TikTok heeft een boete van 5 miljoen euro gekregen van de Commission Nationale de l’Informatique et des Libertés (CNIL). Het Chinese sociale netwerk maakte het volgens de Franse toezichthouder onnodig moeilijk om cookies te weigeren op de website. Dat is in strijd met de Franse privacywetgeving.
CNIL kondigt de boete aan via een persbericht.
Cookies accepteren was makkelijker dan cookies weigeren
Tussen mei 2020 en juni 2022 voerde de Franse toezichthouder meerdere onderzoeken uit op de website van TikTok. Onderzoekers constateerden in die periode dat het platform een knop op de site toonde waarmee het mogelijk was om alle cookies te accepteren. Een knop om alle cookies te weigeren daarentegen was nergens te vinden. “Er waren meerdere klikken nodig om alle cookies te weigeren, in tegenstelling tot slechts één om ze te aanvaarden”, aldus CNIL.
Door enkel een knop aan te bieden om alle cookies te aanvaarden, ontmoedigde TikTok bezoekers om cookies af te wijzen. Hierdoor maakt het bedrijf inbreuk op de vrijheid van toestemming, wat is vastgelegd in artikel 82 van de Franse gegevensbeschermingswet. Verder meent de toezichthouder dat TikTok bezoekers onvoldoende informeerde over de gegevens die de cookies verzamelden.
Franse toezichthouder gemachtigd om boete uit te delen
Het euvel is inmiddels verholpen. In februari 2022 introduceerde het Chinese sociale netwerk de optie om alle cookies met één druk op de knop te weigeren. Daarmee ontkomt het platform echter niet aan een bestuurlijke boete. CNIL heeft bepaald dat een boete van 5 miljoen euro op zijn plaats is.
Voor de hoogte van het bedrag heeft de toezichthouder gekeken naar de ernst van de inbreuken en het aantal personen dat daarbij betrokken was. Het feit dat medewerkers van CNIL TikTok meerdere malen op de overtreding heeft gewezen, speelde eveneens een rol bij de boetebepaling.
Ondanks dat het hoofdkantoor van TikTok in Dublin staat, mag de Franse toezichthouder een boete uitdelen. Dat komt omdat de boete niet voortvloeit uit een overtreding van de Algemene Verordening Gegevensbescherming (AVG). De Franse gegevensbeschermingswet is gebaseerd op de E-privacyverordening, waardoor het one-stop shop mechanisme of éénloketmechanisme niet van toepassing is.
TikTok heeft nog niet gereageerd op de boete van CNIL. Het is dus onduidelijk of het bedrijf bezwaar aantekent.
Grote zorgen over privacyinbreuk door TikTok
TikTok ligt al geruime tijd onder vuur als het om onze privacy gaat. Vorig jaar zomer vroegen Amerikaanse Senatoren aan de Federal Trade Commission (FTC) om een onderzoek in te stellen naar het platform. TikTok CEO Shou Zi Chew had vlak daarvoor toegegeven dat een beperkt aantal medewerkers toegang had tot de data van Amerikaanse gebruikers. De Senatoren meenden dat TikTok hierdoor een “onaanvaardbaar risico” vormde voor de nationale veiligheid van het land.
In augustus ontdekte beveiligingsonderzoeker Felix Krause dat de in-app webbrowser van TikTok een JavaScript-code injecteert die bijhoudt welke websites gebruikers bezoeken. Verder registreert de code alle toetsaanslagen, waardoor mogelijk privacygevoelige data bij het bedrijf terechtkomen. Diverse Tweede Kamerleden vonden dit onacceptabel. De ChristenUnie was dusdanig bezorgd dat ze staatssecretaris van Digitalisering Alexandra van Huffelen vroeg om een verbod in te stellen voor de TikTok-app in Nederland.
Tot slot zijn er zorgen over de nieuwe privacyvoorwaarden van TikTok. Daarin staat onder meer dat het bedrijf sinds december 2022 data van Nederlandse gebruikers met China mag delen. Het gaat niet alleen om profielinformatie, persoonlijke berichten en andere content, en contactinformatie. Volgens de nieuwe voorwaarden mag TikTok tevens apparaat- en locatiegegevens, IP-adres en de persoonlijke zoekgeschiedenis van gebruikers verzamelen en delen. Dat leidde tot grote zorgen bij diverse fracties in de Tweede Kamer.
Nederlandse stichtingen dienen massaclaims in tegen TikTok
TikTok kan zich voorbereiden op meerdere rechtszaken die door Nederlandse partijen zijn aangespannen. Stichting Onderzoek Marktinformatie (SOMI) diende in juni 2021 een schadeclaim in tegen het sociale netwerk. De stichting eist Een Schadevergoeding Van 1,4 miljard euro wegens het overtreden van Europese privacy- en consumentenwetgeving. Verder meent SOMI dat TikTok niet voldoet aan de transparantieverplichtingen die voortvloeien uit de AVG.
Stichting Take Back Your Privacy sleepte samen met de Consumentenbond in augustus 2021 TikTok voor de rechter. “TikTok heeft op schandalige wijze misbruik gemaakt van soms nog hele jonge kinderen. Het heeft ze misleid, hun privacy geschonden en over hun rug grove winst gemaakt. Pure uitbuiting, die gecompenseerd moet worden. En wel op een manier die ook afschrikkend werkt voor andere bedrijven die hetzelfde doen”, vertelde Sandra Molenaar, directeur van de Consumentenbond, over de rechtszaak. De organisaties eisen een schadevergoeding van in totaal ruim 2 miljard euro.
Tot slot meent Stichting Massaschade & Consument dat TikTok te veel gegevens van gebruikers verzamelt met als doel om gebruikersprofielen te creëren. Op deze manier wil het platform persoonsgerichte advertenties voorschotelen. De stichting meent dat TikTok daarbij allerlei nationale en internationale wetten en regels overtreedt. Zo is het bedrijf niet open en eerlijk over welke gegevens het verzamelt en voor welke doeleinden dat gebeurt. De stichting eist daarom een schadevergoeding van 6 miljard euro.
TikTok probeerde de massaclaims in de kiem te smoren met het argument dat het hoofdkantoor in Ierland staat. Daarom zouden de Nederlandse stichtingen niet gemachtigd zijn om een rechtszaak aan te spannen. De rechtbank van Amsterdam ging daar niet in mee en oordeelde dat de stichtingen wel degelijk een massaclaim mogen indienen tegen het bedrijf. De inhoudelijke behandeling staat gepland voor volgende maand.
