Ierse toezichthouder onderzoekt TikToks dataverzameling en datadeling met China

De Ierse Data Protection Commission wil met twee onderzoeken naar TikTok kijken of het bedrijf zich houdt aan de AVG. Met het eerste onderzoek zal de DPC kijken naar hoe TikTok data van kinderen verzamelt. Het tweede onderzoek is gericht op data die naar China gestuurd wordt.

Bij het onderzoek naar kinderdata kijkt de DPC naar verschillende onderdelen van dataverzameling. Zo wil de toezichthouder onderzoeken of TikTok data van gebruikers onder de achttien jaar wel verzamelt en verwerkt op een manier die onder de AVG is toegestaan. Daarnaast gaat de DPC kijken naar de leeftijdsverificatiemethodes die het sociale medium inzet voor kinderen onder de dertien jaar. Bij dit onderzoek wordt ook gekeken naar hoe transparant TikTok is over het verwerken van persoonlijke data van gebruikers jonger dan achttien jaar.

Over het tweede onderzoek geeft de DPC vooralsnog minder details. De toezichthouder zegt met dit tweede onderzoek te willen kijken naar persoonlijke data die TikTok naar China stuurt. Daarbij ligt de focus op de vraag of TikTok aan de AVG voldoet door deze persoonlijke data naar buiten de Europese Unie te sturen. De Ierse privacytoezichthouder geeft niet aan hoelang de onderzoeken moeten duren.

Tegen de Financial Times zegt TikTok 'uitgebreid beleid en controles' in te zetten om gebruikersdata te kunnen beschermen. Daarnaast zou het bedrijf toegestane methodes gebruiken om data buiten de EU te verplaatsen. Het platform zegt samen te willen werken met de DPC.

TikTok ligt in verschillende landen onder vuur vanwege privacykwesties. Zo legde de Autoriteit Persoonsgegevens in juli een AVG-boete op aan TikTok vanwege de Engelstalige privacyverklaring. In januari eiste de Italiaanse privacywaakhond dat TikTok alle accounts blokkeerde waarvan de leeftijd nog niet was geverifieerd. In Nederland lopen ook drie rechtszaken tegen TikTok waarin miljarden worden geëist.

Reacties (28)

Bericht op tweakers van eergisteren: nieuws: Iers rapport: slechts 2 procent van GDPR-zaken tegen Big Tech is afge...

De ierse toezichthouder loopt gigantisch achter met onderzoeken naar big tech. Als ik dit artikel dus lees moet je je afvragen wanneer ze dit dan gaan onderzoeken aangezien ze gigantisch achterlopen met andere onderzoeken en niet voldoende capaciteit hebben.

Bericht op tweakers van eergisteren: nieuws: Iers rapport: slechts 2 procent van GDPR-zaken tegen Big Tech is afge...

De ierse toezichthouder loopt gigantisch achter met onderzoeken naar big tech. Als ik dit artikel dus lees moet je je afvragen wanneer ze dit dan gaan onderzoeken aangezien ze gigantisch achterlopen met andere onderzoeken en niet voldoende capaciteit hebben.

Logisch dat ze gigantisch achter lopen, maar dat is een gevolg door de stricte regels. Stricte regels betekenen moeilijk en veel werk, ook als ze genoeg personeel hebben...

Of het gevolg van veel overtredingen. Als niemand zich aan de regels houdt heb je minder kans om gestraft te worden.

Of bedrijven zijn gewoon te laks in het doorvoeren van de GDPR? Kijk maar naar deze techsite tweakers.net hoelang die niet de AVG heeft overtreden met de cookiewall. Het is dat mensen geklaagd hebben en zelfs klachten bij de Authoriteit Persoonsgegevens hebben ingediend anders zou tweakers nog steeds een cookiewall hanteren denk ik.

Ik vind dat de authoriteiten veel harder op moeten treden met boetes, maar ook vergoedingen moeten afdwingen voor de gebruikers. Dit om een signaal te geven dat de nonchalante houding van bedrijven niet meer getolereerd wordt en dat iedereen genoeg tijd heeft gehad om te voldoen aan deze wetgeving en wie dat niet doet moet maar maar boetes krijgen, die zijn er niet voor niets ook.

Oorzaken als te weinig personeel, te weinig kennis, te weinig geld, veranderende prioriteiten en veel meer mogelijke overtredingen dan verwacht kunnen ook meespelen.

