Una sanzione da 153,7 milioni di real, circa 30 milioni di dollari, colpisce ByteDance per il modo in cui TikTok ha raccolto e utilizzato i dati personali di bambini e adolescenti in Brasile. Il provvedimento dell’Agenzia nazionale per la protezione dei dati è comparso sulla Gazzetta Ufficiale del 25 agosto e porta con sé, oltre al pagamento, l’ordine di eliminare tutte le informazioni acquisite senza un valido fondamento giuridico. Si tratta della prima sanzione di peso applicata dall’autorità brasiliana a un’impresa nel quadro della LGPD, la legge generale sulla protezione dei dati costruita sullo stesso impianto del regolamento europeo.
Cosa contesta l’autorità brasiliana a ByteDance
La Sovrintendenza di vigilanza dell’agenzia ha individuato cinque violazioni degli articoli 6, commi VIII e X, e 7 della legge, distribuite su due modalità di accesso alla piattaforma. La prima è il feed consultabile senza creare un profilo, quello che chiunque può scorrere aprendo l’applicazione o una pagina del sito. Qui i tecnici hanno rilevato trattamento di dati personali di minori privo di base giuridica e l’assenza di qualsiasi misura destinata a impedirlo. La seconda modalità riguarda il feed accessibile dopo la registrazione, dove le contestazioni toccano i dati raccolti durante l’apertura dell’account e l’inefficacia dei meccanismi che avrebbero dovuto bloccare l’iscrizione di questo pubblico. Una quinta violazione, che attraversa entrambe le esperienze, riguarda l’accountability, perché la società non è riuscita a dimostrare con evidenze concrete che le misure tecniche e organizzative adottate funzionassero davvero.
La notifica alla società è arrivata il 24 agosto e da quel momento decorrono dieci giorni utili per presentare ricorso al Consiglio direttivo dell’Agenzia.
Il punto che ha attirato l’attenzione degli osservatori riguarda l’accesso senza registrazione. Stabilire che anche la fruizione anonima costituisce trattamento di dati personali di minori sposta il perimetro degli obblighi oltre il confine dell’utente iscritto, con conseguenze immediate per chiunque progetti prodotti digitali dotati di aree consultabili senza login.
Il peso dei 7,75 milioni di account rimossi
Per misurare quanto fosse fragile il controllo anagrafico, il rapporto tecnico ha usato numeri forniti dalla piattaforma stessa.
Tra ottobre 2022 e settembre 2023 TikTok ha cancellato 7,75 milioni di account riconducibili a bambini sotto i tredici anni in Brasile, una cifra che l’agenzia ha letto come prova della facilità con cui le barriere iniziali venivano superate. Il sistema poggiava esclusivamente sull’autodichiarazione dell’età, un metodo che qualunque ragazzino può manipolare digitando una data di nascita diversa dalla propria, e l’intervento della società arrivava sempre a valle, quando il profilo era già stato creato e i dati erano già stati raccolti. Per i valutatori dell’ANPD quella dinamica descrive un’azione reattiva, incapace di evitare all’origine il trattamento contestato.
Come cambia TikTok in Brasile con il piano di conformità
In sede di ricorso il Consiglio direttivo ha approvato il piano di conformità presentato dalla società, che ridisegna in profondità l’esperienza offerta sul mercato brasiliano. Agli utenti sotto i sedici anni verranno applicate d’ufficio le impostazioni di privacy più restrittive, modificabili soltanto con l’autorizzazione di chi esercita la responsabilità genitoriale, mentre gli strumenti di supervisione parentale e i filtri sui contenuti verranno rafforzati. La trasformazione più visibile riguarda l’accesso senza account, dove la pubblicità viene sospesa integralmente in Brasile, la sessione si ferma dopo dodici ore, la personalizzazione dei contenuti si riduce al minimo e il materiale visibile resta circoscritto a quello adatto a tutte le età.
Chi entra senza iscriversi perde la possibilità di pubblicare video, commentare, inviare messaggi diretti, seguire altri profili o assistere alle dirette.
La raccolta di informazioni scende a lingua e regione per la pertinenza dei contenuti, ai dati di base sul dispositivo per la protezione antifrode e ai parametri utili alle prestazioni dell’applicazione. Il Consiglio direttivo ha precisato che l’approvazione del piano lascia intatti gli obblighi di accertamento dell’età previsti dallo Statuto digitale del bambino e dell’adolescente, da rispettare secondo il calendario fissato dall’agenzia e le indicazioni che confluiranno nella guida orientativa sui meccanismi di verifica anagrafica. Nelle settimane precedenti la stessa autorità aveva ordinato a Discord la sospensione delle dirette in streaming sulla piattaforma.
