TikTok on hävinnyt valituksensa 12,7 miljoonan punnan sakosta, jonka Yhdistyneen kuningaskunnan tietosuojaviranomainen määräsi. Tapaus koski sitä, miten alusta käsitteli yli 1,4 miljoonan alle 13-vuotiaan lapsen henkilötietoja. Päätös vahvistaa alkuperäisen löydöksen: TikTok käsitteli laittomasti sellaisten käyttäjien tietoja, joiden ei olisi pitänyt olla alustalla lainkaan sen omien ikärajavaatimusten perusteella.
Tämä TikTokin lasten tietosuojaa koskeva sakkotapaus muistuttaa, että viranomaiset ovat yhä valmiimpia pitämään suuret alustat tilivelvollisina siitä, miten ne kohtelevat nuoria käyttäjiä, ja että valitukset eivät automaattisesti kumoa näitä havaintoja. Vanhemmille se on myös kehotus tarkastella lähemmin, mitä todella tapahtuu niiden rekisteröitymisruutujen takana, joita heidän lapsensa käyttävät päivittäin.
Mitä 12,7 miljoonan punnan päätöksessä todettiin TikTokin tehneen väärin
Tapauksen ytimessä oli yksinkertainen mutta vakava ongelma: TikTokin omissa käyttöehdoissa todetaan, että käyttäjien on oltava vähintään 13-vuotiaita luodakseen tilin, mutta alusta kuitenkin käsitteli yli miljoonan tätä nuoremman lapsen tietoja. Yhdistyneen kuningaskunnan tietosuojaviranomainen katsoi, ettei TikTok tehnyt tarpeeksi tunnistaakseen ja poistaakseen näitä alaikäisten tilejä. Tämä tarkoitti, että lasten henkilötietoja – mahdollisesti myös suositusalgoritmien tehostamiseen käytettyjä käyttäytymistietoja – kerättiin ja käytettiin ilman tietosuojalainsäädännön edellyttämää laillista perustetta.
TikTok riitautti alkuperäisen seuraamusmaksun valituksella ja kiisti viranomaisen havainnot. Valitus on nyt hylätty, mikä tarkoittaa, että 12,7 miljoonan punnan sakko pysyy voimassa. TikTokin kokoiselle yritykselle taloudellinen seuraamus on huomattava, mutta suurempi viesti on, että taustalla oleva täytäntöönpanotoimi ja sen perustelut on testattu oikeudellisessa haasteessa ja pidetty voimassa.
Miten alle 13-vuotiaiden tietoja kerättiin ilman suostumusta
Keskeinen ongelma ei ole se, että TikTok olisi tarkoituksellisesti kohdistanut toimintaansa pieniin lapsiin, vaan se, että alaikäisten käyttäjien tunnistamiseen ja poistamiseen tarkoitetut järjestelmät eivät toimineet riittävän hyvin. Kun lapsen tili oli olemassa, alustan tavanomaiset tiedonkeruukäytännöt käynnistyivät samalla tavalla kuin aikuisilla. Tämä tarkoittaa, että lapsikäyttäjästä voitiin kerätä sijaintitietoja, katselutottumuksia, sitoutumismalleja ja muita tietopisteitä aivan yhtä helposti kuin kenestä tahansa muustakin ilman, että vanhempi tai huoltaja oli koskaan antanut tietoon perustuvaa suostumusta.
Tämä on tuttu epäonnistumisen kohta koko teknologia-alalla: suostumusmekanismit rakennetaan usein mittakaavaa ja yksinkertaisuutta varten aidon läpinäkyvyyden sijaan. Sama dynamiikka näkyy näennäisesti täysin erilaisissa verkon osissa. Äskettäinen GDPR-valitus dict.cc:n valtavasta suostumusbannerista, joka ilmoituksen mukaan yhdistää kävijät yli 1 700 mainoskumppaniin yhdellä napsautuksella, havainnollistaa, miten suostumusrajapinnat voivat olla teknisesti olemassa, vaikka ne antavat hyvin vähän tietoa siitä, mitä käyttäjän tiedoilla todellisuudessa tapahtuu. Iän todentaminen lisää vielä kokonaan uuden vaikeuskerroksen, sillä lapsi voi yksinkertaisesti syöttää väärän syntymäpäivän, ja alustan on päätettävä, kuinka paljon vaivaa sen kiinni saamiseksi nähdään.
