Комиссия по защите данных Ирландии (DPC) оштрафовала TikTok на €530 млн за незаконную передачу персональных данных пользователей Европейского союза в Китай, что нарушает Общий регламент по защите данных ЕС (GDPR).
В частности, с TikTok взыщут €485 млн за нарушение законности передачи информации и €45 млн за отсутствие прозрачности. Регулятор обязал платформу за шесть месяцев привести обработку данных в соответствие с требованиями GDPR.
В DPC добавили, что проблема выходит за рамки местоположения серверов. Претензии также связаны с риском того, что китайские власти имеют возможность получить доступ к данным европейских пользователей в соответствии с законодательством КНР о терроризме и шпионаже. Таким образом, китайские законы противоречат стандартам ЕС.
TikTok не смог проверить, гарантировать и показать, что персональным данным пользователей Европейской экономической зоны предоставлен уровень защиты, аналогичный стандартам ЕС, подчеркнул заместитель комиссара DPC Грэм Дойл.
В рамках расследования TikTok заверил, что не хранит данные пользователей ЕЭЗ на серверах в Китае. Однако в прошлом месяце стало известно, что данные некоторых пользователей из ЕЭЗ всё же оказались на серверах в КНР.
TikTok проинформировал DPC о том, что теперь эти данные удалены, поэтому комиссия рассматривает другие регулирующие действия.
Глава офиса внешних связей TikTok в Европе Кристин Гран заявила, что компания не согласна с решением DPC, поскольку в нём не учтена новая политика платформы по безопасности данных — Project Clover. В рамках этого проекта TikTok развернул передовые технологии повышения конфиденциальности, такие как шифрование при доступе и дифференциальная приватность, добавила Гран. По её словам, независимые эксперты кибербезопасности из NCC Group подтвердили действенность этих мер. TikTok планирует обжаловать штраф.
Штраф TikTok стал третьим по величине из тех, которые накладывала DPC. Ранее регулятор оштрафовал на €746 млн Amazon за нарушения GDPR при показе поведенческой рекламы, а Meta* — на €1,2 млрд за передачу данных пользователей из ЕС в США.
В 2023 году DPC оштрафовала TikTok на €345 млн за нарушения в сфере защиты персональных данных несовершеннолетних. Учётные записи детей были открыты по умолчанию для неограниченного круга лиц, в том числе за пределами TikTok. Ирландский регулятор по защите данных наложил штраф на владельца TikTok, компанию ByteDance, за несоблюдение GDPR. Основное нарушение — недостаточное ограничение доступа китайских сотрудников к данным европейских пользователей.
Ирландская комиссия по защите данных оштрафовала компанию ByteDance, владельца TikTok, на €530 млн за нарушения GDPR — регламента ЕС о персональных данных. По данным Reuters, комиссия установила, что ByteDance не смогла доказать ограничение доступа китайских сотрудников к данным пользователей из ЕС. Европейское законодательство требует хранения данных на территории региона, и компания обязана за полгода привести обработку данных в соответствие с законами ЕС.
Представители ByteDance заявили о намерении оспорить решение, утверждая, что комиссия не учла меры безопасности, введенные в 2023 году. Компания подчеркнула, что с 2023 года внедрила дополнительные меры безопасности, включая независимый контроль доступа и хранение данных пользователей ЕС в центрах обработки данных в Европе и США. TikTok также утверждает, что никогда не передавал данные европейских пользователей китайским властям и не получал таких запросов. «Это решение может создать прецедент с далеко идущими последствиями для компаний и целых отраслей по всей Европе, которые работают в глобальном масштабе», — говорится в заявлении TikTok.
Пользовательская база TikTok в Европе составляет около 175 млн человек. Это не первый крупный штраф для ByteDance от DPC: в 2023 году компания заплатила 345 млн евро за нарушения в обработке данных несовершеннолетних.