Bruxelas, 15 de setembro — Na sequência da decisão vinculativa do CEPD em matéria de resolução de litígios, a Autoridade Irlandesa de Proteção de Dados (APD irlandesa) emitiu uma decisão final, concluindo, em especial, que a TikTok Technology Limited (TikTok) violou o princípio da equidade do RGPD no tratamento de dados pessoais relativos a crianças entre os 13 e os 17 anos. A decisão do CEPD foi emitida em 2 de agosto de 2023 e abrange as atividades de tratamento da TikTok entre 31 de julho e 31 de dezembro de 2020.
A presidente do CEPD, Anu Talus, declarou: «As empresas de redes sociais têm a responsabilidade de evitar apresentar escolhas aos utilizadores, especialmente às crianças, de forma não equitativa — em especial se essa apresentação puder incitar as pessoas a tomarem decisões que violem os seus interesses em matéria de privacidade. As opções relacionadas com a privacidade devem ser fornecidas de forma objetiva e neutra, evitando qualquer tipo de linguagem ou conceção enganador ou manipulador. Com esta decisão, o CEPD deixa mais uma vez claro que os intervenientes digitais têm de ser muito cuidadosos e tomar todas as medidas necessárias para salvaguardar os direitos das crianças em matéria de proteção de dados.»
Na sua decisão vinculativa, o CEPD analisou as práticas de conceção aplicadas pela TikTok no contexto de duas notificações instantâneas que foram apresentadas a crianças com idades compreendidas entre os 13 e os 17 anos: a notificação de registo e a notificação de publicação de um vídeo. A análise concluiu que nenhuma das duas janelas instantâneas apresentou opções ao utilizador de forma objetiva e neutra.
Na notificação de registo, as crianças foram encorajadas a optar por uma conta pública, escolhendo o botão do lado direito com a menção «Ignorar», o que teria então um efeito de cascata na privacidade da criança na plataforma, por exemplo, tornando acessíveis comentários sobre conteúdos vídeo criados por crianças.
Na notificação de publicação de um vídeo, as crianças foram encorajadas a clicar em «Publicar agora», apresentado num texto a negrito e mais escuro localizado no lado direito, em vez de no botão mais leve para «Cancelar». Os utilizadores que pretendiam tornar a sua publicação privada tiveram primeiro de selecionar «Cancelar» e, em seguida, procurar as predefinições de privacidade para mudar para uma «conta privada». Por conseguinte, os utilizadores foram incentivados a optar por definições públicas por defeito, tendo a TikTok tornado mais difícil fazer escolhas que favorecem a proteção dos dados pessoais. Além disso, as consequências das diferentes opções eram pouco claras, em especial para as crianças utilizadoras. O CEPD confirmou que os responsáveis pelo tratamento não devem dificultar as manipulações que os utilizadores devem efetuar para adaptar as suas predefinições de privacidade e limitar o tratamento dos seus dados.
O CEPD concluiu igualmente que, em resultado das práticas em causa, a TikTok violou o princípio da equidade nos termos do RGPD. Por conseguinte, o CEPD deu instruções à APD irlandesa para que, na sua decisão final, incluísse uma constatação desta infração adicional e que ordenasse à TikTok que cumprisse o RGPD eliminando essas práticas em matéria de conceção.
O CEPD avaliou igualmente se as medidas de verificação da idade aplicadas pela TikTok entre 31 de julho e 31 de dezembro de 2020 cumpriam os requisitos de proteção de dados desde a conceção (artigo 25.º, n.º 1, do RGPD). O CEPD manifestou sérias dúvidas quanto à eficácia das medidas de verificação da idade adotadas pela TikTok durante este período, tendo especialmente em conta a gravidade dos riscos para o elevado número de crianças afetadas. Entre outros aspetos, o CEPD constatou que o sistema de verificação da idade utilizado pela TikTok para impedir o acesso de crianças com menos de 13 anos de idade à plataforma poderia ser facilmente contornado e que as medidas aplicadas depois de os utilizadores terem tido acesso ao TikTok não foram aplicadas de forma suficientemente sistemática.
Com base nos elementos disponíveis no contexto deste procedimento de resolução de litígios, o CEPD concluiu que não dispunha de informações suficientes, em especial em relação ao estado dos conhecimentos, para avaliar de forma conclusiva a conformidade da TikTok com o artigo 25.º, n.º 1, do RGPD durante este período. No entanto, tendo em conta as sérias dúvidas quanto à eficácia das medidas escolhidas pela TikTok, o CEPD exigiu que a APD irlandesa refletisse este facto na sua decisão final.
A decisão final da APD irlandesa incorpora a avaliação jurídica expressa pelo CEPD na sua decisão vinculativa. Esta decisão foi adotada com base no artigo 65.º, n.º 1, alínea a), do RGPD depois de a APD irlandesa, enquanto autoridade de controlo principal (ACP), ter desencadeado um procedimento de resolução de litígios relativo às objeções levantadas por algumas autoridades de controlo em causa (ACI). Estas objeções delinearam o âmbito da decisão do CEPD, descrita supra.
A decisão final da APD irlandesa inclui igualmente uma avaliação jurídica que não foi objeto de objeções por parte das ACI, como a conclusão de que as definições públicas por defeito eram contrárias aos princípios da proteção de dados desde a conceção e por defeito, da minimização dos dados e da transparência. Para além de uma repreensão e de uma ordem de cumprimento, a APD irlandesa aplicou uma coima de 345 milhões de EUR.
A decisão final adotada pela APD irlandesa está disponível no Registo das decisões tomadas pelas autoridades de controlo e pelos tribunais sobre questões tratadas no âmbito do procedimento de controlo da coerência.
Nota do editor:
Esta decisão não prejudica eventuais avaliações que o CEPD possa ser chamado a efetuar noutros casos, incluindo com as mesmas partes. As decisões vinculativas do CEPD abordam apenas as situações de desacordo sobre um projeto de decisão, que são estabelecidas pelas ACI em objeções pertinentes e fundamentadas.
The news published here does not constitute official EDPB communication, nor an EDPB endorsement. This news item was originally published by the national supervisory authority and was published here at the request of the SA for information purposes. Any questions regarding this news item should be directed to the supervisory authority concerned.