Wara d-Deċiżjoni tal-EDPB, TikTok ordna li jiġu eliminati prattiki ta’ disinn inġusti li jikkonċernaw it-tfal

Brussell, il-15 ta’ Settembru — Wara d-deċiżjoni vinkolanti ta’ soluzzjoni tat-tilwim tal-EDPB, l-Awtorità Irlandiża għall-Protezzjoni tad-Data (DPA IE) ħarġet deċiżjoni finali, fejn sabet, b’mod partikolari, li TikTok Technology Limited (TikTok) kisret il-prinċipju ta’ ġustizzja tal-GDPR meta kienet qed tipproċessa data personali relatata ma’ tfal bejn l-età ta’ 13-il sena u 17-il sena. Id-deċiżjoni tal-EDPB inħarġet fit-2 ta’ Awwissu 2023 u tkopri l-attivitajiet ta’ pproċessar ta’ TikTok bejn il-31 ta’ Lulju u l-31 ta’ Diċembru 2020. 

Anu Talus, President tal-EDPB, qalet: “Il-kumpaniji tal-midja soċjali għandhom ir-responsabbiltà li jevitaw li jippreżentaw għażliet lill-utenti, speċjalment lit-tfal, b’mod inġust — b’mod partikolari jekk dik il-preżentazzjoni tista’ tħeġġeġ lin-nies jieħdu deċiżjonijiet li jiksru l-interessi tal-privatezza tagħhom. L-għażliet relatati mal-privatezza jenħtieġ li jiġu pprovduti b’mod oġġettiv u newtrali, filwaqt li jiġi evitat kwalunkwe tip ta’ lingwaġġ jew disinn qarrieqi jew manipulattiv. B’din id-deċiżjoni, l-EDPB għal darb’oħra jagħmilha ċara li l-atturi diġitali jridu jkunu aktar attenti u jieħdu l-miżuri kollha meħtieġa biex jissalvagwardjaw id-drittijiet tal-protezzjoni tad-data tat-tfal.”

Fid-deċiżjoni vinkolanti tiegħu, l-EDPB analizza l-prattiki tad-disinn implimentati minn TikTok fil-kuntest ta’ żewġ notifiki pop-up li ntwerew lit-tfal ta’ bejn it-13 u s-17-il sena: il-Pop-Up tar-Reġistrazzjoni u l-Pop-Up tal-Ippustjar tal-Vidjow. L-analiżi sabet li ż-żewġ pop-ups naqsu milli jippreżentaw għażliet lill-utent b’mod oġġettiv u newtrali. 

Fil-Pop-Up tar-Reġistrazzjoni, it-tfal kellhom jagħżlu kont pubbliku billi jagħżlu l-buttuna tan-naħa tal-lemin immarkata “Skip”, li mbagħad ikollha effett kaskata fuq il-privatezza tat-tfal fuq il-pjattaforma, pereżempju billi jagħmlu aċċessibbli kummenti dwar kontenut vidjow maħluq mit-tfal. 

Fil-Pop-Up tal-Ippustjar tal-Vidjow, it-tfal kellhom jikklikkjaw fuq “Post Now”, ippreżentat f’test b’tipa grassa u aktar skura li jinsab fuq in-naħa tal-lemin, aktar milli fuq il-buttuna eħfef biex “tikkanċella”. L-utenti li xtaqu jagħmlu l-posta privata tagħhom l-ewwel kellhom bżonn jagħżlu “ikkanċella” u mbagħad ifittxu s-settings tal-privatezza sabiex jaqilbu għal “kont privat”. Għalhekk, l-utenti ġew imħeġġa jagħżlu settings pubbliċi b’mod awtomatiku, b’TikTok jagħmilha aktar diffiċli għalihom li jagħmlu għażliet li jiffavorixxu l-protezzjoni tad-data personali tagħhom. Barra minn hekk, il-konsegwenzi tal-għażliet differenti ma kinux ċari, b’mod partikolari għall-utenti tfal. L-EDPB ikkonferma li l-kontrolluri ma għandhomx jagħmluha diffiċli għas-suġġetti tad-data biex jaġġustaw is-settings tal-privatezza tagħhom u jillimitaw l-ipproċessar. 

