Il Caso Lusha: Cosa ha Deciso il Garante Privacy e Cosa Significa per Chi Fa Lead Generation

Cosa è successo

Il 14 luglio 2026 il Garante per la protezione dei dati personali ha sanzionato Lusha, piattaforma nota per la vendita di contatti B2B, con una multa di 2 milioni di euro. Il provvedimento, riportato nel comunicato ufficiale su garanteprivacy.it, ha vietato all'azienda il trattamento dei dati italiani raccolti tramite attività di scraping, giudicando insufficiente la base giuridica invocata a sostegno di quella raccolta.

È una delle sanzioni più rilevanti degli ultimi anni nel settore della lead generation B2B, non tanto per l'importo in sé, quanto per il fatto che colpisce direttamente il modello di business su cui si basano diverse piattaforme di vendita di contatti professionali: raccogliere in blocco informazioni pubblicate online e rivenderle in abbonamento a chi ne fa richiesta.

Cosa prevedeva nello specifico il provvedimento

Oltre alla sanzione economica, il Garante ha imposto a Lusha il divieto di trattare ulteriormente i dati italiani raccolti tramite scraping, un provvedimento che va oltre la multa e incide direttamente sulla possibilità dell'azienda di continuare a operare con lo stesso modello sul mercato italiano. È un segnale importante: le autorità di controllo non si limitano a punire economicamente una condotta passata, ma possono intervenire sulla possibilità di proseguire il trattamento stesso, il che rende il tema rilevante non solo per chi guarda al rischio di una multa, ma anche per chi costruisce un intero modello di business su un flusso di dati che potrebbe essere bloccato.

Perché il legittimo interesse non ha retto

Al centro della decisione c'è un tema che riguarda chiunque faccia lead generation su larga scala: il legittimo interesse, la base giuridica più usata dalle piattaforme di questo tipo, non è una scorciatoia universale. Per essere valido, il legittimo interesse richiede un bilanciamento concreto, non dichiarato sulla carta ma dimostrabile, tra l'interesse economico di chi tratta il dato e l'impatto reale sulla persona i cui dati vengono raccolti, conservati e rivenduti a terzi senza il suo coinvolgimento diretto.

Nel caso Lusha, il modello di business si basava sulla costruzione di un database massivo di contatti professionali, ottenuti tramite scraping da fonti come LinkedIn e altri siti pubblici, poi rivenduto in abbonamento a chiunque volesse fare attività commerciale. È proprio questo schema, raccolta indiscriminata più rivendita a terzi indefiniti, a essere stato giudicato non sufficientemente garantito per le persone coinvolte. Il tema del confine tra dato pubblico e dato personale, che è alla base di tutta la vicenda, è approfondito in Dato Pubblico o Dato Personale? La Differenza che Conta nel B2B.

Cosa significa per chi fa lead generation locale in Italia

È facile leggere questa notizia e pensare che riguardi solo le grandi piattaforme internazionali di data broker. In parte è vero: il volume e il modello di business di Lusha non sono paragonabili a quelli di un freelance o di una piccola agenzia che cerca dieci contatti a settimana nella propria città. Ma il principio giuridico dietro la sanzione, il legittimo interesse va dimostrato e non solo dichiarato, vale per chiunque tratti dati personali nell'ambito di attività di prospezione commerciale, indipendentemente dalla scala.

Chi lavora nella lead generation locale dovrebbe leggere questo caso come un promemoria pratico più che come un allarme: la differenza tra un'attività difendibile e una rischiosa non sta nel volume, ma nel modello. Approfondiamo questa distinzione in È Legale Fare Scraping di Google Maps in Italia? La Risposta Completa.

Le domande da porsi guardando al proprio modello di lavoro

Prendendo il caso Lusha come riferimento, ha senso porsi alcune domande concrete sul proprio flusso di lavoro:

• Sto costruendo un database precostituito che conservo a tempo indefinito, o interrogo fonti pubbliche solo quando mi serve un contatto per un lavoro specifico?
• Rivendo i dati a terzi indefiniti o li uso io stesso, restando responsabile del trattamento?
• Ho un'informativa chiara da mostrare a chi ricevo il primo contatto, o mi affido al fatto che il numero fosse già pubblico?
• Conservo i dati più a lungo del necessario, anche quando un contatto non ha portato a nulla?

Rispondere onestamente a queste domande dà un'indicazione più utile di qualsiasi checklist teorica su cosa sia "conforme" e cosa no.

Come muoversi con maggiore serenità

Non esiste, ripetiamolo, una conformità garantita al 100% valida per ogni scenario: la prassi in questo ambito è ancora in evoluzione e ogni situazione va valutata con un legale o un DPO per il proprio caso specifico. Detto questo, il caso Lusha rafforza un principio già emerso in altri contesti: chi tratta dati pubblici per finalità commerciali B2B è più difendibile se resta titolare del trattamento, se interroga le fonti su richiesta invece di accumulare database enormi, e se documenta ogni ricerca con un log e un'informativa.

È questo l'approccio su cui è costruito LeadPyper: nessun database precostituito da rivendere, ricerche su richiesta con l'utente come titolare del trattamento, informativa e log integrati in ogni ricerca effettuata sulla piattaforma. Non è un modo per aggirare la normativa, è un modello di lavoro pensato fin dall'inizio per essere più semplice da spiegare, se mai qualcuno lo chiedesse. Se vuoi vedere come funziona senza impegno, puoi iniziare la prova gratuita di 14 giorni, tutto sbloccato, senza carta di credito.