TikTok ligt al enige tijd onder vuur in verband met het gebruik van persoonsgegevens van kinderen. In 2019 kwam het bedrijf tot een schikking met de Amerikaanse Federal Trade Commission in een zaak over het verzamelen van persoonsgegevens van kinderen waarvoor niet de vereiste toestemming van hun ouders was verkregen. In Nederland legde de AP op 22 juli jl. een bestuurlijke boete op van maar liefst 750.000 euro omdat TikTok twee jaar lang kinderen niet in begrijpelijke taal informeerde over de verwerking van hun persoonsgegevens. Het privacybeleid was alleen in het Engels beschikbaar hetgeen tot een schending van art. 12 lid 1 van de Algemene verordening gegevensbescherming leidt. Het opleggen van een boete voor (onder meer) het niet verstrekken van het privacybeleid in de taal van de doelgroep waarop de verwerkingsverantwoordelijke zich richt is geen unicum.
De AP heeft daarnaast het onderliggende (niet gepubliceerde) onderzoeksrapport overgedragen aan de Ierse toezichthouder die bevoegd is om op te treden omdat TikTok inmiddels een Europese vestiging heeft in Ierland. De overtreding waarvoor de boete door de AP is opgelegd was één dag voor de verhuizing naar Ierland gestopt, waardoor de AP nog bevoegd was om die overtreding te onderzoeken. In de tussentijd heeft het bedrijf het ook meermaals aan de stok gehad met de Italiaanse toezichthouder, die zelfs gebruikmaakte van de artikel 66 AVG-spoedprocedure om zelf te kunnen ingrijpen.
Daarnaast krijgt TikTok mogelijk te maken met de civiele rechter wegens het onrechtmatig gebruik van gegevens van kinderen. In de Verenigde Staten en het Verenigd Koninkrijk werden al collectieve acties gestart tegen het sociale media-bedrijf. In Nederland heeft Stichting Onderzoek Marktinformatie (SOMI) op 2 juni jl. TikTok gedagvaard en op 24 juni jl. is ook Stichting Take Back Your Privacy (TBYP) een collectieve actie gestart tegen TikTok met ondersteuning van de Consumentenbond. Beide collectieve acties richten zich in het bijzonder op de verwerking van persoonsgegevens van (jonge) kinderen door TikTok. De organisaties vorderen niet alleen dat TikTok daarmee stopt maar ook dat schade wordt vergoed. In het geval van TBYP gaat dat om een bedrag van maar liefst 1,5 miljard euro.
Het onderzoek van de Ierse toezichthouder en de collectieve acties kunnen een belangrijke bijdrage leveren aan de rechtsontwikkeling. Ze kunnen helderheid bieden over de invulling van verplichtingen van verwerkingsverantwoordelijken als zij persoonsgegevens van kinderen verwerken. De collectieve acties kunnen daarnaast ook een belangrijke rol spelen bij de verdere ontwikkeling van het leerstuk van de schadevergoeding voor onrechtmatige verwerkingen van persoonsgegevens. Over dat leerstuk schreef Tim Walree overigens een lezenswaardig en interessant proefschrift dat hij recent verdedigde.
Terug naar TikTok. Dat weet dus niet alleen de aandacht van kinderen goed vast te houden. Ook privacyjuristen zullen de juridische ontwikkelingen rondom het bedrijf met veel aandacht blijven volgen.
