Den irländska dataskyddsmyndigheten (DPC) meddelade den andra maj i år ett beslut rörande TikTok Technology Limited. Teknikjätten har ålagts böter på hela femhundratrettio miljoner euro (5 774 005 500 kr) efter en omfattande utredning. DPC fann att företaget brutit mot dataskyddsförordningen GDPR på flera punkter gällande hanteringen av europeiska användares personuppgifter och deras överföring till Kina.
Merparten av bötesbeloppet, fyrahundraåttiofem miljoner euro, härrör från olagliga dataöverföringar av personuppgifter från EU-användare till Kina. DPC konstaterade att TikTok misslyckats med att verifiera, garantera och demonstrera att uppgifterna, som bland annat var föremål för fjärråtkomst av personal i Kina, åtnjöt en skyddsnivå som är väsentligen likvärdig med den som garanteras inom EU. Företaget hade inte heller tillräckligt bedömt hur kinesisk lagstiftning, såsom lagar om kontraspionage och anti-terrorism, vilka TikTok själva identifierat som avvikande från EU-standard, kunde påverka skyddet för dessa uppgifter.
Utöver detta bötfälldes TikTok med fyrtiofem miljoner euro för brister i transparens gentemot sina användare. Deras Integritetspolicy från oktober 2021 ansågs otillräcklig eftersom den varken tydligt namngav de tredjeländer, inklusive Kina, dit personuppgifter överfördes, eller tillräckligt förklarade arten av de behandlingsåtgärder som utgjorde överföringen, specifikt fjärråtkomst från Kina till data lagrad i Singapore och USA. Denna överträdelse pågick från den tjugonionde juli 2020 till den första december 2022.
Som en del av beslutet har TikTok beordrats att inom sex månader rätta till sina databehandlingsrutiner så att de överensstämmer med GDPR:s krav. Om detta inte sker riskerar företaget att dess dataöverföringar till Kina helt stoppas, efter en period för eventuellt överklagande. Situationen förvärrades av att TikTok i april 2025 meddelade DPC att de upptäckt att begränsad EES-användardata faktiskt hade lagrats på servrar i Kina, tvärtemot tidigare lämnade uppgifter, vilket DPC ser mycket allvarligt på och överväger ytterligare åtgärder kring.
Detta beslut från den irländska dataskyddsmyndigheten markerar en kraftfull åtgärd mot en stor teknikaktör och understryker vikten av att följa GDPR, särskilt när det gäller internationella dataöverföringar och skyldigheten att vara transparent mot användare. DPC betonade att det höga skyddet inom EU måste bibehållas även när data förs ut ur unionen, och att TikToks "Project Clover" inte var tillräckligt för att undvika de korrigerande åtgärderna i detta skede.
__________________________
Se hur vi hjälper klienter att undvika GDPR-sanktioner