_edited.png)
TikTok, de populaire sociale media-app, staat niet alleen bekend om zijn virale dansvideo's, maar ook om zijn controverses. Een recente boete van maar liefst 345 miljoen euro, opgelegd door de Ierse Data Protection Commission (DPC), heeft de schijnwerpers gericht op TikToks omgang met de persoonlijke gegevens van voornamelijk jonge gebruikers.
De problemen begonnen in 2020 toen de Nederlandse Autoriteit Persoonsgegevens (AP) en de Franse privacytoezichthouder, de CNIL, een onderzoek startten naar TikTok. De aanleiding was het vermoeden dat TikTok de privacy van kinderen schond, zoals eerder besproken in onze eerdere publicatie. Destijds had TikTok nog geen vestiging in de Europese Unie. Toen het bedrijf zich uiteindelijk in Ierland vestigde, kwam de verantwoordelijkheid bij de Ierse DPC te liggen, met input van AP en CNIL. Het DPC-onderzoek bestreek de periode van 31 juli 2020 tot 31 december 2020 en onthulde tal van overtredingen, wat leidde tot de indrukwekkende boete.
De kern van de zaak draait om het feit dat TikTok standaard en automatisch profielen van kinderen, inclusief de door hen geplaatste video's, op 'openbaar' zette. Dit betekende dat TikTok-video's wereldwijd toegankelijk waren via de TikTok-website, zelfs voor mensen die de app niet gebruikten, zonder behoorlijke informatie voor de kinderen. Dit leidde tot schendingen van verschillende verplichtingen onder de Algemene Verordening Gegevensbescherming (AVG), waaronder transparantie, verantwoordingsplicht, privacy by design en privacy by default, evenals het dataminimalisatiebeginsel.
Deze schendingen vormden een ernstige inbreuk op de rechten en vrijheden van kinderen, vooral die jonger dan 13 jaar, waarvan is vastgesteld dat ze talrijk aanwezig zijn op TikTok. Bovendien gebruikte TikTok "donkere patronen" om kinderen te beïnvloeden om te kiezen voor privacy-onvriendelijke instellingen, wat in strijd was met de beginselen van behoorlijkheid volgens de AVG. De 'family pairing'-functie van TikTok bleek ook niet waterdicht te zijn, omdat volwassenen anders dan ouders of verzorgers konden worden gekoppeld aan TikTok-accounts van kinderen ouder dan 16 jaar, wat ernstige risico's met zich meebracht.
Het boetebesluit ging niet ongemerkt voorbij, zoals vaak het geval is bij DPC-besluiten. Het conceptbesluit werd gedeeld met andere Europese privacytoezichthouders, wat resulteerde in een artikel 65 AVG-procedure bij de European Data Protection Board. Dit leidde tot toevoeging van de overtreding met betrekking tot het gebruik van 'donkere patronen'. Naast de boete werd TikTok ook berispt en kreeg het de opdracht om binnen drie maanden de geconstateerde overtredingen te beëindigen.
TikTok beweert dat het inmiddels veel zaken heeft aangepakt, maar er hangt nog steeds een zwaard van Damocles boven het bedrijf. Er loopt een tweede onderzoek van de DPC naar de doorgifte van persoonsgegevens naar China, en in Nederland wordt reikhalzend uitgekeken naar het (voorlopige) vonnis in de massaclaimprocedure die diverse stichtingen hebben aangespannen tegen TikTok wegens privacyschendingen.
Dit besluit benadrukt opnieuw het belang van het correct omgaan met persoonsgegevens, vooral wanneer jonge gebruikers betrokken zijn. Het legt de verantwoordelijkheid voor het waarborgen van privacyverplichtingen bij socialemediaplatforms. De uitkomst van deze zaak zal nauwlettend worden gevolgd door zowel privacyvoorstanders als de techindustrie en kan invloed hebben op toekomstige privacyhandhaving en regelgeving.
Voor juridisch advies en meer informatie over privacy en gegevensbescherming kunt u contact met ons opnemen.
Comments