Det irske datatilsyn har nu truffet sin endelige afgørelse i en sag mod TikTok. Afgørelsen kommer som følge af en bindende afgørelse fra Det Europæiske Databeskyttelsesråd (EDPB) og omhandler bl.a. TikTok’s brud på princippet om rimelighed i GDPR ved virksomhedens behandling af personoplysninger om børn i alderen 13-17 år.
I sin bindende afgørelse tog EDPB stilling til TikToks designpraksis vedrørende to konkrete pop-up notifikationer (én når man registrerede sig som bruger, og én når man postede en video), der blev vist til børn i alderen 13-17 år. EDPB fandt, at ingen af disse notifikationer præsenterede valgmuligheder til brugeren på en objektiv og neutral måde.
På den baggrund fandt EDPB, at TikTok overtrådte rimelighedsprincippet efter GDPR. EDPB instruerede herefter det irske datatilsyn i at inkludere overtrædelsen i tilsynets endelige afgørelse og udstede påbud om at bringe denne praksis i overensstemmelse med GDPR.
EDPB fandt endvidere grundlag for at udtrykke alvorlig tvivl om, hvorvidt TikToks foranstaltninger vedrørende aldersverifikation var tilstrækkeligt effektive, særligt fordi disse nemt ville kunne omgås.
Det irske datatilsyns inddrog EDPB’s konklusioner i sin endelige afgørelse og fandt desuden, at TikToks ’public by default’ indstillinger var i strid med principperne om databeskyttelse gennem design og standardindstillinger, dataminimering og gennemsigtighed. Ud over kritik og et påbud udstedte det irske datatilsyn en bøde til TikTok på 345 millioner euro, svarende til ca. 2,6 milliarder kroner.
Den irske sag blev bl.a. rejst på baggrund af en sag, som Datatilsynet havde påbegyndt, men som i 2021 blev oversendt til det irske datatilsyn, da TikTok i mellemtiden havde etableret sit europæiske hovedkontor i Irland.
Vil du vide mere?
Du kan læse den irske pressemeddelelse her.
Du kan læse EDPB’s pressemeddelelse her.
Du kan læse mere om tvistbilæggelsesproceduren i denne FAQ fra EDPB.