TikTok a été condamné à une amende de 12,7 millions de livres sterling (~ 15,7 millions de dollars) pour violation des règles britanniques. la loi sur la protection des données, y compris les règles destinées à protéger les enfants.

L’organisme de surveillance de la vie privée, le Bureau du commissaire à l’information (ICO), annoncé aujourd’hui qu’il a constaté que le site de partage de vidéos « n’en faisait pas assez » pour vérifier qui utilisait leur plateforme et n’avait pas pris de mesures suffisantes pour supprimer les enfants mineurs qui utilisaient le service.

Selon l’ICO, TikTok comptait environ 1,4 million d’utilisateurs mineurs au Royaume-Uni sur une période de deux ans, entre mai 2018 et juillet 2020 – sur laquelle s’est concentrée son enquête – contrairement aux conditions de service stipulant que les utilisateurs doivent être âgés de 13 ans ou plus.

Le régime britannique de protection des données fixe un plafond à l’âge auquel les enfants peuvent consentir au traitement de leurs données à l’âge de 13 ans, ce qui signifie que TikTok aurait dû obtenir le consentement parental pour traiter légalement les données de ces mineurs (ce que l’entreprise n’a pas fait).

« Nous avons infligé une amende à TikTok pour avoir fourni des services à des enfants britanniques de moins de 13 ans et traité leurs données personnelles sans le consentement ou l’autorisation de leurs parents ou tuteurs. Nous nous attendons à ce que TikTok poursuive ses efforts pour effectuer des contrôles adéquats afin d’identifier et de retirer les enfants mineurs de sa plateforme », nous a déclaré un porte-parole de l’ICO.

De plus, l’ICO a constaté que TikTok avait enfreint les exigences de transparence et d’équité du Règlement général sur la protection des données (RGPD) du Royaume-Uni – en ne fournissant pas aux utilisateurs des informations appropriées et faciles à comprendre sur leurs données collectées, utilisées et partagées.

« Sans ces informations, les utilisateurs de la plateforme, en particulier les enfants, ne seraient probablement pas en mesure de faire des choix éclairés quant à l’opportunité et à la manière d’y participer », a noté l’ICO dans un communiqué de presse annonçant la sanction en cas d’utilisation abusive des données des enfants.

Commentant dans un communiqué, John Edwards, le commissaire à l’information du Royaume-Uni, a ajouté :

Il existe des lois pour garantir que nos enfants sont aussi en sécurité dans le monde numérique que dans le monde physique. TikTok n’a pas respecté ces lois.

En conséquence, on estime qu’un million de jeunes de moins de 13 ans se sont vu accorder un accès inapproprié à la plateforme, TikTok collectant et utilisant leurs données personnelles. Cela signifie que leurs données peuvent avoir été utilisées pour les suivre et les profiler, fournissant potentiellement un contenu nuisible et inapproprié lors de leur prochain défilement.

TikTok aurait dû le savoir mieux. TikTok aurait dû faire mieux. Notre amende de 12,7 millions de livres sterling reflète l’impact sérieux que leurs échecs ont pu avoir. Ils n’ont pas fait suffisamment pour vérifier qui utilisait leur plateforme ni pris de mesures suffisantes pour supprimer les enfants mineurs qui utilisaient leur plateforme.

TikTok a été contacté pour commenter l’application de l’ICO. La société nous a dit qu’elle réexaminait la décision pour envisager les prochaines étapes.

Dans un communiqué, un porte-parole de TikTok a déclaré :

TikTok est une plateforme destinée aux utilisateurs âgés de 13 ans et plus. Nous investissons massivement pour aider à garder les moins de 13 ans hors de la plateforme et notre équipe de sécurité forte de 40 000 personnes travaille 24 heures sur 24 pour contribuer à assurer la sécurité de la plateforme pour notre communauté. Bien que nous ne soyons pas d’accord avec la décision de l’ICO, qui concerne la période mai 2018 – juillet 2020, nous sommes heureux que l’amende annoncée aujourd’hui ait été réduite à moins de la moitié du montant proposé l’année dernière. Nous continuerons d’examiner la décision et réfléchissons aux prochaines étapes.

TikTok affirme avoir pris un certain nombre de mesures pour résoudre les problèmes pour lesquels il se voit infliger une amende aujourd’hui. Bien qu’il continue de déployer une barrière d’âge dans laquelle les utilisateurs sont invités à saisir leur date de naissance afin de créer un compte (ce qui signifie que s’ils sont mineurs, ils peuvent mentir pour contourner la mesure).

Cependant, il affirme qu’il complète cela avec des systèmes renforcés et une formation pour son équipe de modération de sécurité afin qu’elle recherche les signes indiquant qu’un compte peut être utilisé par un enfant de moins de 13 ans afin qu’il puisse signaler les comptes et les envoyer pour examen. Il affirme également qu’il répond rapidement aux demandes des parents visant à supprimer un compte mineur – et utilise d’autres informations fournies par les utilisateurs, telles que des mots clés et des rapports intégrés à l’application, pour aider à faire apparaître des comptes mineurs potentiels.

TikTok suggère en outre qu’il a amélioré la transparence et la responsabilité dans ce domaine, affirmant qu’il produit des rapports réguliers sur le nombre d’utilisateurs mineurs supprimés de la plate-forme (au cours des trois derniers mois de 2022, le chiffre s’élevait à plus de 17 millions de comptes présumés mineurs supprimés). à l’échelle mondiale ; mais il ne présente pas ces données par pays ); ainsi que d’offrir un jumelage familial pour aider les parents à garder un œil sur l’utilisation des enfants.

