimostra un limite del sistema europeo: un titolare extra-UE privo di stabilimento non beneficia del meccanismo dello sportello unico (one stop shop); quindi ogni Autorità (DPA) può intervenire rispetto agli interessati presenti nel proprio territorio e non è formalmente vincolata dalle decisioni delle altre Autorità.
Ne deriva un risultato difficilmente soddisfacente: lo stesso modello di business può essere considerato estraneo al GDPR in Francia e soggetto al GDPR in Italia; Il Garante Privacy Italiano può giuridicamente discostarsi dalla CNIL, ma la certezza del diritto e l’applicazione uniforme del Regolamento avrebbero probabilmente richiesto un intervento del Comitato europeo o, in ultima istanza, della Corte di giustizia.
Fonti:
Garante, provvedimento n. 542 del 14 luglio 2026;
