Irský úřad pro ochranu osobních údajů (DPC) udělil platformě TikTok pokutu ve výši 530 milionů
eur. Rozhodnutí je důsledkem zjištění, že TikTok nezákonně předával osobní údaje evropských
uživatelů do Číny a zároveň v období let 2020 až 2022 nedostatečně informoval uživatele o tom, že
k takovým přenosům dochází.
Podstatou porušení bylo selhání TikToku při ověřování, zajištění a prokázání toho, že osobní údaje
přenášené do třetí země – v tomto případě Číny – požívají srovnatelné úrovně ochrany, jaká je
zaručena právem EU. Čínské zákony, zejména ty týkající se boje proti terorismu, kybernetické
bezpečnosti a státní bezpečnosti, poskytují vládě široké pravomoci k přístupu k datům, což TikTok
sám v průběhu řízení uznal jako zásadní odchylku od evropských standardů.
Kromě selhání při zajištění bezpečnosti přenosu dat bylo TikToku vytknuto, že ve své zásadní verzi
zásad ochrany osobních údajů z roku 2021 neuvedl ani konkrétní třetí země, do nichž byla data
přenášena, ani nepopsal charakter samotných přenosů. Uživatelé tak nebyli schopni získat jasnou
představu o tom, co se s jejich osobními údaji děje. Až aktualizace zásad v prosinci 2022 přinesla
nápravu a úřad ji již hodnotí jako vyhovující.
Nejzávažnějším momentem vyšetřování se však stala skutečnost, kdy TikTok navzdory svým
dřívějším prohlášením přiznal, že k uložení „omezeného množství“ osobních údajů evropských
uživatelů na serverech v Číně skutečně došlo. Tato informace, která byla předtím popřena, znamenala
poskytnutí nesprávných údajů v rámci oficiálního šetření a narušení povinnosti součinnosti.
Pokuta ve výši 530 milionů eur se skládá ze dvou částí – 485 milionů za nezákonný přenos údajů do
Číny a 45 milionů za nedostatečnou transparentnost. TikTok obvinění odmítá a hodlá se proti
rozhodnutí odvolat. Společnost upozorňuje, že nikdy neposkytla data evropských uživatelů čínským
úřadům a že masivně investuje do lokalizace dat, v rámci které buduje datová centra v EU.
I přes to ale DPC považoval opatření TikToku za nedostatečná. Firmě bylo nařízeno uvést své
postupy do souladu s GDPR do šesti měsíců. V opačném případě bude muset zcela zastavit přenosy
osobních údajů do Číny. Pokuta je třetí nejvyšší, jakou kdy evropský dozorový orgán za porušení
GDPR udělil – vyšší sankce obdržely pouze společnosti Meta a Amazon.