400 milionów dolarów za dane dzieci: czego firmy mogą się nauczyć ze sprawy TikToka
Ugoda zawarta w USA pokazuje, dlaczego ochrona małoletnich użytkowników powinna zaczynać się już na etapie projektowania usług cyfrowych
400 milionów dolarów: na taką kwotę TikTok, ByteDance i Departament Sprawiedliwości USA porozumiały się w postępowaniu dotyczącym ochrony danych osobowych dzieci. Sprawa dotyczy wprawdzie amerykańskiego prawa ochrony danych, jednak pytania, które się za nią kryją, są istotne również dla europejskich przedsiębiorstw:
Czy z naszych usług korzystają osoby małoletnie? Czy wiemy, ile lat faktycznie mają nasi użytkownicy? I czy nasze procesy uwzględniają to, że dane osobowe dzieci zasługują na szczególną ochronę?
Co się wydarzyło w sprawie TikToka?
Departament Sprawiedliwości USA pozwał TikTok i ByteDance już w 2024 roku. Zarzut: TikTok miał umożliwiać dzieciom poniżej 13. roku życia zakładanie zwykłych kont, a przy tym zbierać i przechowywać ich dane osobowe bez należytego poinformowania rodziców i uzyskania ich zgody.
Według Departamentu Sprawiedliwości dotyczyło to milionów dzieci. Również w przypadku kont w tzw. „Kids Mode” miały być przetwarzane m.in. adresy e-mail, adresy IP, identyfikatory urządzeń i inne informacje. Departament Sprawiedliwości zarzucił ponadto TikTokowi niewystarczające procesy identyfikowania i usuwania kont dzieci (Źródło: Departament Sprawiedliwości USA, pozew z 2 sierpnia 2024 r.).
W sierpniu 2026 r. postępowanie zakończyło się ugodą. TikTok zapłaci 300 milionów dolarów od razu i kolejne 100 milionów dolarów, gdy zostanie uchylony wcześniejszy consent decree wydany wobec poprzednika TikToka, Musical.ly. Departament Sprawiedliwości określa to porozumienie jako jedną z najwyższych płatności, jakie kiedykolwiek uzyskano w postępowaniu na podstawie amerykańskiej ustawy Children’s Online Privacy Protection Act (COPPA).
Ważne dla właściwej oceny: nie jest to ani wyrok, ani naruszenie ochrony danych stwierdzone przez sąd. Ugoda kończy spór o zarzuty; Departament Sprawiedliwości wyraźnie zaznacza, że nie stwierdzono odpowiedzialności.
Właściwy problem: dzieci nie zawsze podają swój prawdziwy wiek
Szczególnie interesujący aspekt pierwotnego pozwu dotyczy ustalania wieku.
Według zarzutów Departamentu Sprawiedliwości pracownicy TikToka wiedzieli, że dzieci podają nieprawdziwe dane przy pytaniu o wiek. Jednocześnie TikTok miał dysponować innymi możliwościami technicznymi pozwalającymi szacować wiek użytkowników na podstawie ich zachowania. Nie wykorzystywano ich jednak odpowiednio do wykrywania dzieci poniżej 13. roku życia na zwykłej platformie i usuwania ich kont.
Właśnie w tym miejscu sprawa staje się interesująca także poza USA. Proste pytanie w rodzaju „Ile masz lat?” nie musi wcale rozwiązywać problemu ochrony danych dzieci. Firmy muszą raczej ustalić, kto faktycznie korzysta z ich usług i jakie środki ochrony są odpowiednie w przypadku konkretnej oferty.
Co obowiązuje w Europie?
Również RODO przywiązuje szczególną wagę do ochrony dzieci.
Co do zasady RODO przewiduje w tym zakresie granicę wieku 16 lat. Państwa członkowskie mogą ją obniżyć, nie niżej jednak niż do 13 lat. W Niemczech utrzymano granicę 16 lat.
Jeżeli dziecko jest młodsze, przetwarzanie na podstawie zgody jest zgodne z prawem wyłącznie wówczas i w takim zakresie, w jakim zgodę wyraziła lub zatwierdziła osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem.
A RODO idzie jeszcze o krok dalej: administrator, uwzględniając dostępne technologie, musi podjąć rozsądne starania, by zweryfikować, czy zgoda rzeczywiście została wyrażona lub zatwierdzona przez osobę sprawującą władzę rodzicielską lub opiekę.
Tu również pojawia się więc praktyczne pytanie:
Na ile solidny jest właściwie nasz proces weryfikacji wieku i uzyskiwania zgody?
