Multa da 30 milioni di dollari a ByteDance-TikTok per dati dei minori

L'Autorità nazionale brasiliana per la protezione dei dati (ANPD) ha sanzionato ByteDance, la società proprietaria di TikTok, con una multa di circa 153,8 milioni di reais, pari a poco meno di 30 milioni di dollari, per irregolarità nel trattamento dei dati personali di adolescenti tra i 13 e i 18 anni.

Come riporta Reuters, l'autorità brasiliana ha accertato che la controllata locale di ByteDance ha raccolto e trattato i dati personali di adolescenti senza una base giuridica valida, in violazione della Legge Generale per la Protezione dei Dati (LGPD), l'equivalente brasiliano del GDPR europeo. Le criticità sono state riscontrate sia nell'uso della piattaforma senza registrazione, sia negli account effettivamente creati dagli utenti minorenni.

Secondo quanto ricostruito dall'ANPD, TikTok non è riuscita a dimostrare che i meccanismi adottati fossero sufficienti a impedire fin dall'inizio il trattamento irregolare dei dati di bambini e adolescenti. L'indagine ha portato a individuare cinque distinte violazioni della normativa sulla protezione dei dati, e la sanzione complessiva risulta la più alta mai imposta dall'autorità dalla sua istituzione.

Oltre alla multa, l'ANPD ha ordinato a ByteDance di eliminare, entro 60 giorni lavorativi, i dati personali degli adolescenti tra i 13 e i 18 anni iscritti alla piattaforma per i quali non risulti indicato un rappresentante legale adeguato. L'azienda dovrà inoltre informare le terze parti che hanno ricevuto tali dati, presentare un rapporto tecnico firmato dal responsabile della protezione dei dati (il Data Protection Officer) e fornire i log di audit dei propri sistemi a dimostrazione della conformità raggiunta. In caso di mancato adeguamento nei tempi previsti, scatterebbe una sanzione aggiuntiva giornaliera di 137.081 reais, e l'autorità si riserva comunque la possibilità di richiedere una revisione esterna e indipendente qualora la documentazione fornita da ByteDance risultasse insufficiente.

ByteDance ha dieci giorni lavorativi di tempo per presentare ricorso al Consiglio Direttivo dell'ANPD contro la decisione. L'azienda può inoltre ottenere una riduzione del 25% sull'importo complessivo della sanzione se rinuncia al diritto di appello e provvede al pagamento entro 20 giorni lavorativi, portando così la cifra dovuta a circa 115 milioni di reais.

Nel frattempo, l'azienda si è impegnata ad attuare un piano di adeguamento per rafforzare la tutela di bambini e adolescenti sulla piattaforma, che prevede tra l'altro l'applicazione automatica di impostazioni di privacy più restrittive per gli account degli utenti sotto i 16 anni, modificabili solo con l'autorizzazione dei responsabili legali, oltre a un sistema di controllo parentale con filtri sui contenuti più severi. Il Consiglio Direttivo dell'ANPD ha approvato questo piano, ma ne ha condizionato l'attuazione al rispetto delle regole di verifica dell'età previste dallo Statuto Digitale del Bambino e dell'Adolescente, secondo un calendario stabilito dall'agenzia stessa.

Il provvedimento si inserisce in un momento di crescente attenzione delle autorità brasiliane verso le piattaforme digitali e la sicurezza dei minori online. Solo poche settimane fa, infatti, l'ANPD aveva ordinato alla piattaforma Discord di sospendere le funzioni di livestreaming, dopo il timore che una adolescente fosse stata istigata al suicidio durante una diretta. La stessa autorità ha precisato che il caso TikTok non è collegato a quello riguardante Discord.

Va ricordato che non è la prima volta che TikTok finisce nel mirino dei regolatori per la gestione dei dati dei più giovani: nel 2023 l'autorità irlandese per la protezione dei dati aveva inflitto alla piattaforma una multa da 345 milioni di euro per violazioni analoghe relative agli utenti under 13, mentre nel Regno Unito l'Information Commissioner's Office aveva sanzionato l'azienda con una multa da 12,7 milioni di sterline per il medesimo tipo di irregolarità.