TikTok wysyłał Twoje dane do Chin. Zapłaci za to 530 mln euro

Irlandzka Komisja Ochrony Danych (DPC) nałożyła na platformę TikTok gigantyczną karę w wysokości 530 milionów euro (ponad 2,2 miliarda złotych) za nielegalne przekazywanie danych osobowych użytkowników z Europejskiego Obszaru Gospodarczego (EOG) do Chin. Regulator uznał, że praktyki te naruszają unijne przepisy o ochronie danych osobowych GDPR.

TikTok zapłaci ogromną karę

Nałożona kara administracyjna składa się z 485 milionów euro za naruszenie artykułu 46 ustęp 1 GDPR dotyczącego legalności transferu danych do Chin oraz 45 milionów euro za naruszenie artykułu 13 ustęp 1 litera f GDPR w związku z brakiem transparentności.

TikTok otrzymał również nakaz dostosowania swoich procesów przetwarzania danych do unijnych przepisów w ciągu sześciu miesięcy. DPC planuje zawiesić wszelkie transfery danych do Chin, jeśli firma nie zaktualizuje swoich polityk w wyznaczonym terminie.

Przedstawiciele DPC podkreślili, że problem wykracza poza lokalizację serwerów. Kwestia dotyczy również ryzyka, że chińskie władze mogą uzyskać dostęp do danych europejskich użytkowników na mocy krajowych przepisów dotyczących terroryzmu i szpiegostwa, które są sprzeczne z unijnymi standardami.

Transfery danych osobowych TikToka do Chin naruszyły GDPR, ponieważ TikTok nie zweryfikował, nie zagwarantował i nie wykazał, że dane osobowe użytkowników z EOG, zdalnie dostępne dla pracowników w Chinach, korzystają z poziomu ochrony zasadniczo równoważnego z tym gwarantowanym w UE.

TikTok początkowo twierdził, że nie przechowuje danych europejskich użytkowników na serwerach w Chinach. Jednak z czasem firma przyznała, że niektóre informacje rzeczywiście znajdowały się na dyskach w Państwie Środka.

Pomimo tego platforma społecznościowa zamierza odwołać się od decyzji Irlandzkiej Komisji Ochrony Danych. Ich zdaniem nie uwzględnia ona nowe inicjatywy TikToka, dotyczącej bezpieczeństwa danych.

W ramach Project Clover TikTok wdrożył zaawansowane technologie zwiększające prywatność (PET), takie jak szyfrowanie dostępu i prywatność różnicową, aby zapewnić, że nieograniczone dane są deidentyfikowane, zanim uzyskają do nich dostęp pracownicy w Chinach. Co kluczowe, niezależni eksperci ds. cyberbezpieczeństwa z NCC Group zweryfikowali, że te zabezpieczenia działają zgodnie z zamierzeniami.