L'autorità irlandese per la protezione dei dati DPC (Data Protection Commission) ha inflitto alla piattaforma video TikTok una sanzione di 530 milioni di euro per violazioni della normativa sulla protezione dei dati. TikTok avrebbe trasferito i dati degli utenti europei in Cina e avrebbe violato i requisiti di trasparenza, ha spiegato la DPC in un comunicato del 2 maggio.
Contesto del procedimento contro TikTok
La DPC ha agito nel suo ruolo di ente responsabile Autorità di vigilanza per TikTok ai sensi del Sportello unico-Procedura ai sensi dell'art. 56 GDPR. L'oggetto dell'indagine era, da un lato, la legittimità dei trasferimenti di dati verso paesi terzi in conformità al capitolo V GDPRsoprattutto nei paesi privi di Decisione di appropriatezza della Commissione europea.
In secondo luogo, l'autorità ha esaminato se TikTok abbia adempiuto all'obbligo di trasparenza ai sensi dell'articolo 13, paragrafo 1, lettera f). GDPR è stato debitamente rispettato.
Trasferimenti illegali di dati verso la Cina
Secondo le conclusioni del DPC, TikTok ha violato in particolare l'art. 46, comma 1, del Codice penale. GDPR violato. L'azienda non è riuscita a garantire in modo sufficiente che Dati personali degli utenti del SEE, quando vengono consultati da dipendenti cinesi, godono di un livello di protezione equivalente a quello del GDPR è "essenzialmente equivalente".
Particolarmente critico: la valutazione della legislazione cinese effettuata dalla stessa TikTok ha già evidenziato notevoli discrepanze rispetto agli standard europei in materia di protezione dei dati – ad esempio a causa della legge antiterrorismo cinese, della legge sul controspionaggio e della legge sui servizi di intelligence nazionali.
Anche se il cosiddetto "TikTok Clausole contrattuali standard (SCC), il DPC ha anche riscontrato l'assenza di ulteriori salvaguardie efficaci per prevenire o controllare l'accesso ai dati da parte delle agenzie governative cinesi. Le misure adottate nel contesto della sentenza della Corte di giustizia europea "Schrems II", che richiedeva ulteriori misure tecniche, organizzative e legali, non era stato sufficientemente documentato o implementato. Ciò riguardava, tra l'altro Crittografia dati sensibili durante l'accesso remoto e la mancanza di protocolli di accesso trasparenti.
Questa carenza ha portato a contestare l'intera prassi di trasmissione di TikTok. Il DPC ha sottolineato che la valutazione della legge cinese da parte di TikTok stessa non ha fornito una "equivalenza essenziale" con la legge cinese. GDPR e quindi manca la base per la selezione e l'efficacia delle misure di sicurezza.
Nel corso del procedimento, TikTok ha fatto riferimento al programma infrastrutturale in corso “Project Clover”, che prevede l’archiviazione locale dei dati all’interno dell’UE (in particolare in Irlanda e Norvegia) nonché meccanismi di controllo indipendenti. La DPC ha riconosciuto questo progetto come un passo positivo. Ha tuttavia subordinato il proseguimento dei trasferimenti di dati verso la Cina alla completa attuazione delle GDPRdipendono da meccanismi di protezione conformi a [...].
Scarsa trasparenza nei confronti degli utenti
Un elemento chiave della decisione del DPC riguarda l'incapacità di TikTok di fornire agli utenti dello Spazio economico europeo informazioni chiare e complete sulle attività transfrontaliere. Elaborazione dei loro dati personali. Ai sensi dell'art. 13 comma 1 lett. f GDPR le aziende hanno l'obbligo di informare in modo trasparente gli interessati su se e verso quali Paesi terzi i loro dati saranno trasferiti e sulle modalità di trasferimento. Trasmissione ha luogo.
La politica di protezione dei dati di TikTok dell'ottobre 2021 non soddisfaceva questi requisiti sotto alcuni aspetti fondamentali: non venivano citati esplicitamente i paesi terzi interessati, in particolare la Cina, né venivano rese note le circostanze esatte dei trasferimenti di dati. In particolare, non era chiaro se i trasferimenti riguardassero anche l'accesso remoto ai dati da parte dei dipendenti cinesi che lavoravano su Server a Singapore e negli Stati Uniti. Questa mancanza di Trasparenza ha impedito agli utenti di esercitare i loro diritti di protezione dei dati con piena cognizione di causa.