Stricte regels betekenen moeilijk en veel werk, ook als ze genoeg personeel hebben...

veel werk, ook als ze genoeg personeel hebben, klinkt tegenstrijdig. als je met huidige aantal mensen het niet voor elkaar krijgt heb je er te weinig.

@kodak te weinig kennis zal misschien ook meer meespelen.
Om die reden kun je dit soort onderzoeken naar grote bedrijven beter centraal binnen een EU waakhond houden. Daar kun je dan meer kennis toevoegen, meer mensen en meer kennis en mensen maakt het denk ik eenvoudiger.
Of de waakhonden moeten gewoon meer samenwerken, wat ze soms al doen maar schijnbaar nog te weinig.

Het klopt dat je met meer mensen doorgaans het werk sneller gedaan krijgt, maar dat is ook maar tot een bepaald limiet en enkel wanneer er minimale toevoeging van communicatie is (meer mensen die aan hetzelfde werken, dus meer communicatie). Het boek "The Mythical Man-Month" is focussed op dit probleem in het software engineering wereldje, maar gaat natuurlijk ook op in het onderzoeks gedeelte.

Klopt meer mensen ligt totaal aan de situatie. Je kan elkaar in de weg lopen maar zet 10 naaisters of 1000 naaisters in een steeds grotere ruimte en je kan echt meer doen.

Uiteindelijk gaat het hier om onderzoek, wat je in delen kan opdelen door extra mensen toe te voegen kun je weer extra controle inbouwen. Maar als je zoals in Ierland gewoon zo veel achter loopt heb je gewoon te weinig mensen voor de verschillende klachten.

Klopt een team van 30 man zal niet dubbel zoveel werk aankunnen als een team van 15 man in bijvoorbeeld een onderzoek.
Maar twee teams van 15 man kunnen wel dubbel zoveel onderzoeken doen als één team van 15 man.

[...]
veel werk, ook als ze genoeg personeel hebben, klinkt tegenstrijdig. als je met huidige aantal mensen het niet voor elkaar krijgt heb je er te weinig.

Dat ze veel moeten zoeken, goed opletten, geen fouten maken, enzovoort en bovenal stress door bijvoorbeeld opgelegd deadlines. Ik vind dat ze rustig mogen werken, want door stress kun je makkelijk fouten maken.

[Reactie gewijzigd door Dark Angel 58 op 15 september 2021 12:43]

Dit was precies wat ik dacht. Leuk dat ze een onderzoek starten maar zoals het er nu naar uit ziet, is dat na 10 jaar nog niet afgerond.

Wel leuk om te zien aan de kaart van de Ieren (hoofdletter i) hoe ze over UK denken door ze gewoon weg te laten.

Maak een raamwerk waarin een 'social'media app aan moet voldoen. en geef exact aan welke data wel en niet verzameld (en gedeeld) mag worden.
Wil je een social media app (of elke app die privacy data verzameld/analyseerd/deelt) in de EU lanceren?
Mooi, dan moet deze eerst getoetst worden door een onafhankelijke commissie op privacy/veiligheid, daarna mag je het lanceren als deze voldoet.

Maak een raamwerk waarin een 'social'media app aan moet voldoen. en geef exact aan welke data wel en niet verzameld (en gedeeld) mag worden.
Wil je een social media app (of elke app die privacy data verzameld/analyseerd/deelt) in de EU lanceren?
Mooi, dan moet deze eerst getoetst worden door een onafhankelijke commissie op privacy/veiligheid, daarna mag je het lanceren als deze voldoet.

Top idee.. want inderdaad de regels liggen er al wel maar social media bedrijven blijken in verschillende maten zich er simpelweg niet aan te houden.

[Reactie gewijzigd door Zyphlan op 15 september 2021 09:53]

Klinkt leuk maar wat als je daarna data toch gaat delen met china of andere landen. Je bent door de begin controle gekomen om daarna weer iets anders te doen.

Probleem is dat dit soort onderzoeken nu ondergebracht is bij het land waar je je hoofdvestiging in de EU hebt. Toevallig voor veel big tech Ierland. Probleem daar is zie bericht tweakers 2 dagen geleden. Onderbezetting, men loopt veel achter met dit soort onderzoeken.
In artikel 2 dagen gelden ook voorbeeld dat men lage boete gaf en pas onder druk van andere toezichthouders is die verhoogd.

Brengt privacy onder bij een eu toezichthouder voor bedrijven die in de hele eu werken. Geef het voldoende geld zodat ze snel kunnen werken en indien nog boetes kunnen uitdelen.

