TikTok har förlorat sitt överklagande av en bot på 12,7 miljoner pund från Storbritanniens dataskyddsmyndighet, vilket avslutar ett fall som kretsar kring hur plattformen hanterade personuppgifter för över 1,4 miljoner barn under 13 år. Domen fastställer den ursprungliga slutsatsen: TikTok behandlade olagligen uppgifter som tillhörde användare som aldrig borde ha varit på plattformen från första början, med tanke på dess egna minimiålderskrav.

Utfallet av detta fall med böter för barnuppgifter mot TikTok är en påminnelse om att tillsynsmyndigheter i allt högre grad är beredda att hålla stora plattformar ansvariga för hur de behandlar unga användare, och att överklaganden inte automatiskt upphäver dessa slutsatser. För föräldrar är det också en uppmaning att titta närmare på vad som faktiskt händer bakom registreringsskärmarna som deras barn använder varje dag.

Vad domen på 12,7 miljoner pund slog fast att TikTok gjorde fel

Kärnan i fallet var ett enkelt men allvarligt problem: TikToks egna villkor anger att användare måste vara minst 13 år för att skapa ett konto, men plattformen kom ändå att behandla uppgifter från långt över en miljon barn som var yngre än så. Storbritanniens dataskyddsmyndighet slog fast att TikTok inte gjorde tillräckligt för att identifiera och ta bort dessa underåriga konton, vilket innebar att barns personuppgifter, potentiellt inklusive beteendedata som används för att driva rekommendationsalgoritmer, samlades in och användes utan den rättsliga grund som krävs enligt dataskyddslagstiftningen.

TikTok ifrågasatte den ursprungliga sanktionsavgiften genom ett överklagande och argumenterade mot myndighetens slutsatser. Det överklagandet har nu misslyckats, vilket innebär att böterna på 12,7 miljoner pund står fast. För ett företag av TikToks storlek är det ekonomiska straffet anmärkningsvärt, men den större signalen är att den underliggande tillsynsåtgärden, och resonemanget bakom den, har prövats rättsligt och fastställts.

Hur data om barn under 13 år samlades in utan samtycke

Kärnproblemet är inte att TikTok medvetet försökte rikta sig mot små barn. Det är att systemen som skulle fånga upp och ta bort underåriga användare inte fungerade tillräckligt bra, och när ett barns konto väl fanns, trädde plattformens standardmetoder för datainsamling i kraft på samma sätt som för en vuxen. Det innebär att platssignaler, visningsvanor, engagemangsmönster och andra datapunkter kunde samlas in från en barnanvändare lika lätt som från vem som helst, utan att en förälder eller vårdnadshavare någonsin hade gett informerat samtycke.

Detta är ett välbekant misslyckande inom teknikbranschen: samtyckesmekanismer är ofta utformade för skala och enkelhet snarare än verklig transparens. Samma dynamik dyker upp i till synes orelaterade delar av webben. Ett nyligen inkommet GDPR-klagomål om dict.cc:s omfattande samtyckesbanner, som enligt uppgift kopplar besökare till över 1 700 reklampartners via ett enda klick, illustrerar hur samtyckesgränssnitt kan vara tekniskt närvarande samtidigt som de gör mycket lite för att informera användarna om vad som faktiskt händer med deras data. Åldersverifiering lägger till ytterligare ett svårighetslager, eftersom ett barn helt enkelt kan ange ett falskt födelsedatum och plattformen måste bestämma hur stor ansträngning den ska göra för att upptäcka det.

Vad detta betyder för dig: Föräldrar som hanterar barns integritet i appar

Den praktiska lärdomen från detta fall är att plattformarnas standardinställningar inte kan litas på för att skydda ett barns data på egen hand, även när ett företags villkor tekniskt sett förbjuder användning av underåriga. Om en beslutsam tillsynsmyndighet kan konstatera att över 1,4 miljoner barn slank igenom TikToks ålderskontroller är det säkert att anta att liknande luckor finns någon annanstans.

Föräldrar behöver inte bli integritetsexperter för att täppa till många av dessa luckor. Några konkreta åtgärder räcker långt: kontrollera det faktiska födelsedatum som angavs när kontot skapades, granska appens integritets- och annonsanpassningsinställningar istället för att acceptera det som är förvalt, och titta regelbundet på vilka behörigheter appen har beviljats på själva enheten, såsom plats, kontakter eller mikrofonåtkomst. Många plattformar erbjuder också familjekoppling eller övervakade kontofunktioner som begränsar datainsamling och exponering för innehåll för yngre användare, men dessa måste vanligtvis aktiveras manuellt.

Den bredare tillslaget mot ungdomars datahantering

Denna dom existerar inte isolerat. Tillsynsmyndigheter i flera jurisdiktioner har ägnat allt större uppmärksamhet åt hur plattformar hanterar yngre användare, och behandlar barns data som ett område som förtjänar striktare granskning än allmän vuxendatabehandling. Det faktum att TikToks överklagande misslyckades, snarare än att resultera i en reducerad sanktionsavgift eller upphävda slutsatser, tyder på att tillsynsmyndigheter är beredda att få sina verkställighetsbeslut prövade i domstol och är trygga med bevisningen bakom dem.

För en bransch byggd på datadriven interaktion är det en betydelsefull signal. Åldersverifiering och samtyckesprocesser som en gång behandlades som en checkbox-övning granskas nu alltmer som verkliga rättsliga skyldigheter, och konsekvenserna av att göra fel mäts i miljoner.

Sammanfattning för läsare

Att böterna för barnuppgifter mot TikTok fastställs efter överklagande är en användbar kontrollpunkt för alla föräldrar vars barn använder sociala medier. Anta inte att en apps minimiålderspolicy innebär att ditt barns data automatiskt är skyddad: verifiera kontouppgifterna själv, slå på alla tillgängliga föräldraövervakningsverktyg och granska regelbundet appbehörigheter istället för att förlita dig på standardinställningar. Om du vill få en uppfattning om hur grumliga samtyckesprocesser kan se ut i praktiken är det värt att läsa hur en enda samtyckesbanner i tysthet kan skicka en användares data till långt över tusen partners. Att ta tjugo minuter idag för att granska ditt barns appinställningar är en mycket bättre användning av tiden än att vänta på nästa regulatoriska beslut för att förklara vad som gick fel.