Trova qualcuno che... anzi no, l'amore del GP per Lusha è finito.

Questo ERA amore, in una delle sue svariate forme!

Ma ora è finito. 

Dopo un'istruttoria lunga e laboriosa, finalmente, il Garante ha sanzionato Lusha con 2.000.000 di Euro. Temo che a Boston (sede di Lusha) si stiano tenendo la pancia dalle risate e abbiano speso parte dei 2.000.000€  per un lauto banchetto, alla salute delle autorità europee. Si, non li pagheranno mai, ma questo poco importa.

Ciò che conta è che, ora, è chiaro a tutti che utilizzare un provider come Lusha colloca l'azienda cliente nella lista dei cattivi. Non si può fare affari con i furfanti e pretendere di essere puri e integerrimi, un pochino ci si sporca.

Se, fino ad oggi, Lusha era solo sospettata di malaffare, ora questa è diventata un'evidenza imprescindibile e bisogna tenerne conto.

Il provvedimento è complesso e si addentra in questioni da esperti, interessanti per i DPO, ma poco utili nella vita quotidiana della maggior parte della gente. 

Potrei raccontare varie cose sull'applicabilità del GDPR ad una azienda extra UE, dell'ambito territoriale del GDPR, sul tema del one-stop-shop e il fatto che sull'operato di Lusha diverse autorità hanno preso decisioni a volte divergenti (cnil 2022 - Decision SAN-2022-024 of 20 December 2022 concerning LUSHA SYSTEMS INC.), 

Potrei... ma sarebbe di una noia mortale.

Quello che voglio veramente fare è sottolineare un'evidenza: voglio puntare il mio ditino verso una immensa scritta al neon, in caratteri cubitali, lampeggiante, piantata in mezzo al deserto, di notte. 

ACQUISTARE LISTE DA DATA BROKER, USARE DATI GENTILMENTE RACCOLTI PER NOI DA AZIENDE EXTRA UE, FARE MARKETING NDO COJO COJO COSTITUISCE UN GRAVE BRUTTO RISCHIO PER QUALUNQUE AZIENDA.

Le marachelle

Lusha è stata sanzionata per aver fatto web scraping illegale. Punto.

Lusha raccoglie e aggrega i dati di contatto professionali (nomi, indirizzi e-mail, numeri di telefono, ruoli lavorativi, anzianità e ubicazione) di centinaia di migliaia di cittadini italiani che non sono clienti della sua piattaforma (definiti "Contatti"). Queste informazioni vengono estratte da fonti "pubbliche", ma sarebbe meglio dire pubblicamente accessibili, acquistate da fornitori di dati o caricate dagli stessi clienti di Lusha mediante l'adesione al "Community Program" e l'integrazione delle proprie caselle di posta o CRM. Lusha ha basato sia la raccolta di questi dati sia la loro comunicazione a terzi (i suoi "Clienti") per finalità promozionali, di marketing e recruiting sul proprio legittimo interesse e su quello dei propri clienti commerciali.

Il Garante ha ribadito che l'ordinamento italiano (art. 130 del Codice Privacy) richiede il consenso preventivo, libero e specifico dell'utente per l'utilizzo dei suoi dati a fini promozionali e per la loro cessione a terzi per scopi commerciali. Il legittimo interesse non può scavalcare questa riserva di consenso.

Quindi, mancanza di consenso

Inoltre:
Assenza di aspettative ragionevoli: gli interessati non avevano alcun rapporto precedente con Lusha ed era impossibile per loro prevedere che i propri dati personali, spesso non pubblicati direttamente sui social (come i numeri di telefono o le e-mail aziendali dirette, ricreati da Lusha tramite algoritmi o acquistati da broker americani), venissero aggregati in schede contatto univoche e poi venduti.

Mancata esecuzione del bilanciamento (LIA): quella porcheria di valutazione del legittimo interesse (LIA) di Lusha si limitava a mere dichiarazioni generiche di necessità, omettendo del tutto un reale bilanciamento con i diritti fondamentali degli interessati.

La trappola

La cosa più grave consiste nel malefico meccanismo di condivisione rubrica/calendario/email che piace tanto a tutti noi. Installi una app (come whatsapp), ti viene chiesto sev uoi trovare i tuoi contatti con un click e, supermagicamente, eccoli li, tutti collegati e pronti a giocare / messaggiare / scambiare interessantissimi meme / ecc. Peccato che, per farlo, ogni utente ha inviato l'intera propria rubrica, non solo i dati di chi usa quel servizio che, in effetti, si può presumere d'accordo, ma anche i dati di tutti gli altri, ignari, non consenzienti, incazzatissimi.

Ecco, attraverso quella fetenzia di integrazione delle e-mail dei clienti e il "Community Program" (grazie alle quali Lusha scansiona le caselle di posta e i calendari degli iscritti), la società ha estratto e importato metadati di contatti terzi, incluse informazioni sulle riunioni, i partecipanti e i relativi indirizzi e-mail, registrando persino i dati personali di soggetti che operano esclusivamente nel settore pubblico. Un giacimento infinito di informazioni.