Mitä tämä tarkoittaa sinulle: vanhemmat, jotka hallitsevat lasten sovellustietosuojaa
Käytännön opetus tästä tapauksesta on, ettei alustojen oletusasetuksiin voi luottaa lasten tietojen suojaamisessa, vaikka yrityksen ehdot teknisesti kieltäisivätkin alaikäisten käytön. Jos määrätietoinen viranomainen voi todeta, että yli 1,4 miljoonaa lasta pääsi TikTokin ikätarkastusten läpi, on turvallista olettaa, että vastaavia aukkoja on muuallakin.
Vanhempien ei tarvitse ryhtyä tietosuoja-asiantuntijoiksi tukkiakseen monia näistä aukoista. Muutama konkreettinen toimi vie pitkälle: tarkista todellinen syntymäaika, joka on syötetty tiliä luotaessa; käy läpi sovelluksen tietosuoja- ja mainosten personointiasetukset sen sijaan, että hyväksyt oletuksena valitut vaihtoehdot; ja katso ajoittain, mitä käyttöoikeuksia sovellukselle on myönnetty itse laitteessa, kuten sijainti, yhteystiedot tai mikrofonin käyttöoikeus. Monet alustat tarjoavat myös perheiden yhdistämiseen tai valvottuihin tileihin liittyviä ominaisuuksia, jotka rajoittavat tiedonkeruuta ja sisällölle altistumista nuoremmilla käyttäjillä, mutta nämä on yleensä otettava käyttöön manuaalisesti.
Laajempi nuorten tietokäytäntöjen tiukentaminen
Tämä päätös ei ole yksittäinen tapaus. Eri maiden viranomaiset ovat kiinnittäneet yhä enemmän huomiota siihen, miten alustat kohtelevat nuoria käyttäjiä, ja pitävät lasten tietoja alana, joka ansaitsee tiukempaa valvontaa kuin yleinen aikuisten tietojenkäsittely. Se, että TikTokin valitus hylättiin eikä sakkoa lievennetty tai havaintoja kumottu, viittaa siihen, että viranomaiset ovat valmiita puolustamaan täytäntöönpanopäätöksiään oikeudessa ja luottavat niiden taustalla olevaan näyttöön.
Datavetoisesta sitoutumisesta riippuvaiselle alalle tämä on merkittävä signaali. Iän todentamista ja suostumusprosesseja, joita aiemmin kohdeltiin rutiininomaisina toimenpiteinä, tarkastellaan yhä useammin aineellisina lakisääteisinä velvoitteina, ja virheiden seuraukset mitataan miljoonissa.
Tärkeimmät opit lukijoille
TikTokin lasten tietosuojaa koskevan sakon pysyminen voimassa valituksesta huolimatta on hyödyllinen tarkistuspiste jokaiselle vanhemmalle, jonka lapsi käyttää sosiaalista mediaa. Älä oleta, että sovelluksen ikäraja suojaa lapsesi tietoja automaattisesti: tarkista tilin tiedot itse, ota käyttöön kaikki saatavilla olevat vanhempien valvontatyökalut ja tarkista sovelluksen käyttöoikeudet säännöllisesti sen sijaan, että luotat oletusasetuksiin. Jos haluat käsityksen siitä, miten epäselvältä suostumusprosessit voivat näyttää käytännössä, kannattaa lukea, miten yksi ainoa suostumusbanneri voi ohjata käyttäjän tietoja hiljaisesti yli tuhannelle kumppanille. Kahdenkymmenen minuutin käyttäminen lapsesi sovellusasetusten tarkastamiseen tänään on paljon parempaa ajankäyttöä kuin odottaa seuraavaa viranomaispäätöstä selittämään, mikä meni pieleen.