Ochrona danych dzieci nie zaczyna się od checkboxa
Sprawa TikToka pokazuje zatem problem o charakterze zasadniczym. Nie zawsze wystarczy zapytać o datę urodzenia w procesie rejestracji, a następnie zakładać, że osoby małoletnie zostały wykluczone albo że wymagane zgody uzyskano skutecznie. Firmy powinny raczej już przy projektowaniu usługi cyfrowej wziąć pod uwagę:
Zwłaszcza w przypadku usług, które ze względu na swoją formę lub treść są atrakcyjne dla dzieci i młodzieży, nie należy szukać odpowiedzi dopiero wtedy, gdy pojawią się skargi.
Czego firmy mogą się nauczyć ze sprawy TikToka
Ugody nie da się pod względem prawnym przenieść jeden do jednego na europejskie przedsiębiorstwa. COPPA i RODO to odrębne regulacje.
Praktyczny wniosek wykracza jednak poza konkretną sprawę z USA:
Jeśli realistycznie trzeba się liczyć z tym, że z oferty będą korzystać osoby niepełnoletnie, ochronę danych dzieci należy traktować jako element projektowania produktów i procesów – a nie dopiero jako kwestię do opisania w polityce prywatności.
Obejmuje to świadomą decyzję co do grupy docelowej, odpowiednie mechanizmy weryfikacji wieku, właściwe podstawy prawne oraz procesy postępowania z danymi małoletnich użytkowników. Sprawa TikToka dobitnie pokazuje, jaką skalę może osiągnąć ten problem, jeśli pytania te zadaje się dopiero po latach.
Weryfikacja pól obowiązkowych –
krok po kroku podczas webinaru
Jeśli chcą Państwo wziąć udział lub zadać własne pytania:
Prosimy o kontakt – szczegóły rejestracji podamy wkrótce.
FAQ
Czy TikTok otrzymał karę w wysokości 400 milionów dolarów za naruszenie przepisów dotyczących ochrony danych?
Nie w sensie grzywny nałożonej przez sąd. TikTok i ByteDance zawarły z Departamentem Sprawiedliwości USA ugodę na łączną kwotę 400 milionów dolarów. Odpowiedzialność nie została przy tym stwierdzona przez sąd.
Co zarzucano TikTokowi?
Departament Sprawiedliwości zarzucił TikTokowi m.in., że zbierał i przechowywał dane osobowe dzieci poniżej 13. roku życia bez wymaganego przez COPPA poinformowania rodziców i uzyskania ich zgody, a także że w niewystarczającym stopniu rozpoznawał i usuwał konta dzieci.
Czy w Niemczech obowiązuje stała granica wieku dla zgody na przetwarzanie danych osobowych?
Art. 8 RODO przewiduje szczególną regulację dla niektórych operacji przetwarzania opartych na zgodzie w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dzieciom. W Niemczech odpowiednia granica wieku wynosi 16 lat. Nie oznacza to jednak, że osoby poniżej 16 lat co do zasady nie mogą wyrazić zgody na przetwarzanie danych – art. 8 dotyczy właśnie tej szczególnej sytuacji.
Czy wystarczy zapytać o datę urodzenia?
Nie da się na to odpowiedzieć ogólnie. Art. 8 ust. 2 RODO wymaga w swoim zakresie stosowania rozsądnych starań w celu weryfikacji zgody lub zatwierdzenia przez rodziców, z uwzględnieniem dostępnych technologii.
Na co firmy muszą zwracać uwagę, przetwarzając dane osobowe osób małoletnich?
Firmy powinny w szczególności sprawdzić, czy z ich oferty korzystają także osoby małoletnie, jakie dane są przetwarzane, na jakiej podstawie prawnej się to odbywa i jaką rolę odgrywa przy tym wiek. Ponadto należy przewidzieć procesy weryfikacji wieku, uzyskiwania zgód, usuwania danych i realizacji praw osób, których dane dotyczą, a także przygotować zrozumiałe informacje o przetwarzaniu danych.
Czego firmy mogą się nauczyć ze sprawy TikToka?
Sprawa pokazuje, że ochronę danych dzieci należy uwzględniać już na etapie projektowania usług cyfrowych. Kto musi realnie liczyć się z tym, że z jego oferty będą korzystać osoby małoletnie, powinien od początku uwzględnić w projektowaniu produktów i procesów grupę docelową, mechanizmy weryfikacji wieku, podstawy prawne oraz sposób postępowania z danymi osobowymi małoletnich.
