TikTok ukarany przez UE grzywną w wysokości 530 mln euro. Grozi zawieszenie transferów danych do Chin

Unia Europejska nałożyła na TikToka karę w wysokości 530 mln euro za naruszenia w zakresie ochrony danych użytkowników — informuje agencja Reuters, powołując się na irlandzki urząd ochrony danych osobowych (DPC). Regulator ostrzega też, że jeśli firma nie dostosuje się do unijnego prawa w ciągu sześciu miesięcy, transfer danych do Chin zostanie zawieszony.

UE grozi TikTokowi zawieszeniem transferu danych do Chin

Według komunikatu DPC, platforma należąca do chińskiego ByteDance nie była w stanie wykazać, że dane użytkowników z UE są odpowiednio chronione przed potencjalnym dostępem ze strony chińskich władz. Problemem było m.in. zdalne przetwarzanie danych przez pracowników spoza Europy, co stawia pod znakiem zapytania zgodność z unijnym prawem.

W ramach śledztwa ws. przestrzegania przepisów RODO firma zapewniała, że dane z UE nie są przechowywane w Chinach, jednak w lutym 2025 roku ujawniono przypadek ich ograniczonego magazynowania na serwerach w tym kraju. Według DPC ta sytuacja może wymagać dalszych działań regulacyjnych.

Reakcja TikToka

TikTok nie zgadza się z decyzją regulatora i zapowiedział odwołanie. Firma podkreśla, że stosuje się do europejskich standardowych klauzul umownych (SCC), a dostęp zdalny do danych jest ściśle kontrolowany. Przedstawiciele platformy twierdzą, że decyzja nie uwzględnia środków bezpieczeństwa wdrożonych od 2023 roku, w tym migracji danych do centrów danych w Europie i USA oraz wewnętrznego monitoringu.

TikTok dodaje, że nigdy nie otrzymał żadnego żądania przekazania danych użytkowników z UE od chińskich władz i że nigdy takich danych nie przekazał.

Kontekst regulacyjny i wcześniejsze kary

To już druga grzywna dla TikToka w Europie. W 2023 roku firma została ukarana przez DPC kwotą 345 mln euro za nieprawidłowości związane z danymi dzieci. Irlandzki organ pełni rolę głównego regulatora dla wielu firm technologicznych, które mają swoje europejskie siedziby właśnie w tym kraju.

Zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO), regulatorzy mogą nakładać kary wynoszące do 4% globalnych przychodów firmy. DPC korzystał już z tych uprawnień wobec takich podmiotów jak Meta, Microsoft czy X (dawny Twitter).