TikTok har tapt ankesaken mot et forelegg på 12,7 millioner pund fra Storbritannias datatilsyn, og avslutter dermed en sak om hvordan plattformen behandlet personopplysningene til over 1,4 millioner barn under 13 år. Dommen opprettholder det opprinnelige funnet: TikTok behandlet ulovlig data tilhørende brukere som aldri skulle ha vært på plattformen, gitt plattformens egne aldersgrenser.
Utfallet av denne saken om boten for barnedata er en påminnelse om at tilsynsmyndigheter i økende grad er villige til å holde store plattformer ansvarlige for hvordan de behandler unge brukere, og at anker ikke automatisk opphever slike funn. For foreldre er det også en oppfordring til å se nærmere på hva som faktisk skjer bak påloggingsskjermene barna bruker hver dag.
Hva dommen på 12,7 millioner pund fant at TikTok gjorde galt
Sakens kjerne var et enkelt, men alvorlig problem: TikToks egne vilkår sier at brukere må være minst 13 år for å opprette en konto, men likevel endte plattformen opp med å behandle data fra godt over en million barn som var yngre enn dette. Storbritannias datatilsyn fastslo at TikTok ikke gjorde nok for å identifisere og fjerne disse mindreårige kontoene, noe som betyr at barns personopplysninger – potensielt inkludert atferdsdata som brukes til å drive anbefalingsalgoritmer – ble samlet inn og brukt uten det lovlige grunnlaget som kreves etter personvernregelverket.
TikTok utfordret det opprinnelige vedtaket gjennom en anke og argumenterte mot tilsynets funn. Den anken har nå ikke ført fram, noe som betyr at boten på 12,7 millioner pund blir stående. For et selskap av TikToks størrelse er pengebeløpet merkbart, men det viktigere signalet er at selve håndhevingstiltaket, og begrunnelsen bak det, har blitt prøvd rettslig og opprettholdt.
Hvordan data om barn under 13 år ble samlet inn uten samtykke
Hovedproblemet er ikke at TikTok bevisst forsøkte å målrette små barn. Det er at systemene som skulle fange opp og fjerne mindreårige brukere ikke fungerte godt nok, og så snart en barnekonto eksisterte, startet plattformens standard datainnsamling på samme måte som for en voksen. Det betyr at lokaliseringssignaler, seervaner, engasjementsmønstre og andre datapunkter kunne samles inn fra en barnebruker like enkelt som fra alle andre, uten at en forelder eller verge noen gang hadde gitt et informert samtykke.
Dette er et velkjent sviktpunkt i teknologibransjen: samtykkemekanismer er ofte bygget for skala og enkelhet snarere enn genuin åpenhet. Den samme dynamikken dukker opp i tilsynelatende urelaterte hjørner av nettet. En fersk GDPR-klage på dict.ccs omfattende samtykkebanner, som angivelig kobler besøkende til over 1 700 annonsepartnere gjennom ett enkelt klikk, illustrerer hvordan samtykkegrensesnitt kan være teknisk til stede samtidig som de gjør svært lite for å informere brukerne om hva som faktisk skjer med dataene deres. Aldersverifisering tilfører enda et vanskelighetslag, siden et barn ganske enkelt kan oppgi en falsk fødselsdato, og plattformen må bestemme hvor hardt den skal jobbe for å fange opp det.
Hva dette betyr for deg: Foreldre som håndterer barns app-personvern
Den praktiske lærdommen fra denne saken er at plattformenes standardinnstillinger ikke kan stoles på for å beskytte et barns data alene, selv når et selskaps vilkår teknisk sett forbyr mindreårig bruk. Hvis et bestemt tilsyn kan konkludere med at over 1,4 millioner barn slapp gjennom TikToks alderskontroller, kan man trygt anta at lignende hull finnes andre steder.
Foreldre trenger ikke bli personverneksperter for å tette mange av disse hullene. Noen konkrete grep hjelper langt: sjekk den faktiske fødselsdatoen som ble oppgitt da kontoen ble opprettet, gjennomgå appens personvern- og annonsetilpasningsinnstillinger i stedet for å godta det som er forhåndsvalgt, og se jevnlig over hvilke tillatelser appen har fått på selve enheten, som tilgang til posisjon, kontakter eller mikrofon. Mange plattformer tilbyr også familieparings- eller overvåkede kontofunksjoner som begrenser datainnsamling og innholdseksponering for yngre brukere, men disse må vanligvis aktiveres manuelt.
Den bredere opprydningen rundt ungdommers datapraksis
Denne dommen eksisterer ikke i et vakuum. Tilsynsmyndigheter i flere jurisdiksjoner har rettet stadig større oppmerksomhet mot hvordan plattformer håndterer yngre brukere, og behandler barns data som et område som fortjener strengere kontroll enn generell databehandling av voksne. At TikToks anke mislyktes, snarere enn å resultere i redusert bot eller omgjorte funn, tyder på at tilsynene er forberedt på å få sine håndhevelsesvedtak prøvd i retten og er trygge på bevisgrunnlaget bak dem.
For en bransje bygget på datadrevet engasjement er dette et meningsfylt signal. Aldersverifisering og samtykkeprosesser som tidligere ble behandlet som en sjekklisteøvelse, blir i økende grad vurdert som reelle juridiske forpliktelser, og konsekvensene av å mislykkes måles i millioner.
Oppsummering for leserne
At boten for barnedata mot TikTok blir opprettholdt i ankesaken, er et nyttig sjekkpunkt for enhver forelder med barn som bruker sosiale medier. Ikke gå ut fra at en app-aldersgrense automatisk beskytter barnets data: verifiser kontodetaljer selv, slå på eventuelle tilgjengelige verktøy for foreldretilsyn, og gjennomgå app-tillatelser jevnlig i stedet for å stole på standardinnstillingene. Hvis du vil ha et innblikk i hvor uoversiktlige samtykkeprosesser kan være i praksis, er det verdt å lese hvordan ett enkelt samtykkebanner stille og rolig kan rute en brukers data til godt over tusen partnere. Å bruke tjue minutter i dag på å gå gjennom barnets app-innstillinger er en langt bedre tidsbruk enn å vente på den neste tilsynsavgjørelsen for å forklare hva som gikk galt.
