Garante vs Lusha : 2 M€ pour courtage de données sans base légale

Le Garante italien a sanctionné Lusha Systems Inc. à hauteur de 2 000 000 €, pointant la collecte et la revente de « données enrichies » (fonction, e-mails, numéros) de personnes physiques sans base légale et sans information transparente. La décision ordonne l’arrêt des traitements illicites et la suppression des données concernées (décision du 14/07/2026, annonce le 27/07/2026).

Les faits

Selon l’autorité, Lusha agrége et commercialise des données de contacts de résidents européens, accessibles à des clients pour de la prospection commerciale. L’applicabilité extraterritoriale du RGPD est retenue du fait du suivi de personnes situées dans l’UE. Publication officielle et reprises médiatiques confirment la date et le montant de la sanction.

Références officielles : décision du Garante et communiqué, ainsi que la dépêche ANSA.

Cadre légal et fondement

• Champ d’application territorial (art. 3(2) RGPD) : applicabilité extraterritoriale retenue au titre du monitoring de personnes en UE. Voir notre page de référence sur le RGPD.
• Licéité du traitement (art. 6 RGPD) : absence de base valide (intérêt légitime non démontré) pour l’aspiration, l’enrichissement et la revente en masse de données de contacts.
• Transparence et information (arts. 12, 13, 14) : notices jugées déficientes, manque d’information claire, intelligible et complète.
• Pouvoirs correctifs et amendes (arts. 58(2) et 83) : injonction d’arrêt, d’effacement et sanction de 2 000 000 €.

Intérêt jurisprudentiel : rappel de la valeur des lignes directrices EDPB comme soft law reconnue par la CJUE (C‑911/19) et du principe « nul n’est censé ignorer la loi » appliqué aux responsables de traitement.

Ce que cette affaire change pour les entreprises luxembourgeoises

• Exposition directe si vous utilisez des services de data enrichment/contacts B2B (prospection, CRM, ABM). Même si le fournisseur est hors UE, votre intérêt légitime (art. 6(1)(f)) doit être mis en balance avec les droits des personnes. La conformité RGPD au Luxembourg peut suivre une analyse similaire pour des résidents luxembourgeois.
• Mesures correctives concrètes : interdiction d’usage de certaines bases et obligation d’effacement pouvant rendre des pipelines marketing inutilisables.
• Charge probatoire : démontrer information effective (arts. 13–14), respect des droits (accès, opposition), source licite et LIA robuste couvrant collecte indirecte, enrichissement et revente éventuelle.

Actions concrètes à entreprendre cette semaine

• Cartographier et geler les flux d’enrichissement : inventorier fournisseurs/plug-ins Sales/Marketing/Recruiting ; suspendre l’ingestion automatique tant que la LIA et l’information art. 14 ne sont pas validées.
• Vérifier la base légale et l’information : mettre à jour les notices (B2B inclus) pour la collecte indirecte et l’enrichissement ; mettre en place un canal d’opposition marketing et un mécanisme d’accès/effacement couvrant aussi les données de tiers.
• Exiger des garanties fournisseurs : clauses sur provenance licite, journalisation des sources, effacement en chaîne et auditabilité ; privilégier des prestataires établis en UE ou activer un proxy de minimisation côté client.
• Pilotage RGPD : si besoin, confiez la mise en conformité et la gouvernance à un mandat de DPO certifié pour sécuriser vos traitements et registres.

Pour les directions au Luxembourg (et frontaliers), le message est clair : l’achat ou l’usage de listes enrichies est sous forte pression réglementaire et impose une due diligence renforcée avant activation des campagnes. Besoin d’un échange rapide ? Contactez-nous via la page contact.

Article generé par la veille réglementaire Luxgap. Pour un accompagnement personnalisé sur ce sujet, contactez-nous.