{"id":37378,"date":"2025-05-02T14:05:29","date_gmt":"2025-05-02T14:05:29","guid":{"rendered":"https:\/\/2b-advice.com\/?p=37378"},"modified":"2025-05-02T14:33:41","modified_gmt":"2025-05-02T14:33:41","slug":"tiktok-multata-per-530-milioni-di-euro-per-la-fuga-di-dati-verso-la-cina","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/it\/2025\/05\/02\/tiktok-muss-530-millionen-euro-bussgeld-zahlen-wegen-datenuebermittlungen-nach-china\/","title":{"rendered":"TikTok deve pagare una multa di 530 milioni di euro - per il trasferimento di dati in Cina"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La Commissione irlandese per la protezione dei dati (DPC) ha imposto una multa di 530 milioni di euro alla piattaforma video TikTok per violazione della protezione dei dati. TikTok ha trasmesso i dati degli utenti europei alla Cina e ha violato i requisiti di trasparenza, ha spiegato la DPC in una dichiarazione del 2 maggio.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Contesto del procedimento contro TikTok<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Nel suo ruolo di autorit\u00e0 di controllo principale per TikTok, il DPC ha agito secondo la procedura dello sportello unico ai sensi dell'art. 56 del GDPR. L'oggetto dell'indagine era, da un lato, la legalit\u00e0 dei trasferimenti di dati verso Paesi terzi ai sensi del capitolo V del GDPR, in particolare verso Paesi privi di una decisione di adeguatezza da parte della Commissione UE.<\/p>

In secondo luogo, l'autorit\u00e0 ha esaminato se TikTok avesse correttamente adempiuto all'obbligo di trasparenza ai sensi dell'art. 13 par. 1 lett. f GDPR.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Trasferimenti illegali di dati verso la Cina<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Secondo le conclusioni del DPC, TikTok ha violato in particolare l'articolo 46 (1) del GDPR. L'azienda non \u00e8 stata in grado di garantire in modo sufficiente che i dati personali degli utenti del SEE godessero di un livello di protezione \"sostanzialmente equivalente\" a quello del GDPR quando vi accedono i dipendenti cinesi.<\/p>

Particolarmente critica: la valutazione della legge cinese da parte di TikTok ha gi\u00e0 rivelato deviazioni significative dagli standard europei di protezione dei dati, ad esempio attraverso la legge cinese antiterrorismo, la legge contro lo spionaggio e la legge sull'intelligence nazionale.<\/p>

Sebbene TikTok abbia utilizzato le cosiddette Clausole contrattuali standard (SCC), il DPC ha anche riscontrato l'assenza di garanzie aggiuntive efficaci per prevenire o controllare l'accesso ai dati da parte delle autorit\u00e0 statali cinesi. Le misure tecniche, organizzative e legali aggiuntive richieste dalla sentenza \"Schrems II\" della Corte di giustizia europea non erano state sufficientemente documentate o attuate. Ci\u00f2 riguardava, tra l'altro, la crittografia dei dati sensibili durante l'accesso remoto e la mancanza di protocolli di accesso trasparenti.<\/p>

Questa carenza ha portato a un reclamo sull'intera prassi di trasmissione di TikTok. Il DPC ha sottolineato che la valutazione di TikTok della stessa legge cinese non consentiva una \"equivalenza essenziale\" con il GDPR e quindi mancava la base per la selezione e l'efficacia delle misure di sicurezza.<\/p>

