TikTok ha perso il suo ricorso legale contro una multa di £12,7 milioni imposta dall'autorità britannica per la protezione dei dati per aver elaborato illegalmente i dati personali di oltre 1,4 milioni di bambini di età inferiore ai 13 anni.

L'Information Commissioner's Office (ICO) ha irrogato la sanzione nell'aprile 2023 dopo aver appurato che la piattaforma di condivisione di video aveva violato il GDPR del Regno Unito tra il maggio 2018 e il giugno 2020. Mercoledì l'Upper Tribunal si è pronunciato a favore dell'autorità di regolamentazione. Il periodo della violazione è antecedente all'Age Appropriate Design Code del Regno Unito, entrato in vigore nel settembre 2020, che richiede ai servizi online di impostare automaticamente le massime impostazioni sulla privacy per i bambini, ma il caso sottolinea come i regolatori stiano ora applicando aspettative che precedono quel codice sulla base delle disposizioni GDPR esistenti.

Le indagini dell'ICO hanno concluso che TikTok ha utilizzato i dati dei bambini per tracciarli e crearne profili, esponendo potenzialmente gli utenti minorenni a contenuti algoritmici dannosi o inappropriati. Secondo le regole del GDPR, le piattaforme sono tenute a ottenere il consenso dei genitori prima di elaborare i dati dei bambini sotto i 13 anni, cosa che TikTok non ha fatto.

Respinta la Difesa dei "Special Purposes" di TikTok

TikTok ha contestato la multa sostenendo di aver elaborato i dati legalmente ai sensi dell'esenzione dei "special purposes" del GDPR, che consente l'elaborazione dei dati degli under 13 quando serve a scopi giornalistici, accademici, artistici o letterari. L'azienda ha affermato che i video creati e condivisi utilizzando i suoi strumenti di editing integrati costituivano una forma di espressione artistica.

La corte ha respinto questa argomentazione, affermando che la rivendicazione di TikTok era "non sufficiente" e che la piattaforma non aveva alcun mezzo per verificare se il contenuto fosse effettivamente utilizzato per scopi artistici.

"In questo caso ci sono bambini minorenni che cercano di accedere al sito e la 'parte innocente' è un'entità commerciale che ha fatto la scelta operativa e commerciale di non richiedere la conferma dell'età dichiarata degli utenti, con la conseguenza che un gran numero di bambini minorenni ha avuto accesso alla piattaforma durante il periodo pertinente", ha affermato la corte.

Sentenza "probabilmente rilevante" per altre piattaforme

Joanna Ludlam, partner di Jenner and Block, ha detto che la sentenza "è probabile che sia rilevante per altre piattaforme che avanzano argomentazioni simili" e "arriva in un momento in cui i regolatori sono sotto reale pressione per agire rapidamente sui dati dei bambini, con il regime dell'Online Safety Act che ora affianca la legge sulla protezione dei dati".

La decisione arriva in un momento di crescente pressione normativa sulle aziende di social media in merito alla sicurezza dei minori in più giurisdizioni. Il Digital Services Act dell'UE ora richiede alle grandi piattaforme di valutare e mitigare i rischi sistemici per i minori, mentre l'Irish Data Protection Commission ha multato TikTok per €345 milioni a settembre 2023 per violazioni della privacy dei bambini ai sensi del GDPR dell'UE. Meta e YouTube hanno anch'esse affrontato controlli sulle pratiche di verifica dell'età su entrambe le sponde dell'Atlantico.

Binnie Goh, consulente generale dell'ICO, ha dichiarato che la decisione dell'Upper Tribunal "stabilisce un importante precedente per l'applicazione delle disposizioni sui scopi speciali nella legge sulla protezione dei dati".

"Restiamo impegnati a garantire che le organizzazioni, in particolare quelle che forniscono servizi online ai bambini, rispettino i loro obblighi di protezione dei dati", ha aggiunto Goh.

Un portavoce di TikTok ha affermato che l'azienda sta "valutando attentamente questa sentenza".