Lusha Systems Inc.
ordinanza ingiunzione con sanzione amministrativa pecuniaria
Sintesi del provvedimento
Il Garante sanziona Lusha Systems Inc. per illecito trattamento dei dati personali di circa XX interessati italiani, acquisiti senza adeguata base giuridica tramite raccolta da fonti pubbliche e archiviate in database commerciale B2B. La Società ha violato i principi di liceità, trasparenza e minimizzazione dei dati, nonché l'obbligo di informativa, oltre a realizzare un monitoraggio strutturale del comportamento lavorativo degli interessati.
La raccolta strutturale di dati da fonti pubbliche e il loro trattamento continuativo in database commerciale senza informativa preventiva e base giuridica legittima costituisce violazione dei principi di liceità e trasparenza, anche se i dati non rientrano in categorie particolari.
Approfondimento
Soggetti coinvolti
circa XX interessati italiani
Riferimenti normativi
Lettura del caso
Temi affrontati — raccolta illecita dati, base giuridica assente, trasparenza informativa, monitoraggio comportamento
Conseguenze — Lusha Systems Inc. è obbligata a: (a) cessare ogni ulteriore trattamento dei dati degli interessati italiani acquisiti senza adeguata base giuridica; (b) cancellare i dati degli interessati italiani acquisiti senza adeguata base giuridica; (c) comunicare al Garante l'adempimento entro 60 giorni dalla notifica; (d) pagare €2.000.000,00 entro 30 giorni dalla notifica, ovvero adeguarsi alle prescrizioni o pagare la metà della sanzione per definire la controversia.
- gravità delle violazioni e violazione di principi base (liceità e minimizzazione), elevato numero di interessati italiani coinvolti (nell'ordine delle XX), carattere strutturale e non episodico dell'acquisizione illecita, negligenza del Titolare
- assenza di precedenti provvedimenti sanzionatori del Garante, mancanza di categorie particolari di dati, cooperazione dimostrata dalla Società e collaborazione durante l'istruttoria, ricavi e grado di concorrenzialità del mercato
Raccogliere dati da fonti pubbliche senza consenso esplicito e archiviarli in database commerciale richiede base giuridica legittima documentata; il monitoraggio continuo comportamentale tramite aggiornamenti incide sulla qualificazione del trattamento.
AISintesi generata con intelligenza artificiale
Questa è una sintesi indipendente, non un documento ufficiale del Garante. Il testo integrale e autentico del provvedimento è disponibile sul sito ufficiale garanteprivacy.it.