Nel corso del procedimento, TikTok ha fatto riferimento al programma infrastrutturale in corso \"Project Clover\", che prevede l'archiviazione locale dei dati all'interno dell'UE (in particolare in Irlanda e Norvegia) e meccanismi di controllo indipendenti. Il DPC ha riconosciuto questo progetto come un passo positivo. Tuttavia, ha subordinato il proseguimento dei trasferimenti di dati verso la Cina alla piena attuazione di meccanismi di protezione conformi al GDPR.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Mancanza di trasparenza nei confronti degli utenti<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un elemento centrale della decisione del DPC riguarda la mancata fornitura da parte di TikTok agli utenti dello Spazio economico europeo di informazioni chiare e complete sul trattamento transfrontaliero dei loro dati personali. Ai sensi dell'articolo 13, paragrafo 1, lettera f del GDPR, le aziende sono tenute a informare in modo trasparente gli interessati su se e verso quali Paesi terzi i loro dati saranno trasferiti e sulle modalit\u00e0 di tale trasferimento.<\/p>

La politica di protezione dei dati di TikTok dell'ottobre 2021 non soddisfaceva questi requisiti sotto alcuni aspetti fondamentali: gli specifici Paesi terzi coinvolti - in particolare la Cina - non erano esplicitamente nominati, n\u00e9 venivano rese note le circostanze esatte dei trasferimenti di dati. In particolare, non era chiaro se i trasferimenti riguardassero anche l'accesso remoto ai dati da parte di dipendenti cinesi che accedevano a server a Singapore e negli Stati Uniti. Questa mancanza di trasparenza ha impedito agli utenti di esercitare i loro diritti di protezione dei dati con piena cognizione di causa.<\/p>

Nel corso del procedimento, TikTok ha rivisto la propria informativa sulla privacy e ha presentato al DPC una nuova versione datata dicembre 2022. Secondo l'autorit\u00e0, questa nuova versione soddisfaceva i requisiti dell'art. 13 par. 1 lett. f GDPR, in quanto non solo citava i paesi terzi per nome, ma spiegava anche il tipo di accesso e le sedi dei server in modo pi\u00f9 dettagliato. La violazione riscontrata dal DPC riguarda quindi il periodo compreso tra il 29 luglio 2020 e il 1\u00b0 dicembre 2022, durante il quale TikTok non ha rispettato a sufficienza i suoi obblighi di trasparenza.<\/p>

Suggerimento di lettura: Violazioni DMA - L'UE impone multe per 700 milioni di euro ad Apple e Meta<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Informazioni errate durante la procedura<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Un aspetto particolarmente grave della decisione riguarda l'inadeguata politica di informazione di TikTok nei confronti del DPC durante il procedimento in corso. Durante l'indagine, TikTok aveva ripetutamente assicurato al DPC che nessun dato personale di utenti del SEE sarebbe stato conservato su server in Cina. Queste assicurazioni hanno costituito una base essenziale per la valutazione dei flussi di dati da parte del DPC.<\/p>

Tuttavia, nell'aprile 2025, TikTok ha informato il DPC di aver scoperto gi\u00e0 nel febbraio 2025 che una quantit\u00e0 limitata di dati degli utenti del SEE era stata memorizzata su server in Cina, contrariamente alle precedenti assicurazioni. TikTok ha spiegato che ci\u00f2 era dovuto a un errore interno e a un malinteso nella classificazione interna dei dati. I dati interessati sono stati successivamente cancellati.<\/p>

Il DPC ha preso molto sul serio questa successiva divulgazione. La decisione sottolinea che la fornitura di informazioni errate o fuorvianti nel contesto delle procedure di vigilanza costituisce un serio ostacolo a un controllo efficace. Tali informazioni errate possono non solo minare la fiducia dell'autorit\u00e0, ma anche distorcere in modo significativo la valutazione del rischio di protezione dei dati.<\/p>

L'autorit\u00e0 ha quindi annunciato una procedura separata per esaminare se il comportamento di TikTok in merito alla notifica tardiva della conservazione dei dati giustifichi ulteriori misure di vigilanza. Qualora venisse accertato un comportamento intenzionale o gravemente negligente, ci\u00f2 potrebbe portare a ulteriori sanzioni.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Multa milionaria contro TikTok<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La DPC ha imposto una multa di 530 milioni di euro:<\/p>