L-EDPB sab ukoll li, minħabba l-prattiki inkwistjoni, TikTok kiser il-prinċipju ta’ ekwità skont il-GDPR. Konsegwentement, l-EDPB ta struzzjonijiet lid-DPA tal-IE biex tinkludi, fid-deċiżjoni finali tagħha, sejba ta’ dan il-ksur addizzjonali u biex tordna lil TikTok tikkonforma mal-GDPR billi telimina tali prattiki ta’ disinn.

L-EDPB ivvaluta wkoll jekk il-miżuri ta’ verifika tal-età implimentati minn TikTok bejn il-31 ta’ Lulju u l-31 ta’ Diċembru 2020 kinux konformi mar-rekwiżiti tal-protezzjoni tad-data mid-disinn (l-Artikolu 25(1) tal-GDPR). L-EDPB esprima dubji serji dwar l-effettività tal-miżuri ta’ verifika tal-età stabbiliti minn TikTok matul dan il-perjodu, b’mod partikolari meta titqies is-severità tar-riskji għall-għadd kbir ta’ tfal affettwati. Fost l-oħrajn, l-EDPB sab li l-barriera tal-età użata minn TikTok biex jipprevjeni lill-utenti tfal taħt l-età ta’ 13-il sena milli jaċċessaw il-pjattaforma jista’ jiġi faċilment evitat u li l-miżuri applikati wara li l-utenti kisbu aċċess għal TikTok ma ġewx applikati b’mod sistematiku biżżejjed.

Abbażi tal-elementi disponibbli fil-kuntest ta’ din il-proċedura għas-soluzzjoni tat-tilwim, l-EDPB ikkonkluda li ma kellux biżżejjed informazzjoni, b’mod partikolari fir-rigward tal-ogħla livell ta’ żvilupp tekniku, biex jivvaluta b’mod konklużiv il-konformità ta’ TikTok mal-Artikolu 25 (1) tal-GDPR matul dan il-perjodu. Madankollu, meta jitqiesu d-dubji serji rigward l-effettività tal-miżuri magħżula minn TikTok, l-EDPB talab li d-DPA tal-IE tirrifletti dan fid-deċiżjoni finali tagħha. 

Id-Deċiżjoni finali tad-DPA tal-IE tinkorpora l-valutazzjoni legali espressa mill-EDPB fid-deċiżjoni vinkolanti tiegħu. Din id-deċiżjoni ġiet adottata abbażi tal-Artikolu 65(1)(a) tal-GDPR wara li d-DPA tal-IE, bħala awtorità superviżorja ewlenija (LSA), skattat proċedura għas-soluzzjoni tat-tilwim dwar l-oġġezzjonijiet imqajma minn xi awtoritajiet superviżorji (CSAs) ikkonċernati. Dawn l-oġġezzjonijiet iddeskrivew il-kamp ta’ applikazzjoni tad-deċiżjoni tal-EDPB, deskritta hawn fuq. 

Id-Deċiżjoni finali tad-DPA tal-IE tinkludi wkoll valutazzjoni legali li ma kinitx soġġetta għal oġġezzjonijiet mis-CSAs, bħas-sejba li s-settings pubbliċi b’mod awtomatiku kienu jmorru kontra l-prinċipji tal-protezzjoni tad-data mid-disinn u b’mod awtomatiku, tal-minimizzazzjoni tad-data u tat-trasparenza. Minbarra twiddiba u ordni ta’ konformità, d-DPA tal-IE imponiet multa ta’ EUR 345 miljun. 

Id-deċiżjoni finali meħuda mid-DPA tal-IE jinsabu fir-Reġistru għad-Deċiżjonijiet meħuda mill-awtoritajiet superviżorji u l-qrati dwar kwistjonijiet ittrattati fil-mekkaniżmu ta’ konsistenza. 

Nota tal-editur: 

Din id-deċiżjoni attwali hija mingħajr preġudizzju għal kwalunkwe valutazzjoni li l-EDPB jista’ jintalab jagħmel f’każijiet oħra, inkluż mal-istess partijiet. Id-deċiżjonijiet vinkolanti tal-EDPB jindirizzaw biss in-nuqqas ta’ qbil dwar abbozz ta’ deċiżjoni, li huwa stabbilit mis-CSAs f’oġġezzjonijiet rilevanti u motivati.