Eerst toetsen is niet te doen. Hoe moet je dat als kleine app bouwer doen, dan wachten op de goedkeuring en daarna kun je de app met een update weer anders laten werken. Je moet je gewoon aan de regels houden, zo niet moet er een toezichthouder zijn met voldoende capaciteit die snel kan ingrijpen.

Er moet sowieso veel meer op EU niveau geregeld gaan worden. Maar probeer dat maar eens voor elkaar te krijgen bij alle individuele landjes in de EU. Iedereen is bang voor de populisten die hier garen bij spinnen. Maar het is de enige oplossing voor dit probleem (en ook voor vele andere problemen). We ontkomen er niet aan dat we de EU echt als 1 land gaan zien als we een rol van betekenis willen blijven houden in de wereld.

Als je daarna data toch deelt (lees niet voldoet aan de voorwaarden), dan wordt de app verboden, dan tenslotte niet meer.

Het gaat alleen om apps die privacy gevoeilige data delen. Als kleine app bouwer zal je veel minder moeite hebben om te voldoen dan digitale internationele instituten als facebook, twitter of google.

Klinkt eenvoudig maar dan moet er eerst weer bewezen worden dat je dat deelt, hoe je dat doet met wie. m.a.w dat moet onderzocht worden. Gebeurt het structureel of was het een "foutje"
Probleem is bewijsvoering kost tijd en geld.

Wil je een social media app (of elke app die privacy data verzameld/analyseerd/deelt) in de EU lanceren?
Mooi, dan moet deze eerst getoetst worden door een onafhankelijke commissie op privacy/veiligheid, daarna mag je het lanceren als deze voldoet.

En nu gaat het dus anders, nu mogen de app makers doen wat ze willen, maar kunnen de privacy-organen (DPC, ACM) een onderzoek starten wanneer ze willen een bij overtreding kunnen ze een boete uitdelen. Het verschil is dus de verantwoordelijkheid om te checken of de app voldoet aan de regels. Nu ligt die verantwoordelijkheid bij de app makers, in jouw voorstel ligt die bij de overheidsorganen.
Het nadeel van jouw voorstel is dat alle apps (duizenden elk jaar?) dus van tevoren een langdurig traject in moeten om gecertificeerd te worden. Dat terwijl de wereld van apps supersnel gaat. Een DPC en een ACM hebben helemaal niet de capaciteit om alle apps 1x van tevoren te checken. Laat staan elke keer als er weer wat wordt veranderd aan een app (wat natuurlijk elke maand of zelfs elke week gebeurt). Dan zal je zien dat Europa ontzettend achter zal lopen bij de rest van de wereld. Op termijn misschien zelfs dat app makers Europa links zullen laten liggen.
Dezelfde discussie speelt in de film Dark Waters, maar dan over de chemische industrie. Als alle nieuw ontwikkelde stoffen eerst door de Amerikaanse EPA of het Nederlandse RIVM ofzo gecheckt hadden moeten worden... Die hebben misschien de capaciteit om 1% van alle ontwikkelde stoffen te checken. Goeie manier om innovatie de nek om te draaien. Even hard gezegd 😉. Niet dat de huidige manier echt lekker loopt, dat wordt uit de film wel duidelijk...

Langdurig traject hoeft niet. Het gaat om data deling. Soewieso weten app bouwers af van de voorwaarden (raamwerk) waar een app aan moet voldoen. Een app bouwer zal dan wel rekening moeten houden met bepaalde protocollen (om snelle beoordeling/toetsing) mogelijk te maken.

Controle op data deling zou ook veel strenger moeten - vooral dan data deling met derden door bijv. facebook of google.

Langdurig traject hoeft niet. Het gaat om data deling. Soewieso weten app bouwers af van de voorwaarden (raamwerk) waar een app aan moet voldoen. Een app bouwer zal dan wel rekening moeten houden met bepaalde protocollen (om snelle beoordeling/toetsing) mogelijk te maken.

Controle op data deling zou ook veel strenger moeten - vooral dan data deling met derden door bijv. facebook of google.

Ik denk dat je je daar in vergist. Om van de ACM te verlangen dat ze in de broncode van TikTok gaan kijken of alle aspecten van de AVG worden meegenomen, dat is niet te doen. Zeker niet als er honderden zo niet duizenden van die apps elk jaar worden gemaakt (die je, voordat ze uberhaupt in een store komen, wil checken toch?).
Als je het snel wilt hebben, wordt het al snel "yo Bytedance, vink even dit lijstje af of je dit allemaal heb geïmplementeerd". Dan wordt het een papieren tijger.

