TikTok invia dati UE in Cina: multa di 530 milioni

Come anticipato da Bloomberg all’inizio di aprile, la Data Protection Commission (DPC) dell’Irlanda ha inflitto una sanzione di 530 milioni di euro a TikTok per la violazione del GDPR (Regolamento generale sulla protezione dei dati). L’azienda ha inviato i dati degli utenti europei a server che si trovano in Cina.

Trasferimento illegale e nessuna trasparenza

L’autorità irlandese ha avviato l’indagine a metà settembre 2021 per verificare la legalità del trasferimento dei dati verso la Cina e il rispetto dei requisiti di trasparenza. In base al GDPR, il trasferimento dei dati degli utenti verso paesi esterni all’Unione europea è possibile solo se viene garantito un adeguato livello di protezione. La Cina non rientra tra i paesi indicati dalla Commissione europea.

In tal caso, il trasferimento è possibile solo se sono soddisfatti altri requisiti, come le clausole contrattuali standard. L’azienda deve verificare, garantire e dimostrare che le leggi in vigore nel paese offrano una protezione equivalente a quella in Europa. La DPC ha stabilito che TikTok non ha fornito questa garanzia. Anzi, diverse leggi cinesi impongono a TikTok di consentire l’accesso ai dati. Per il trasferimento illegale dei dati è stata inflitta una sanzione di 485 milioni di euro.

La DPC ha inoltre stabilito il mancato rispetto dei requisiti di trasparenza. Gli utenti europei non sono stati informati adeguatamente (non era specificato il paese e quali dati venivano trasferiti), quindi è stata inflitta un’altra sanzione di 45 milioni di euro, portando il totale a 530 milioni di euro.

Durante l’indagine, TikTok ha informato l’autorità irlandese che, nel mese di febbraio 2025, i dati di alcuni utenti sono stati inviati a server in Cina a causa di un problema tecnico, ma successivamente sono stati cancellati. L’azienda cinese dovrà inoltre sospendere il trasferimento dei dati e apportare i necessari cambiamenti per rispettare il GDPR entro sei mesi.

TikTok ha comunicato che presenterà appello contro la decisione, in quanto la DPC non ha tenuto conto del progetto Clover da 12 miliardi di euro che garantisce la protezione dei dati. L’azienda ha inoltre sottolineato di non aver mai ricevuto richieste di accesso dalle autorità cinesi e di non aver mai consegnato nessun dato.