Con provvedimento del 14 luglio 2026 il Garante per la protezione dei dati personali ha sanzionato per due milioni di euro una società statunitense che opera come data broker, vietandole ogni ulteriore trattamento dei dati delle persone che si trovano in Italia e ordinandone la cancellazione.
La notizia è stata letta come una vicenda che riguarda i venditori di dati. Lo è, ma solo in parte. Il passaggio che dovrebbe interessare le imprese italiane sta a valle: nel fatto che quei dati qualcuno li aveva comprati, e li stava usando.
Che cosa faceva la società
Il modello è quello ormai diffuso delle piattaforme di sales intelligence: accesso a pagamento a schede di contatto arricchite — nome, ruolo aziendale, indirizzo di posta elettronica, numero di telefono — utili a chi fa attività commerciale o verifiche antifrode.
I dati venivano raccolti da fonti diverse: estrazione automatizzata dai social network e acquisto da altri intermediari. E non venivano soltanto raccolti: erano aggiornati e verificati nel tempo, per restare utilizzabili.
Il primo punto: il GDPR si applica anche a chi non è stabilito in Europa
La società non ha uno stabilimento nell’Unione. Il Garante ha comunque affermato l’applicabilità del Regolamento sulla base del criterio del monitoraggio: non conta dove si trova chi tratta i dati, conta che l’attività consista nel seguire nel tempo il comportamento di persone che si trovano nel territorio dell’Unione.
È l’aggiornamento continuo a fare la differenza. Una raccolta una tantum sarebbe stata una cosa; il tenere sotto osservazione il ruolo professionale di una persona per mantenerne aggiornata la scheda è un’altra, e integra quel monitoraggio.
Ne discende una conseguenza pratica per chi acquista: la sede estera del fornitore non lo colloca fuori dal Regolamento, e non mette al riparo nemmeno il cliente italiano.
Il secondo punto: il legittimo interesse non è una base giuridica di comodo
La società invocava il legittimo interesse. L’Autorità ha ritenuto che non fosse una base giuridica adeguata a sorreggere quel trattamento, contestando insieme la violazione dei principi di liceità, correttezza e trasparenza e di minimizzazione, oltre all’inadeguatezza dell’informativa resa agli interessati — poco chiara e di fatto inaccessibile a chi nella banca dati era finito senza saperlo.
È il punto su cui vale la pena soffermarsi, perché il legittimo interesse è la base giuridica più invocata e meno documentata che esista. Non è una formula da inserire nell’informativa: è il risultato di un bilanciamento fra l’interesse di chi tratta i dati e i diritti dell’interessato, che va condotto prima, scritto, e conservato. Quando quel bilanciamento non esiste come documento, non esiste come base giuridica.
E c’è un elemento che qui pesa in modo particolare: le persone finite in quelle schede non sapevano di esserci. Un bilanciamento che ignora le ragionevoli aspettative dell’interessato — chi carica il proprio ruolo su una rete professionale non si aspetta che diventi merce — parte da una premessa sbagliata.
Il punto che riguarda l’impresa che compra
Qui arriviamo alla questione che i reparti commerciali si pongono raramente.
Quando un’impresa acquista l’accesso a una piattaforma di contatti e la usa per la propria attività di sviluppo commerciale, non è un semplice utilizzatore di un servizio: è titolare del trattamento dei dati che utilizza. Risponde in proprio della liceità di quell’uso, e la circostanza di averli acquistati da un fornitore non trasferisce la responsabilità sul fornitore.
Le domande che ne discendono sono scomode e concrete:
- Su quale base giuridica contattiamo queste persone? Se la risposta è «li abbiamo comprati», non è una risposta.
- Da dove vengono i dati? Il fornitore è in grado di documentare l’origine e la liceità della raccolta, o si limita a garantirla in una clausola contrattuale?
- Gli interessati hanno ricevuto un’informativa? Chi utilizza dati raccolti presso terzi ha un obbligo informativo proprio, che non si esaurisce nell’informativa del fornitore.
- Che cosa succede se il fornitore riceve un divieto? Un ordine di cancellazione rivolto al broker non cancella i dati che sono già stati riversati nei sistemi dei suoi clienti. Quelli restano lì, e restano un trattamento in corso di cui risponde chi li detiene.
Quest’ultimo è il rischio meno percepito. Il provvedimento colpisce il venditore, ma i dati continuano a vivere nei CRM di chi li ha acquistati — e in quei sistemi sono il trattamento di un titolare diverso, che dovrà giustificarlo per conto proprio.
Che cosa conviene fare
Per un’impresa che utilizza fonti di contatti acquistate da terzi, l’ordine delle verifiche è questo:
- Censire le fonti. Sapere quali banche dati esterne alimentano il CRM è il presupposto di tutto il resto, e nella maggior parte delle organizzazioni non è un’informazione disponibile in forma scritta.
- Verificare i contratti con i fornitori: che ruolo si sono attribuiti, quali garanzie danno sull’origine dei dati, cosa prevedono in caso di provvedimento di un’autorità.
- Documentare il bilanciamento se si utilizza il legittimo interesse come base giuridica per l’attività di contatto commerciale. Prima, non dopo.
- Predisporre l’informativa agli interessati raggiunti per la prima volta con dati provenienti da terzi.
- Sapere come si cancella. Se domani una fonte diventasse inutilizzabile, l’impresa deve essere in grado di individuare nei propri sistemi i dati che ne provengono. Se non li ha tracciati all’ingresso, non potrà farlo.
Vale una considerazione finale. Questo provvedimento non mette fuori gioco le attività di sviluppo commerciale né l’uso di banche dati professionali: stabilisce che anche quelle attività hanno bisogno di una base giuridica documentata e di un’informativa effettiva. La differenza fra un’impresa che può dimostrarlo e una che non può non si vede finché nessuno chiede. Ma quando qualcuno chiede — un interessato, un’autorità, un cliente in fase di verifica — si vede tutta insieme.
Il presente contributo ha finalità informativa e riflette il contenuto del provvedimento richiamato alla data di pubblicazione. Nulla di quanto scritto costituisce parere legale sul caso concreto: la valutazione della liceità di un trattamento di dati acquisiti da terzi dipende dalle circostanze specifiche e dalla documentazione disponibile.
Fonti: Garante per la protezione dei dati personali, provvedimento del 14 luglio 2026 (doc. web n. 10275035) e relativo comunicato stampa del 27 luglio 2026.
