GPDP (Garante per la Protezione dei Dati Personali), oftewel de Italiaanse Autoriteit Persoonsgegevens heeft op 27 juli people aggregator Lusha een boete opgelegd van EUR 2 miljoen. Lusha? Lusha! Hopelijk leest de Nederlandse Autoriteit Persoonsgegevens (AP) even mee…

Voordat ik inga op de argumentatie voor deze boete, eerst een kort intermezzo:

In de GDPR Enforcement Tracker heb ik de aan Lusha opgelegde boete nog niet kunnen vinden, maar ik struikelde wel over een bijzonder interessante tidbit. Want de GPDP heeft in 2026 maar liefst 57 boetes (+ Lusha) opgelegd terwijl de AP niet verder komt dan 11 opgelegde boetes… Voor de goede orde; de AP heeft ongeveer 350 medewerkers, de GPDP komt niet verder dan ongeveer 230. De ratio tussen aantal opgelegde boetes per medewerker mag je zelf uitrekenen, maar de AP springt er niet gunstig uit…

Dan gaan we nu verder met de argumentatie van de GDPR (zij heeft gelukkig ook een Engelse versie van de uitspraak gepubliceerd):

A fine of 2 million euros has been imposed by the Italian Data Protection Authority on Lusha Systems Inc., a US-based data broker operating a platform that provides paid access to ‘enriched’ information on individuals, such as their job titles, email addresses and telephone numbers.

Lusha collects such data from multiple sources – for example, through social network scraping and purchases from other data brokers – and makes it available to the platform’s customers for commercial or anti-fraud purposes.

The information available on the platform also included details relating to senior representatives of institutions, public administration, law enforcement agencies and the judiciary.

The company processed the personal data of a large number of individuals in Italy without complying with the principles of lawfulness, fairness, transparency and data minimisation.
In particular, the information provided to data subjects was neither clear nor easily accessible.

Furthermore, with regard to the lawfulness of the processing, the Authority established that the pursuit of a legitimate interest did not provide an adequate legal basis.

The Authority stated in its decision that the GDPR also applies to the processing of personal data of individuals included in the Lusha database – a company with no establishment in the EU – as such processing qualifies as monitoring under the European Regulation. As a matter of fact, Lusha does not merely collect professional information, but also carries out updates and checks over time; since these operations involve the online monitoring of the behaviour and employment status of the data subjects, they are subject to the GDPR.

Having found that Lusha’s conduct was unlawful and that the processing operations – still ongoing – had been carried out without a valid legal basis from the outset, the Authority imposed a ban on the processing of the personal data relating to data subjects located in Italy and ordered the erasure of such data.

Nu maar afwachten of Lusha zich aan dit bevel gaat houden. En in de gaten houden welke nationale autoriteiten persoonsgegevens in de EU dit voorbeeld van Italië gaan volgen. Eén tip: de adem niet inhouden!

En dan is er nog dit: Lusha heeft waarschijnlijk minder dan 300 miljoen persoonsprofielen in haar database. Wat zou de boete zijn als Eightfold eens wordt aangepakt? Want dat zijn bijna 2 miljard persoonsprofielen. Hoeveel people aggregators er zijn? Volgens mij best veel:

8vance, Adept ID, AmazingHiring, Apollo.io, Ashby, Beamery, BeenVerified, Better Match, Braintrust, CheckPeople, Clearbit, ClearView, CocoFinder, Covey, Crosschq, Draup, Eightfold, Entelo, Fastr.ai, Fetcher.ai, Findem, Gem, GoPerfect, Hackajob, HeroHunt, Hi People, Hireflow, Hirefly, hireEZ, Humanly, Instant Checkmate, Intelius, Juicebox, Jumpers, Kula, Lightcast, Lusha, Micro1, Moonhub, MyLife, Nebula, NIXZ, Noon, Nuwber, Palantir, PeekYou, PeopleFinders, PeopleLooker, Pipl, Popp, Radaris, Retrain.ai, Rival, SeekOut, SociallyRecruited, Solostar, Sourcegeek, Sourcewhale, Spokeo, Talentblum, TalentNeuron, Talentwunder, Techwolf, Tezi, The White Pages, Tofu, TruthFinder, US Search, Verispy, Vettery, Wellfound, Whitebridge, Yasni, ZabaSearch, Zoominfo

Misschein zitten jouw persoonsgegevens wel bij alle, meer dan 70, people aggregators. Geluksvogel!