TikTok krijgt megaboete van 530 miljoen euro omdat het persoonlijke gegevens van Europeanen naar China stuurt

Volgens de Ierse dataregulator is TikTok niet transparant geweest over hoe het de persoonlijke gegevens van Europese gebruikers verwerkt. Door de gegevens van miljoenen Europese gebruikers op te sturen naar China, heeft het bedrijf de Europese datawet GDPR overtreden. TikTok kan immers niet garanderen dat de gegevens niet worden ingekeken door de Chinese overheid, klinkt het.

Het is de eerste keer dat de Ierse dataregulator DPC een duidelijk standpunt inneemt tegen het opsturen van gegevens naar China. DPC slaat een mea culpa, en zegt dat het gefaald heeft om de gevolgen van de strenge bewakingswetten in China correct in te schatten. Door deze wetten kan de Chinese overheid bedrijven eisen hun data in te kijken.

TikTok heeft altijd ontkend dat het data naar China heeft opgestuurd "omdat dat niet strookt met de standaarden binnen de Europese Unie", aldus het bedrijf. In april gaf het bedrijf wel toe dat "beperkte gebruiksdata" werd opgeslagen in China. De directeur van de Ierse gegevensbeschermingsautoriteit nam die ontdekking "erg ernstig".

Concreet moet TikTok nu een boete betalen voor 2 inbreuken op de GDPR, voor datatransfers tussen 2020 en 2022. Naast de data-opslag in China zelf, was het bedrijf er toen niet transparant over naar gebruikers toe. Het social mediaplatform had zijn privacybeleid intussen wel aangepast. Daar staat sinds 2022 in dat Chinese medewerkers toegang kunnen krijgen tot data van Europese gebruikers. 

TikTok beweert dat het de data op Chinese servers ondertussen heeft verwijderd. 

TikTok reageert aan onze redactie dat het zich niet kan vinden in het besluit. "Het heeft betrekking op de periode voor de implementatie in 2023 van Project Clover, ons initiatief voor gegevensbeveiliging ter waarde van 12 miljard euro. We kondigden onlangs een belangrijke mijlpaal aan in onze voortdurende inzet voor gegevensbeveiliging in Europa: een investering van 1 miljard euro om ons eerste datacenter in Finland op te zetten."

"De DPC zelf heeft in haar rapport genoteerd wat TikTok steeds heeft benadrukt: er is nooit een verzoek ontvangen van de Chinese autoriteiten om Europese gebruikersgegevens, en dergelijke gegevens zijn ook nooit aan hen verstrekt." TikTok wil in beroep gaan tegen de beslissing.

De boete is de op twee na hoogste ooit voor een inbreuk op de GDPR. In mei 2023 werd Meta (het moederbedrijf achter onder meer Facebook en Instagram) veroordeeld tot een boete van 1,2 miljard euro voor het onrechtmatig overdragen van persoonsgegevens van EU-gebruikers naar de VS.

In 2021 kreeg Amazon een boete van 746 miljoen euro voor het zonder toestemming verwerken van persoonsgegevens voor gerichte advertenties.

In september 2023 kreeg TikTok ook al eens een boete van 345 miljoen euro voor het onjuist omgaan met de gegevens van minderjarige gebruikers.