Tiktok, multa da 345 milioni del Garante della privacy irlandese. Tre anni dopo

Multa da 345 milioni di euro contro TikTok per il trattamento dei dati dei minori. A sanzionare la piattaforma cinese è il Garante europeo per la privacy (Data protection commission, Dpc), che il primo settembre ha adottato il suo verdetto al termine di un’inchiesta che si è conclusa l’anno scorso. Per Tiktok è la seconda sanzione per violazione del Gdpr, il regolamento europeo per la protezione dei dati personali, nella gestione dei minori sulla piattaforma, dopo i 750mila euro comminati nel 2021 dal Garante olandese. Tema spinoso, che aveva fatto accendere i riflettori anche al Garante della privacy italiano nel 2020.

Tuttavia Dublino arriva a sentenza con un certo ritardo. TikTok è intervenuta sul tema minori proprio nel 2021, otto mesi prima che la Dpc avviasse la sua indagine. Motivo per cui un portavoce della piattaforma ha commentato: “Pur rispettando l’autorità della Dpc, non siamo d’accordo sulla decisione, in particolare sull’importo della sanzione. Le criticità sollevate dall’autorità irlandese si concentrano su alcune impostazioni e funzionalità presenti in app tre anni fa e che abbiamo modificato ben prima dell’avvio dell’indagine, come l’impostazione dei profili degli utenti sotto i 16 anni privati di default”.

Il caso:

1. Le indagini
2. Il collo di bottiglia

Le indagini

La sanzione delle autorità irlandesi arriva a tre anni dai fatti contestati, che si collocano nel periodo che va dal 31 luglio al 31 dicembre 2020. In quei mesi, è la conclusione del Garante di Dublino, TikTok non ha adottato adeguate protezioni per i minorenni iscritti. Come processi di verifica dell’età nel processo di iscrizione, per stabilire chi ha meno di 13 anni (e non può accedere alla piattaforma) e chi ha tra i 13 e i 17 anni (utenti minorenni). Per le autorità irlandesi mancavano anche tutele all’interno del social network, relative alle impostazioni dei profili pubblici e agli strumenti di controllo da parte dei genitori. In sostanza, TikTok avrebbe creato meccanismi di iscrizioni tali per cui anche il profilo di un bambino era aperto a tutti di default, di fatto senza protezioni da contatti indesiderati. Mentre la funzione di collegamento dell’account di un minore con quello del genitore non prevedeva verifiche dell’effettivo legame tra i due, consentendo in teoria di appaiarlo anche a un utente “maggiorenne” non verificato.

E tre anni dopo, Dublino ha emesso sentenza: TikTok deve pagare 345 milioni di euro. Tuttavia l’ennesimo intervento in ritardo delle autorità irlandesi, responsabili di molti dossier a tema privacy perché gran parte dei colossi tech ha aperto filiali europee nell’isola (ultima in ordine di tempo, OpenAI, la startup di ChatGPT), mette in evidenza i problemi che affliggono la legislazione a tema privacy. Uno di questi è il collo di bottiglia di Dublino. Stando ai suoi bilanci, dall’entrata in vigore del Gdpr il 25 maggio 2018, la Dpc ha ricevuto 19.581 segnalazioni. Ma, osservano dall’associazione per la tutela dei diritti digitali Noyb, ha prodotto solo 37 decisioni formali, otto delle quali originate da un ricorso. Il che vuol dire che appena lo 0,04% degli esposti è arrivato a sanzione. Secondo la Dpc, è il risultato di un approccio “amichevole”.

Il collo di bottiglia

E poi i tempi. I fatti contestati risalgono al 2020. Nel frattempo TikTok ha preso alcuni provvedimenti. In Italia, per esempio, a febbraio 2021, dopo che il Garante della privacy aveva contestato mancanze sul fronte della tutela dei minori, la piattaforma cinese ha bloccato tutti gli utenti under 13. Mentre a gennaio dello stesso anno aveva annunciato lo stop ai profili pubblici per i minori, rendendo sia i nuovi sia gli esistenti privati di default.