Brazylijski Urząd Ochrony Danych Osobowych (ANPD) nałożył karę pieniężną w wysokości około 30 mln USD na ByteDance Ltd., spółkę macierzystą TikToka, za naruszenie krajowej ogólnej ustawy o ochronie danych w związku z przetwarzaniem danych osobowych dzieci i młodzieży. Kara ta jest najnowszym sygnałem, że brazylijscy regulatorzy traktują ochronę danych młodych użytkowników jako priorytet egzekwowania przepisów, a nie jednorazowy temat na pierwsze strony gazet.

Co ustalił ANPD

Według ANPD, praktyki ByteDance dotyczące gromadzenia i przetwarzania danych osobowych nieletnich naruszyły brazylijską ogólną ustawę o ochronie danych, powszechnie określaną jako LGPD. Ustawa ta nakłada surowe zasady dotyczące sposobu, w jaki firmy mogą gromadzić, przechowywać i wykorzystywać dane osobowe, z podwyższoną ochroną dla dzieci i nastolatków, którzy są uważani za szczególnie narażonych na niewłaściwe wykorzystanie danych. Kara w wysokości około 30 mln USD odzwierciedla ustalenie ANPD, że ByteDance nie spełnił tych podwyższonych obowiązków.

Chociaż konkretne mechanizmy techniczne stojące za naruszeniem nie zostały szczegółowo opisane w publicznym oświadczeniu ANPD, kara wpisuje się w szerszy wzorzec kontroli, z jaką TikTok mierzy się w Brazylii. To nie pierwszy raz, gdy platforma została ukarana finansowo w związku z zarządzaniem danymi niepełnoletnich użytkowników. Brazylia wcześniej nałożyła na TikToka karę w wysokości 29,8 mln USD za dane nieletnich w osobnym postępowaniu egzekucyjnym, a ANPD również ukarał spółkę macierzystą TikToka, ByteDance, kwotą 29,81 mln USD za podobne naruszenia tej samej ustawy. Łącznie działania te sugerują, że regulator nie zadowala się pojedynczą karą, lecz wywiera na firmę stałą presję, aby zmieniła sposób funkcjonowania na brazylijskim rynku.

Dlaczego dane nieletnich budzą szczególną uwagę

Dzieci i nastolatki są szczególnym przedmiotem zainteresowania przepisów o ochronie danych na całym świecie, ponieważ często nie mogą w sposób świadomy wyrazić zgody na sposób gromadzenia swoich informacji, a dane zebrane w okresie dojrzewania — nawyki przeglądania, historia lokalizacji, powiązania społeczne i wzorce zachowań — mogą towarzyszyć osobie przez lata. Organy regulacyjne, takie jak ANPD, traktują platformy z dużą liczbą młodych użytkowników jako obarczone dodatkową odpowiedzialnością za weryfikację wieku, ograniczanie gromadzenia danych i zapobieganie dostępowi nieletnich tam, gdzie jest to wymagane.

To oczekiwanie wielokrotnie stawiało TikToka na celowniku ANPD. W powiązanej sprawie brazylijscy regulatorzy uznali, że platforma nie zapobiegła dostępowi niepełnoletnich użytkowników do aplikacji — ustalenie szczegółowo opisane w nowej karze dla TikToka za dane dzieci w Brazylii. Gdy platforma nie jest w stanie wiarygodnie uniemożliwić dostępu użytkownikom poniżej zadeklarowanego minimalnego wieku, wszelkie dane zebrane od tych użytkowników stają się problemem zgodności niemal z definicji, ponieważ ochrona przewidziana w ustawie dla nieletnich uruchamia się w momencie przetwarzania danych dziecka.

Wzorzec, a nie incydent odosobniony

To, co czyni najnowszą karę ANPD godną uwagi, to mniej wysokość kwoty, a bardziej jej powtarzalność. Kilka odrębnych postępowań egzekucyjnych, każde na dziesiątki milionów dolarów, wskazuje na firmę, która — zdaniem regulatorów — nie w pełni skorygowała swoje praktyki w zakresie danych mimo wcześniejszych kar. Dla globalnej platformy działającej w kilkudziesięciu jurysdykcjach powtarzające się kary od jednego regulatora mogą sygnalizować albo że działania naprawcze są wdrażane z opóźnieniem, albo że podstawowy model biznesowy — oparty na szeroko zakrojonym gromadzeniu danych i targetowaniu — jest z natury trudny do pogodzenia z rygorystycznymi przepisami o prywatności mającymi chronić nieletnich.

Podejście Brazylii odzwierciedla również szerszy globalny trend. Organy ochrony danych w wielu krajach coraz częściej traktują prywatność dzieci jako odrębną kategorię egzekwowania przepisów, oddzieloną od ogólnych zasad ochrony konsumentów, ponieważ stawka i podatność na zagrożenia są inne.

Co to oznacza dla Ciebie

Jeśli jesteś rodzicem, opiekunem lub po prostu użytkownikiem TikToka w Brazylii czy gdziekolwiek indziej, ta kara to przypomnienie, że platformy popularne wśród młodszych odbiorców pozostają pod aktywnym nadzorem regulacyjnym, a wcześniejsze kary nie zawsze gwarantują natychmiastowe zmiany w sposobie gromadzenia danych. Warto okresowo przeglądać ustawienia prywatności w każdej aplikacji używanej przez dzieci w Twoim gospodarstwie domowym, sprawdzać przyznane uprawnienia i w miarę możliwości ograniczać udostępnianie danych. Dla dorosłych zaniepokojonych własnym śladem danych na platformach wielokrotnie poddawanych kontroli pod kątem prywatności, korzystanie z VPN może pomóc ograniczyć niektóre formy śledzenia na poziomie sieci, choć nie rozwiązuje to kwestii gromadzenia danych w aplikacji, które regulują polityki samej platformy.

Mówiąc szerzej, kara ta podkreśla, że odpowiedzialność regulacyjna platform mediów społecznościowych to proces ciągły, a nie jednorazowe wydarzenie. Konsumenci powinni spodziewać się dalszych działań egzekucyjnych, gdy władze testują, czy firmy rzeczywiście zmieniają swoje praktyki, czy jedynie wchłaniają kary jako koszt prowadzenia działalności.

Kluczowe wnioski

  • Brazylijski ANPD nałożył na ByteDance karę w wysokości około 30 mln USD za niewłaściwe przetwarzanie danych dzieci i młodzieży zgodnie z krajową ogólną ustawą o ochronie danych.
  • To nie jest odosobniony przypadek: brazylijscy regulatorzy nałożyli w ostatnich postępowaniach egzekucyjnych wiele podobnych kar na ByteDance i TikToka.
  • Rodzice powinni regularnie przeglądać ustawienia prywatności i kont w przypadku wszystkich aplikacji używanych przez nieletnich w ich gospodarstwie domowym.
  • Ciągła kontrola ze strony regulatorów sugeruje, że mogą nastąpić kolejne działania egzekucyjne, jeśli praktyki w zakresie danych młodszych użytkowników nie ulegną znaczącej zmianie.