O TikTok, popular plataforma de vídeos curtos, foi alvo de uma multa imposta pela Comissão de Proteção de Dados da Irlanda (DPC, na sigla em inglês). A sanção, no valor de 530 milhões de euros, equivalente a cerca de 600 milhões de dólares ou 3,1 bilhões de reais, decorre da violação das leis de proteção de dados da União Europeia (UE), especificamente o Regulamento Geral de Proteção de Dados (GDPR).

Segundo a DPC, que atua como principal regulador de privacidade do TikTok na UE devido à sede europeia da empresa estar em Dublin, a transferência de dados pessoais de usuários europeus para a China violou o GDPR. A falha consistiu em não conseguir verificar, garantir e demonstrar que os dados acessados remotamente por funcionários na China recebiam um nível de proteção essencialmente equivalente ao garantido dentro da UE. O regulador afirmou que o TikTok não realizou as avaliações necessárias para determinar se as autoridades chinesas poderiam acessar os dados sob leis locais que diferem significativamente do GDPR.

Além disso, a investigação, que durou quatro anos e foi aberta em setembro de 2021, identificou que o TikTok não foi transparente com os usuários sobre para quais países seus dados estavam sendo transferidos. A política de privacidade de 2021 da plataforma não especificava que funcionários na China e em outros países tinham acesso remoto a dados armazenados em Singapura e nos Estados Unidos. Embora essa política tenha sido atualizada em 2022, a DPC considerou que a violação de transparência ocorreu.

Durante o processo de investigação, o TikTok informou inicialmente à DPC que não armazenava dados de usuários europeus em servidores chineses. No entanto, em abril, a empresa comunicou ter descoberto, em fevereiro do mesmo ano, que uma quantidade limitada de dados de fato havia sido armazenada na China, o que contradisse as informações anteriores. A DPC declarou que está levando esse desenvolvimento “muito a sério” e considerando outras ações regulatórias contra a empresa.

A DPC determinou que o TikTok deve corrigir suas práticas de processamento de dados em um prazo de seis meses. O não cumprimento das exigências pode levar à suspensão da capacidade de transferir dados para a China.

Cabe recurso

Em resposta, o TikTok contestou “fortemente” a decisão e planeja recorrer. A empresa afirmou que utilizou arcabouços legais da UE e implementou medidas de segurança de dados. Mencionaram o “Project Clover”, uma iniciativa que envolve a construção de data centers na Europa para armazenar dados de usuários europeus e que inclui supervisão independente. Argumentaram que a decisão não considerou totalmente essas medidas implementadas a partir de 2023. O TikTok também reiterou que nunca recebeu um pedido das autoridades chinesas para acesso a dados de usuários da UE, nem jamais forneceu esses dados. A empresa sente que está sendo usada como exemplo, mesmo usando os mesmos mecanismos legais que milhares de outras empresas na Europa.

Esta não é a primeira vez que o TikTok enfrenta sanções da DPC. Em setembro de 2023, a empresa foi multada em 345 milhões de euros por violações do GDPR relacionadas ao processamento de dados de crianças.