Nee, dit moet je ook EU-breed regelen. Dit is eigenlijk nog het meest lastige aspect gezien de enorme invloed maar vooral ook rol dat bedrijven als google en facebook toebedeeld krijgen door nationale overheden. Het voedt elkaar.

Dat raamwerk zou er dan al moeten zijn.

Het is best raar dat partijen als Facebook maar ook instagram het al jaren doen, werd je zelfs op basisschool uitgelegd hoe je facebook moest aanmaken,
micrsoft met hotmail/messenger,
google/android heeft ook een hele berg want tiktok moet je downloaden van Play, en praktisch elke telefoon heeft een google-account,

maar ondertussen symbolisch net doen alsof Tiktok het alleen verkeerd doet.


Het is prima als Tiktok een boete krijgt van hier tot tokyo,
maar alleen als het precedent is om met terugwerkende kracht de andere partijen ook te beboeten. Anders kan de hele privacy-wet de vuilnisbak in als politieke motieven de motivatie zijn en niet de gegevens van de burgers zelf.

Dat is precies mijn punt. Er wordt selectief behandeld en gehandeld Het is al heel lang dat google en facebook een status aparte hebben als digitale instituten (digitale overheden) m.b.t. (privacy) data vergaring en data deling. De symbolische boetes die ze keer op keer krijgen voor schendingen van afspraken of wetgeving zouden bij andere bedrijven allang hebben geleid tot een verbod of strafrechtelijke vervolging..

De afhankelijkheid van nationale overheden aan bedrijven zoals google of facebook is een groot gevaar. Als je ziet welke invloed ze hebben binnen de EU is eng.

Klinkt leuk voor big-tech. Maar dat zijn al de gevestigde apps.
Nieuwe apps komen met bosjes van kleine bedrijfjes. Moeten al die apps met mogelijk sociale elementen en dataverzameling/ -verwerking eerst beoordeeld worden? Dan mag je daar wel een gigantische commissie voor oprichten wil je dat allemaal in acceptabele tijd kunnen doen.
En die toetsing zegt nog niets. Stel zo'n app-maker heeft alles tip-top voor elkaar voor de maximaal tienduizenden gebruikers die hij in zijn stoutste dromen verwacht te krijgen. Wanneer zijn app explodeert en hij een paar miljoen gebruikers krijgt, betekent dit dat hij zijn hele back-end anders in moet richten en dus de initiële beoordeling bij de toelating niets meer waard is.

Hebben ze dat ook al gedaan met alle grote Amerikaanse bedrijven. Met name Apple, Facebook, Google en Microsoft? Alle informatie die door deze firma's wordt opgeslagen kunnen denkelijk zonder problemen worden ingezien door de NSA (is toch een Amerikaanse overheidsdienst die zich bezighoud om alles en iedereen in de gaten te houden).

Vergeet ook niet dat de Amerikaanse overheid alle data kan inzien met een geheime aanvraag die door een geheime rechter wordt goedgekeurd.

Wat een geklets over niets. Ik ben veel banger voor de Westerse overheden dan de Chinese en Russische geheime diensten.

Persoonlijk ben ik er even bang voor. De valse naiviteit om te denken dat een grootmacht als de VS andere doelstellingen heeft dan een grootmacht als China (behoud en uitbreiding van invloed/macht) is pijnlijk.
Met afluisterschandalen tijdens de TTIP onderhandelingen kwam dit ook goed naar voren.

Het tweede onderzoek is gericht op data die naar China gestuurd wordt.

Persoonsgegeven mogen toch alleen de EU uitgestuurd worden als het ontvangende land wettelijk waarborgen heeft betreffende de privacy en verwerking van deze gegevens?
Met de USA is dit natuurlijk bekend om de ongeldig verklaarde Safe Harbor wetgeving welke daarna is opgevolgd door de Privacy Shield wetgeving.
Met bijvoorbeeld Japan is er zelf een overeenkomst gesloten om persoonsgegevens van de EU naar Japan te mogen sturen en daar verwerken. Zie bijvoorbeeld: nieuws: EU acht Japanse wetgeving voor bescherming persoonlijke data gelijkwa...

Hoe zit dit dan met China? Volgens mij mogen persoonsgegevens niet zomaar naar China gestuurd worden, want er is geen enkele wettelijke waarborg voor deze persoonsgegevens en de verwerking daarvan. Zijn alle gegevens die door tiktok naar China verstuurd worden dan niet in strijd met de GDPR?