Bien que la plateforme de médias sociaux ait enfreint le RGPD britannique pour des raisons de légalité, de transparence et d’équité sur une période de deux ans, elle ne fait face qu’à une pénalité à deux chiffres – bien en deçà du maximum théorique (jusqu’à 4 % du revenu annuel mondial). chiffre d’affaires) – le règlement semble donc assez généreux pour TikTok.

Ce chiffre est également nettement inférieur à la moitié du montant initialement proposé par l’ICO, en septembre, lorsque le régulateur a publié une conclusion provisoire indiquant qu’il pourrait infliger à l’entreprise une amende allant jusqu’à 27 millions de livres sterling (29 millions de dollars) pour ce qui était alors une série de violations présumées. .

La raison de la décote substantielle du montant de l’amende est la décision du régulateur de ne pas donner suite à des conclusions provisoires liées à l’utilisation illégale de données de catégorie spéciale à la suite de déclarations de TikTok.

En vertu du RGPD, les données de catégorie spéciale font référence à des classes d’informations particulièrement sensibles, telles que l’orientation sexuelle, les croyances religieuses, l’affiliation politique, l’origine raciale ou ethnique, les données de santé, les données biométriques utilisées à des fins d’identification – pour lesquelles la barre pour un traitement licite est plus élevée que pour un traitement légal. données personnelles; et si le consentement est la base sur laquelle on s’appuie, il existe une norme plus élevée de consentement explicite.

Cela signifie que l’année dernière, l’ICO avait soupçonné TikTok de traiter ce type d’informations sans base légale. Mais l’entreprise a réussi à la persuader d’abandonner cette préoccupation.

On ne sait pas exactement pourquoi l’ICO a abandonné la ligne d’enquête sur les données de catégorie spéciale. Mais en réponse aux questions de fr.techtribune.net, un porte-parole du régulateur a suggéré que cela se résumait à un manque de ressources – nous disant :

Nous avons pris en considération les observations de TikTok et avons décidé de ne pas poursuivre les conclusions provisoires relatives à l’utilisation illégale de données de catégorie spéciale. Cela ne signifie pas que l’utilisation de données de catégories spéciales par les sociétés de médias sociaux n’est pas importante pour l’ICO. Mais nous devons être stratégiques quant à nos ressources et, dans cette affaire, le commissaire a exercé son pouvoir discrétionnaire pour ne pas donner suite aux conclusions provisoires liées à l’utilisation illégale de données de catégories spéciales. Cette infraction potentielle n’a pas été incluse dans le montant final de l’amende fixé à 12,7 millions de livres sterling, et c’est la raison principale pour laquelle l’amende provisoire a été réduite à 12,7 millions de livres sterling. Le montant de cette amende a été fixé conformément à notre Politique d’action réglementaire.

L’ICO a un historique d’inaction face aux violations systématiques de la part du secteur de la publicité comportementale – et son incapacité à nettoyer le secteur des technologies publicitaires de suivi et de ciblage pourrait compliquer sa capacité à poursuivre des plates-formes individuelles qui s’appuient également sur le suivi, le profilage et le profilage dépendants des données. micro-ciblage publicitaire pour monétiser un service « gratuit ».

La protection des données des enfants est certainement un domaine d’intervention plus important pour l’organisme de surveillance britannique. Ces dernières années, suite à la pression des groupes de campagne et des parlementaires britanniques, il a établi un code de conception adapté à l’âge et lié à la conformité au RGPD (et donc au risque d’amendes pour ceux qui ignorent les normes recommandées). L’application active du Code sur la confidentialité et la sécurité des enfants a débuté en septembre 2021. Bien qu’il soit juste de dire qu’il n’y a pas encore eu de tsunami d’applications, l’ICO a mené un certain nombre d’enquêtes.

Le Royaume-Uni n’étant plus membre de l’Union européenne, l’application du RGPD par l’ICO concerne uniquement le Royaume-Uni – et il convient de noter que les activités de TikTok font toujours l’objet d’une enquête dans l’UE sur la manière dont elle traite les données des enfants.

La Commission irlandaise de protection des données (DPC) a ouvert une enquête sur le traitement des données d’enfants par TikTok en septembre 2021. Cette enquête paneuropéenne est en cours – et nous comprenons que le Comité européen de la protection des données devrait prendre une décision contraignante pour régler les désaccords entre des DPA sur le projet de décision de l’Irlande, de sorte que le processus pourrait encore prendre de nombreux mois. Également en cours dans l’UE : une enquête du DPC sur les transferts de données de TikTok vers la Chine, puisque le RGPD régit également les exportations de données (ce qui est bien sûr un sujet très brûlant pour TikTok ces jours-ci).

Un point de comparaison : l’année dernière, le réseau social rival Instagram a été condamné à une amende de 405 millions d’euros pour utilisation abusive des données d’enfants dans le cadre de l’application du RGPD par l’UE. Bien que, dans ce cas, la sanction reflète une activité de traitement de données transfrontalière dans le bloc des 27 États membres – alors que l’application de TikTok par l’ICO est effectuée au nom des utilisateurs britanniques uniquement, d’où une partie de la différence d’ampleur entre les sanctions imposées.