En bref
L'autorité italienne a infligé 2 millions d'euros à Lusha Systems Inc., société américaine exploitant une plateforme d'enrichissement de contacts : fonction, adresses électroniques, numéros de téléphone. La décision date du 14 juillet 2026 et a été annoncée le 27 juillet.
D'où venaient les données
La société collectait les informations de plusieurs sources : scraping des réseaux sociaux et achat auprès d'autres courtiers en données. Elle les mettait ensuite à disposition des clients de la plateforme à des fins commerciales ou de lutte contre la fraude. Parmi les informations consultables figuraient des données de hauts responsables institutionnels, de fonctionnaires, de membres des forces de l'ordre et de magistrats.
C'est ce qui distingue cette décision des affaires de marketing habituelles : aucune de ces personnes n'avait jamais eu de relation avec la société, et aucune ne savait figurer dans un catalogue mis en vente.
Ce que l'autorité a retenu
- Violation des principes de licéité, de loyauté et de transparence
- Violation du principe de minimisation
- Information ni claire ni facilement accessible pour les personnes concernées
- Absence de base légale adéquate : l'intérêt légitime n'a pas été jugé apte à fonder ce traitement
Le rejet de l'intérêt légitime est ce qui compte au-delà de l'espèce. Le courtage de données repose depuis des années sur cette base : je collecte des données professionnelles publiquement accessibles, je les enrichis, je les revends, et je tiens mon intérêt commercial pour prépondérant. L'autorité dit que cette mise en balance ne tient pas lorsque la personne n'a aucune relation avec le responsable, ne peut raisonnablement s'attendre au traitement et ne reçoit pas d'information intelligible.
La société est américaine, et alors ?
Lusha n'a pas d'établissement en Italie, ce qui ne l'a pas protégée. La décision illustre la portée extraterritoriale du règlement : dès lors que le traitement concerne des personnes se trouvant dans l'Union et se rattache à l'offre de services ou au suivi de leur comportement, les règles s'appliquent quel que soit le lieu d'établissement du responsable.
Outre l'amende, l'autorité a interdit à la société de traiter les données des personnes se trouvant en Italie et ordonné l'effacement de celles collectées illicitement.
La question à poser aux clients qui achètent des fichiers
Si un client utilise une plateforme d'enrichissement de contacts pour sa force de vente — et ils sont très nombreux — cette décision le concerne directement. Non comme sanctionné, mais comme responsable s'étant procuré des données auprès d'une source illicite : dans une procédure, c'est l'expéditeur qui répond, pas le vendeur du fichier. Une seule question : d'où viennent ces contacts, et la plateforme peut-elle le démontrer pour chacun ?
Ce qui change en pratique
- Une déclaration contractuelle selon laquelle « les données sont collectées conformément au RGPD » n'est pas une preuve, c'est une promesse
- L'obligation d'informer la personne dans le mois, lorsque les données n'ont pas été collectées auprès d'elle, pèse sur celui qui les utilise
- Si le fournisseur est frappé d'une interdiction de traitement, les données déjà téléchargées ne deviennent pas licites au motif qu'elles l'ont été avant
- Pour chaque plateforme utilisée, il vaut la peine de vérifier si elle a fait l'objet de décisions d'autorités européennes : elles sont publiques
Le marché des données de contact professionnelles a grandi dans la zone grise entre « donnée publique » et « donnée librement utilisable », qui ne sont pas la même chose. Cette décision est parmi les plus nettes à dire que publiquement accessible ne signifie pas disponible à la revente.
Source officielle:Garante privacy - Il Garante privacy sanziona Lusha per 2 milioni di euro. Monitorati e in vendita i dati di un elevato numero di persone (comunicato 27 luglio 2026)Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
