Em resumo
A autoridade italiana aplicou 2 milhões de euros à Lusha Systems Inc., sociedade norte-americana que gere uma plataforma de enriquecimento de contactos: função profissional, endereços de correio eletrónico, números de telefone. A decisão é de 14 de julho de 2026 e foi divulgada a 27 de julho.
De onde vinham os dados
A sociedade recolhia informação de várias fontes: scraping das redes sociais e compra a outros data brokers. Depois disponibilizava-a aos clientes da plataforma para fins comerciais ou de combate à fraude. Entre a informação consultável figuravam dados de altos cargos institucionais, funcionários da administração pública, membros das forças de segurança e magistrados.
É isso que torna esta decisão diferente dos casos habituais de marketing: nenhuma dessas pessoas tinha alguma vez tido relação com a sociedade, e nenhuma sabia que estava num catálogo à venda.
O que a autoridade censurou
- Violação dos princípios da licitude, lealdade e transparência
- Violação do princípio da minimização
- Informação nem clara nem facilmente acessível aos titulares
- Ausência de fundamento de licitude adequado: o interesse legítimo não foi considerado idóneo para este tratamento
A rejeição do interesse legítimo é o que importa para lá deste caso. O data brokering assenta há anos nessa base: recolho dados profissionais publicamente acessíveis, enriqueço-os, revendo-os, e considero prevalecente o meu interesse comercial. A autoridade diz que essa ponderação não se sustenta quando o titular não tem qualquer relação com o responsável, não pode esperar o tratamento e não recebe informação compreensível.
A sociedade é americana, e então?
A Lusha não tem estabelecimento em Itália, e isso não a protegeu. A decisão é um exemplo do alcance extraterritorial do Regulamento: quando o tratamento respeita a pessoas que se encontram na União e se liga à oferta de serviços ou ao controlo do seu comportamento, as regras aplicam-se independentemente de onde esteja estabelecido o responsável.
Além da coima, a autoridade proibiu a sociedade de tratar dados pessoais de pessoas que se encontram em Itália e ordenou a eliminação dos recolhidos ilicitamente.
A pergunta para clientes que compram listas
Se um cliente usa uma plataforma de enriquecimento de contactos para a força de vendas — e são muitíssimos — esta decisão diz-lhe respeito diretamente. Não como sancionado, mas como responsável que obteve dados de fonte ilícita: num procedimento responde quem envia a mensagem, não quem vendeu a lista. Uma pergunta só: de onde vêm estes contactos, e a plataforma consegue demonstrá-lo para cada um?
O que muda na prática
- Uma declaração contratual de que «os dados são recolhidos em conformidade com o RGPD» não é prova, é promessa
- O dever de informar o titular no prazo de um mês, quando os dados não foram recolhidos junto dele, recai sobre quem os usa
- Se o fornecedor for atingido por uma proibição de tratamento, os dados já descarregados não se tornam lícitos por terem sido descarregados antes
- Para cada plataforma em uso vale a pena verificar se foi objeto de decisões de autoridades europeias: são públicas
O mercado dos dados de contacto profissional cresceu na zona cinzenta entre «dado público» e «dado livremente utilizável», que não são a mesma coisa. Esta decisão está entre as mais claras a dizer que publicamente acessível não significa disponível para revenda.
Official source:Garante privacy - Il Garante privacy sanziona Lusha per 2 milioni di euro. Monitorati e in vendita i dati di un elevato numero di persone (comunicato 27 luglio 2026)Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
