TikTok przegrał apelację od kary 12,7 mln funtów nałożonej przez brytyjski organ ochrony danych, zamykając sprawę dotyczącą tego, jak platforma przetwarzała dane osobowe ponad 1,4 miliona dzieci poniżej 13. roku życia. Orzeczenie podtrzymuje pierwotne ustalenia: TikTok bezprawnie przetwarzał dane użytkowników, którzy w ogóle nie powinni znajdować się na platformie, biorąc pod uwagę jej własne wymogi dotyczące minimalnego wieku.

Wynik tej sprawy o karę za dane dzieci na TikToku przypomina, że organy regulacyjne są coraz bardziej skłonne pociągać duże platformy do odpowiedzialności za to, jak traktują młodych użytkowników, a odwołania nie unieważniają automatycznie tych ustaleń. Dla rodziców to także impuls, by dokładniej przyjrzeć się temu, co naprawdę dzieje się za ekranami rejestracji, z których ich dzieci korzystają na co dzień.

Co według orzeczenia o karze 12,7 mln funtów TikTok zrobił źle

Sednem sprawy był prosty, ale poważny problem: regulamin TikToka stanowi, że użytkownicy muszą mieć co najmniej 13 lat, aby założyć konto, a mimo to platforma przetwarzała dane grubo ponad miliona dzieci młodszych. Brytyjski organ ochrony danych ustalił, że TikTok nie zrobił wystarczająco dużo, aby identyfikować i usuwać te niepełnoletnie konta, co oznaczało, że dane osobowe dzieci – potencjalnie w tym dane behawioralne wykorzystywane do zasilania algorytmów rekomendacji – były zbierane i wykorzystywane bez podstawy prawnej wymaganej przez przepisy o ochronie danych.

TikTok zakwestionował pierwotną karę w postępowaniu odwoławczym, podważając ustalenia organu. To odwołanie zostało oddalone, co oznacza, że kara 12,7 mln funtów pozostaje w mocy. Dla firmy o skali TikToka grzywna jest zauważalna, ale ważniejszym sygnałem jest to, że zasadność samego działania egzekucyjnego i argumenty za nim zostały poddane kontroli sądowej i podtrzymane.

Jak zbierano dane dzieci poniżej 13 lat bez zgody

Podstawowym problemem nie jest to, że TikTok celowo obierał za cel małe dzieci. Chodzi o to, że systemy mające wyłapywać i usuwać niepełnoletnich użytkowników nie działały wystarczająco dobrze, a gdy tylko konto dziecka powstało, standardowe praktyki platformy dotyczące zbierania danych uruchamiały się tak samo jak w przypadku dorosłych. Oznacza to, że sygnały lokalizacyjne, nawyki oglądania, wzorce zaangażowania i inne dane mogły być gromadzone od dziecka równie łatwo jak od każdego innego użytkownika, bez uprzedniego udzielenia świadomej zgody przez rodzica lub opiekuna.

To typowy punkt zawodny w branży technologicznej: mechanizmy zgody są często projektowane z myślą o skalowalności i prostocie, a nie o rzeczywistej przejrzystości. Ta sama dynamika pojawia się w pozornie odległych zakątkach sieci. Niedawna skarga RODO dotycząca rozległego banera zgody dict.cc, który podobno za pomocą jednego kliknięcia łączy użytkownika z ponad 1700 partnerami reklamowymi, ilustruje, jak interfejsy zgody mogą technicznie istnieć, nie informując prawie wcale użytkownika o tym, co naprawdę dzieje się z jego danymi. Weryfikacja wieku dodaje kolejną warstwę trudności, ponieważ dziecko może po prostu wpisać fałszywą datę urodzenia, a platforma musi zdecydować, ile wysiłku włożyć w jej wykrycie.

Co to oznacza dla Ciebie: rodzice zarządzający prywatnością aplikacji dzieci

Praktyczna lekcja z tej sprawy jest taka, że domyślnym ustawieniom platform nie można ufać, że same ochronią dane dziecka, nawet jeśli regulamin firmy teoretycznie zabrania korzystania z niej niepełnoletnim. Jeśli zdeterminowany organ regulacyjny stwierdza, że ponad 1,4 miliona dzieci prześlizgnęło się przez kontrolę wieku TikToka, można bezpiecznie założyć, że podobne luki istnieją gdzie indziej.

Rodzice nie muszą zostać ekspertami od prywatności, by zlikwidować wiele z tych luk. Kilka konkretnych kroków robi dużą różnicę: sprawdź, jaka data urodzenia została wpisana przy tworzeniu konta, przejrzyj ustawienia prywatności i personalizacji reklam w aplikacji, zamiast akceptować domyślne opcje, i okresowo sprawdzaj, jakie uprawnienia aplikacja otrzymała na samym urządzeniu – np. dostęp do lokalizacji, kontaktów czy mikrofonu. Wiele platform oferuje też funkcje parowania rodzinnego lub kont nadzorowanych, które ograniczają zbieranie danych i narażenie na treści dla młodszych użytkowników, ale zazwyczaj trzeba je włączyć ręcznie.

Szersze działania przeciwko praktykom wobec danych młodzieży

To orzeczenie nie pojawia się w próżni. Organy regulacyjne w wielu jurysdykcjach zwracają baczniejszą uwagę na to, jak platformy traktują młodszych użytkowników, uznając, że dane dzieci zasługują na ostrzejszą kontrolę niż ogólne przetwarzanie danych dorosłych. Fakt, że odwołanie TikToka upadło, zamiast skończyć się obniżoną karą lub uchyleniem ustaleń, sugeruje, że organy są gotowe bronić swoich decyzji egzekucyjnych w sądzie i mają zaufanie do dowodów, na których się opierają.

Dla branży zbudowanej na zaangażowaniu napędzanym danymi to istotny sygnał. Procesy weryfikacji wieku i uzyskiwania zgody, które kiedyś traktowano jak odhaczanie obowiązku, są coraz częściej badane jako rzeczywiste zobowiązania prawne, a konsekwencje błędów liczone są w milionach.

Wnioski dla czytelników

Podtrzymanie kary za dane dzieci TikToka w postępowaniu odwoławczym to użyteczny punkt odniesienia dla każdego rodzica, którego dziecko korzysta z mediów społecznościowych. Nie zakładaj, że polityka minimalnego wieku aplikacji automatycznie chroni dane Twojego dziecka: samodzielnie zweryfikuj dane konta, włącz wszystkie dostępne narzędzia nadzoru rodzicielskiego i okresowo przeglądaj uprawnienia aplikacji, zamiast polegać na ustawieniach domyślnych. Jeśli chcesz zobaczyć, jak nieprzejrzyste mogą być procesy wyrażania zgody w praktyce, warto przeczytać, jak pojedynczy baner zgody może po cichu przekierować dane użytkownika do grubo ponad tysiąca partnerów. Poświęcenie dwudziestu minut na audyt ustawień aplikacji dziecka dzisiaj jest znacznie lepszym wykorzystaniem czasu niż czekanie na kolejne orzeczenie regulacyjne, które wyjaśni, co poszło nie tak.