Nel corso del procedimento, TikTok ha rivisto la propria informativa sulla privacy e ha presentato al DPC una nuova versione datata dicembre 2022. Secondo l'autorità, questa nuova versione soddisfaceva i requisiti dell'articolo 13, paragrafo 1, lettera f). GDPRin quanto non solo indicava i paesi terzi per nome, ma spiegava anche in modo più dettagliato il tipo di accesso e l'ubicazione dei server. I dati identificati dal DPC Violazione relativi al periodo dal 29 luglio 2020 al 1° dicembre 2022, durante il quale TikTok non ha rispettato a sufficienza i suoi obblighi di trasparenza.
Suggerimento di lettura: Violazioni del DMA: l’UE infligge multe per 700 milioni di euro ad Apple e Meta
Informazioni errate durante il procedimento
Un aspetto particolarmente grave della decisione riguarda la carente politica informativa di TikTok nei confronti del DPC nel corso del procedimento. Nel corso dell’indagine, TikTok aveva ripetutamente assicurato che nessun dato personale degli utenti del SEE venisse archiviato su server situati in Cina. Tali assicurazioni hanno costituito una base fondamentale per la valutazione dei flussi di dati da parte del DPC.
Nell’aprile 2025, tuttavia, TikTok ha comunicato al DPC di aver constatato già nel febbraio 2025 che, contrariamente alle precedenti assicurazioni, una quantità limitata di dati degli utenti del SEE era stata archiviata su server situati in Cina. TikTok ha spiegato che ciò era dovuto a un errore interno e a un malinteso nella classificazione interna dei dati. I dati in questione sarebbero stati nel frattempo cancellati.
La DPC ha preso molto sul serio questa divulgazione a posteriori. Nella decisione si sottolinea che fornire informazioni inesatte o fuorvianti nell’ambito dei procedimenti di vigilanza costituisce un grave ostacolo a un controllo efficace. Tali informazioni errate possono non solo minare la fiducia dell’autorità, ma anche distorcere in modo significativo la valutazione dei rischi in materia di protezione dei dati.
L'autorità ha quindi annunciato l'avvio di un procedimento separato per verificare se il comportamento di TikTok in merito alla comunicazione tardiva della conservazione dei dati giustifichi ulteriori misure di vigilanza. Qualora venisse accertato un comportamento doloso o gravemente negligente, ciò potrebbe comportare ulteriori sanzioni.
Multa milionaria a TikTok
Il DPC ha imposto un Fine per un totale di 530 milioni di euro:
- 485 milioni di euro per violazione dell'art. 46 par. 1 GDPR (trasmissione illegale di dati),
- 45 milioni di euro per violazione dell'art. 13 par. 1 lett. f GDPR (mancanza di Trasparenza).
TikTok aveva inoltre l'obbligo, entro sei mesi dalla scadenza del periodo di reclamo, di interrompere tutte le operazioni di trattamento che riguardavano il GDPR armonizzati. In caso contrario, tutti i trasferimenti di dati verso la Cina potrebbero essere sospesi.
Valutazione del procedimento contro TikTok
La decisione della DPC ha un’importanza di vasta portata che va ben oltre TikTok. Essa sottolinea i rigorosi criteri applicabili ai trasferimenti internazionali di dati dall’UE – in particolare verso paesi privi di Decisione di appropriatezza. Le imprese sono tenute a effettuare valutazioni giuridiche approfondite e ad adottare misure tecniche e organizzative che garantiscano un livello equivalente di protezione dei dati.
Inoltre, viene sottolineata ancora una volta l'importanza di un'informazione trasparente agli utenti. Le linee guida per la protezione dei dati devono essere chiare, complete e comprensibili, soprattutto nel caso di attività transfrontaliere. Elaborazione.
Non da ultimo, la decisione dimostra che fornire informazioni incomplete o fuorvianti alle autorità di vigilanza può comportare conseguenze significative. La DPC sta già valutando ulteriori provvedimenti normativi nei confronti di TikTok a causa della tardiva comunicazione relativa alla conservazione dei dati del SEE in Cina.
🌍 Volete effettuare una valutazione dell’impatto del trasferimento (TIA), valutare il livello di protezione dei dati nel paese di destinazione e adottare le misure necessarie? Allora contattateci! Vi offriamo una soluzione su misura.
German 
English 
Italian 
French