Lusha è un data broker: un'azienda che raccoglie dati personali (nomi, email, numeri di telefono, ruoli aziendali) da varie fonti e li rivende ad altre aziende per scopi commerciali, tipicamente vendite e marketing. Il problema è la base legale: il GDPR (il regolamento europeo sulla protezione dei dati personali) impone che ogni trattamento di dati — raccolta, uso, vendita — abbia un fondamento giuridico valido, di solito il consenso esplicito della persona interessata o un legittimo interesse ben documentato e bilanciato con i suoi diritti.
Il Garante ha stabilito che Lusha vendeva questi contatti senza una base del genere, da cui la sanzione da 2 milioni di euro. Non è un caso isolato: i data broker sono da anni nel mirino delle autorità europee proprio perché il loro modello di business si regge su dati raccolti "a strascico", spesso senza che l'utente ne sia mai stato informato.