En resumen
La autoridad italiana sancionó con 2 millones de euros a Lusha Systems Inc., sociedad estadounidense que gestiona una plataforma de enriquecimiento de contactos: puesto de trabajo, direcciones de correo, números de teléfono. La resolución es de 14 de julio de 2026 y se difundió el 27 de julio.
De dónde venían los datos
La sociedad recopilaba información de varias fuentes: scraping de redes sociales y compra a otros data brokers. Después los ponía a disposición de los clientes de la plataforma con fines comerciales o antifraude. Entre la información consultable figuraban datos de altos cargos institucionales, funcionarios públicos, miembros de las fuerzas del orden y magistrados.
Es lo que hace distinta esta resolución de los casos habituales de marketing: ninguna de esas personas había tenido nunca relación con la sociedad, y ninguna sabía que estaba en un catálogo a la venta.
Qué reprochó la autoridad
- Vulneración de los principios de licitud, lealtad y transparencia
- Vulneración del principio de minimización
- Información ni clara ni fácilmente accesible para los interesados
- Falta de base jurídica adecuada: el interés legítimo no se consideró idóneo para fundamentar este tratamiento
El rechazo del interés legítimo es lo que importa más allá del caso. El data brokering se ha sostenido años sobre esa base: recojo datos profesionales públicamente accesibles, los enriquezco, los revendo, y considero prevalente mi interés comercial. La autoridad dice que esa ponderación no se sostiene cuando el interesado no tiene ninguna relación con el responsable, no puede esperar el tratamiento y no recibe una información comprensible.
La sociedad es americana, ¿y qué?
Lusha no tiene establecimiento en Italia y eso no la protegió. La resolución es un ejemplo de aplicación extraterritorial del Reglamento: cuando el tratamiento afecta a personas que se encuentran en la Unión y está ligado a la oferta de servicios o al control de su comportamiento, la norma se aplica con independencia de dónde esté establecido el responsable.
Además de la sanción, la autoridad prohibió a la sociedad tratar datos personales de personas que se encuentran en Italia y ordenó borrar los recogidos ilícitamente.
La pregunta para clientes que compran listas
Si un cliente usa una plataforma de enriquecimiento de contactos para su fuerza comercial —y son muchísimos— esta resolución le afecta directamente. No como sancionado, sino como responsable que obtuvo datos de una fuente ilícita: en un procedimiento responde quien envía el mensaje, no quien vendió la lista. Una sola pregunta: ¿de dónde vienen estos contactos, y la plataforma puede demostrarlo para cada uno?
Qué cambia en la práctica
- Una declaración contractual de que «los datos se recogen conforme al RGPD» no es prueba, es promesa
- El deber de informar al interesado en un mes, cuando los datos no se recogen de él, recae sobre quien los usa
- Si al proveedor se le impone una prohibición de tratamiento, los datos ya descargados no se vuelven lícitos por haberse descargado antes
- Conviene comprobar, para cada plataforma en uso, si ha recibido resoluciones de autoridades europeas: son públicas
El mercado de datos de contacto profesional creció en la zona gris entre «dato público» y «dato libremente utilizable», que no son lo mismo. Esta resolución es de las más claras al decir que públicamente accesible no significa disponible para la reventa.
Fuente oficial:Garante privacy - Il Garante privacy sanziona Lusha per 2 milioni di euro. Monitorati e in vendita i dati di un elevato numero di persone (comunicato 27 luglio 2026)¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
