Brazylijski regulator wyznacza twardą granicę w kwestii danych dzieci

25 sierpnia brazylijski Krajowy Organ Ochrony Danych (ANPD) ogłosił nałożenie kary w wysokości 153,7 mln reali, czyli blisko trzydziestu milionów dolarów, na ByteDance, chińską spółkę będącą właścicielem TikToka. Kara wynika ze sposobu, w jaki platforma gromadziła i przetwarzała dane osobowe dzieci i młodzieży w Brazylii, jednym z największych rynków TikToka poza Azją.

Sprawa jest godna uwagi nie tylko ze względu na swoją skalę, ale także na to, co sygnalizuje: organy ochrony danych coraz chętniej traktują dane dzieci jako odrębną, priorytetową kategorię egzekwowania prawa, oddzieloną od ogólnych naruszeń prywatności. Dla platformy opartej na krótkich filmach wideo i algorytmicznych rekomendacjach, z których duża część trafia bezpośrednio do młodszych użytkowników, takie rozróżnienie ma realne znaczenie finansowe i operacyjne.

Dlaczego dane dzieci znajdują się w centrum tej sprawy

Większość ram ochrony danych, w tym brazylijska LGPD (Lei Geral de Proteção de Dados), traktuje osoby niepełnoletnie jako kategorię wymagającą wzmocnionych zabezpieczeń. Oznacza to zazwyczaj surowsze wymogi dotyczące zgody, bardziej restrykcyjne ustawienia domyślne w zakresie gromadzenia danych oraz jaśniejsze obowiązki weryfikacji wieku dla każdej platformy, do której dzieci mogą mieć dostęp.

Działanie ANPD przeciwko ByteDance sugeruje, że regulator dostrzegł luki między tymi oczekiwaniami prawnymi a rzeczywistymi praktykami TikToka w Brazylii. Gdy baza użytkowników platformy jest przesunięta w stronę młodych odbiorców, a jej podstawowy produkt zależy od gromadzenia danych behawioralnych i danych o zaangażowaniu w celu zasilania algorytmów rekomendacji, napięcie między modelem biznesowym a prawem ochrony dzieci staje się trudne do uniknięcia. Regulatorzy sygnalizują obecnie, że to napięcie nie jest akceptowalnym kosztem prowadzenia działalności, lecz naruszeniem zgodności z realnymi konsekwencjami finansowymi.

To część szerszego globalnego wzorca. Rządy w wielu regionach zaostrzają przepisy dotyczące sposobu, w jaki platformy obchodzą się z danymi osób niepełnoletnich, zmuszając firmy do wbudowania weryfikacji wieku, procesów uzyskiwania zgody rodziców i minimalizacji danych bezpośrednio w swoje produkty, zamiast traktowania ich jako kwestii drugorzędnych. Brazylijska kara wzmacnia tę presję, a czyni to wobec jednej z najbardziej kontrolowanych firm na świecie: platformy będącej własnością chińskiej spółki, która już mierzy się z intensywnymi badaniami na rynkach w Ameryce Północnej, Europie, a teraz także w Ameryce Łacińskiej.

Wzorzec kontroli chińskich firm technologicznych za granicą

Kara nałożona na ByteDance w Brazylii nie istnieje w izolacji. Chińskie firmy technologiczne działające za granicą, z TikTokiem na czele, od lat mierzą się z podejrzliwością regulacyjną związaną z obchodzeniem się z danymi, obawami o bezpieczeństwo narodowe oraz pytaniami o to, w jaki sposób informacje użytkowników mogą być dostępne lub wykorzystywane poza samą platformą. Ta kontrola wykracza daleko poza aplikacje społecznościowe. Raporty o powiązanych z chińskim państwem hakerach utrzymujących dostęp do infrastruktury USA utrzymują obawy o chiński zasięg cyfrowy na pierwszych stronach, choć kwestia ta różni się od praktyk dotyczących danych konsumenckich w firmach takich jak ByteDance.

To, co łączy te historie, to szerszy klimat nieufności wobec przepływu danych przez granice, zwłaszcza gdy w centrum tego przepływu znajduje się chińska spółka-matka. Brazylijska kara daje regulatorom w innych krajach konkretny precedens, na który mogą się powołać: duży rynek znalazł konkretne, podlegające karze uchybienia w sposobie, w jaki TikTok obchodził się z informacjami dzieci — nie hipotetyczne ryzyka, lecz rzeczywiste naruszenia wystarczająco poważne, by uzasadnić wielomilionową karę.

Dla chińskich firm ekspandujących za granicę ta sprawa funkcjonuje jako ostrzeżenie dotyczące zgodności z przepisami. Przepisy o ochronie danych znacznie różnią się między krajami, a traktowanie danych dzieci za pomocą jednej globalnej polityki „pasującej do wszystkiego" staje się coraz bardziej ryzykowne. Lokalni regulatorzy oczekują przestrzegania lokalnego prawa, niezależnie od tego, gdzie znajduje się siedziba spółki-matki.

Co to oznacza dla Ciebie

Jeśli Ty lub Twoja rodzina korzystacie z TikToka, ta kara niekoniecznie oznacza, że Twoje dane zostały osobiście niewłaściwie wykorzystane, ale potwierdza, że regulatorzy znaleźli systemowe problemy w sposobie, w jaki platforma traktowała informacje młodszych użytkowników na co najmniej jednym dużym rynku. Warto zwrócić na to uwagę, jeśli dzieci w Twoim gospodarstwie domowym korzystają z tej aplikacji.

Rodzice mogą podjąć kilka konkretnych kroków niezależnie od tego, czego dotyczy jakakolwiek pojedyncza kara. Sprawdź ustawienia prywatności konta i potwierdź, czy profil dziecka jest publiczny, czy prywatny. Sprawdź, jakie uprawnienia ma aplikacja w zakresie dostępu do kontaktów, lokalizacji i aparatu, i odbierz wszystko, co niepotrzebne. Jeśli Twoje dziecko jest poniżej podanego przez platformę minimalnego wieku, zastanów się, czy aplikacja jest w ogóle odpowiednia, ponieważ bramki wiekowe na platformach społecznościowych są często łatwe do obejścia, ale istnieją z realnych powodów prawnych.

Mówiąc szerzej, ta sprawa przypomina, że egzekwowanie ochrony danych staje się na świecie coraz bardziej aktywne, a nie mniej. Kary takie jak ta wywierają presję na firmy, by poprawiały domyślne zabezpieczenia prywatności osób niepełnoletnich, co może przynieść korzyści użytkownikom nawet w krajach, w których regulatorzy nie podjęli jeszcze bezpośrednich działań.

Najważniejsze wnioski

  • Brazylijski ANPD nałożył na ByteDance karę około 30 mln dolarów za sposób, w jaki TikTok obchodził się z danymi dzieci i młodzieży.
  • Sprawa odzwierciedla globalny trend regulacyjny polegający na traktowaniu danych dzieci jako odrębnej, wysokiej stawki kategorii zgodności z przepisami.
  • Platformy będące własnością chińskich spółek mierzą się z narastającą kontrolą związaną zarówno z praktykami dotyczącymi danych, jak i szerszymi obawami o transgraniczny dostęp do danych.
  • Rodzice powinni proaktywnie sprawdzać ustawienia prywatności, uprawnienia i odpowiedniość wiekową każdej aplikacji społecznościowej, z której korzystają ich dzieci, zamiast czekać na działania regulacyjne we własnym kraju.