IMHO dovrebbero essere sanzionate anche tutte quelle persone che hanno contribuito, rendendosi complici, attivando queste funzioni sciagurate. Queste persone non hanno regalato i propri dati, bensì i dati di tutti gli altri. Con amici così, chi ha bisogno dei nemici?

In questo calderone di dati arraffati ovunque sono finite anche informazioni estratte da comunicazioni interpersonali e corrispondenze private dei clienti che violano la riservatezza di terzi estranei. La raccolta di dati relativi a funzionari della Pubblica Amministrazione, forze dell'ordine o magistratura è del tutto sproporzionata: chi opera nel contesto pubblico non persegue finalità di business, non sussiste alcuna lecita necessità commerciale per cui un'impresa debba acquisire o trattare i contatti diretti di tali soggetti per attività di marketing... ma Lusha non ha fatto alcuna distinzione. O meglio, ha dichiarato di voler filtrare tutto e, di fronte all'evidenza, ha tirato in ballo "lacune tecnica" dell'algoritmo. L'aver mantenuto in esercizio un algoritmo fallace e non aver predisposto misure di controllo efficaci (quali soppressioni di domini o filtri robusti) ha dimostrato la totale assenza di misure tecniche e organizzative adeguate fin dalla progettazione del software. (addio privacy by design)

Hanno fatto anche cose buone? No, non capita mai.

Lusha ha sostenuto di aver adempiuto agli obblighi informativi pubblicando sul proprio sito una "Privacy Notice" generale e inviando direttamente ai "Contatti" censiti una "Personal Information Notice" per renderli edotti del trattamento e consentire loro l'esercizio del diritto di opposizione (opt-out). Ma il Garante ha accertato che, di fatto, gli interessati rimanevano completamente all'oscuro del trattamento finché non ricevevano spam da aziende terze che avevano acquistato le liste da Lusha.

La "Privacy Notice" sul sito web era fatiscente, non inidonea a informare soggetti che ignoravano persino l'esistenza di Lusha.
La "Personal Information Notice" veniva inviata alla cieca ad indirizzi e-mail aziendali desunti tramite algoritmi o non monitorati regolarmente; secondo le più elementari regole di cybersecurity, l'utente medio tende a ignorare o eliminare e-mail provenienti da mittenti sconosciuti contenenti link esterni, considerandole tentativi di phishing, vanificando la reale trasparenza.
Inoltre, le informative non specificavano alcun termine di conservazione certo, dichiarando genericamente che Lusha avrebbe trattato i dati "finché necessario" o fino all'opposizione dell'utente, accentuando lo squilibrio nel rapporto tra Lusha e ogni interessato.

La panzana più grossa di tutte.

Lusha ha sostenuto di acquisire dati da ogni dove per un fine meritorio: per aggiornare. i dati... proprio come chiede il gdpr.

Questa se la potevano bere soltanto i francesi del CNIL, effettivamente.

In concreto, Lusha ha creato schede personali univoche costantemente aggiornate e arricchite su base settimanale. Questa attività di "tracciamento a ritroso e continuativo" della posizione, del ruolo, del luogo di lavoro e dei cambi di impiego nel tempo si traduce in un vero e proprio monitoraggio sistematico della posizione lavorativa delle persone fisiche sul web, finalizzato a prendere decisioni che le riguardano (come la messa a disposizione o l'esclusione dei dati dal database).

Diciamo che c'è un limite al concetto di "narrazione", a volte una stronzata è solo una stronzata.

La sanzione più pesante

No, non sono i 2.000.000 di talleri, quelli sono il fatturato di alcune settimane di attività e, oltrre a questo, non verranno mai pagati.

La vera sanzione, che mi piacerebbe veramente vedere applicata, è l'uscita dal mercato italiano ("impone il divieto di ogni ulteriore trattamento dei dati degli interessati che si trovano nel territorio italiano acquisiti in assenza di adeguata base giuridica") e soprattutto la cancellazione del database ("impone la cancellazione dei dati degli interessati che si trovano nel territorio italiano acquisiti in assenza di adeguata base giuridica").

Questo farà male e applicare le due misure accessorie costerà ben più della sanzione pecuniaria.

Ciò che manca

Altre autorità Garanti, in altri contesti, in passato, hanno ordinato azioni di rimedio, chiedendo ai trasgressori di contattare ogni singolo interessato, spiegare l'accaduto, chiedere scusa, dare una completa informativa. In altri casi è stato chiesto di acquisire e documentare un valido consenso... operazioni costosissime a posteriori. In altri casi sono state imposte campagne informative collettive, utilizzando mezzi di informazione di ampia diffusione, tv, giornali, cartelloni pubblicitari. In questo caso no, nulla di tutto questo, ma, del resto, lo sappiamo, al Garante la gente interessa fino ad un certo punto.

Roba da DPO...

Su questo blog ci sono altri 205 articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!