Il Garante Privacy dispone nei confronti di Tik Tok il blocco dell’uso dei dati degli utenti per di cui non è accertata con sicurezza l’età anagrafica

Il Garante per la protezione dei dati personali ha disposto nei confronti di Tik Tok il blocco immediato dell’uso dei dati degli utenti per i quali non sia stata accertata con sicurezza l’età anagrafica.
L’Autorità ha deciso di intervenire in via d’urgenza a seguito della terribile vicenda della morte della bambina di 10 anni di Palermo.
Il Garante già a dicembre aveva contestato a Tik Tok una serie di violazioni: scarsa attenzione alla tutela dei minori; facilità con la quale è aggirabile il divieto, previsto dalla stessa piattaforma, di iscriversi per i minori sotto i 13 anni; poca trasparenza e chiarezza nelle informazioni rese agli utenti; uso di impostazioni predefinite non rispettose della privacy.
In attesa di ricevere il riscontro richiesto con l’atto di contestazione, l’Autorità ha deciso comunque l’ulteriore intervento odierno al fine di assicurare immediata tutela ai minori iscritti al social network presenti in Italia.
L’Autorità ha dunque vietato a Tik Tok l’ulteriore trattamento dei dati degli utenti “per i quali non vi sia assoluta certezza dell’età e, conseguentemente, del rispetto delle disposizioni collegate al requisito anagrafico”.
Il divieto durerà per il momento fino al 15 febbraio, data entro la quale il Garante si è riservato ulteriori valutazioni.
Il provvedimento di blocco verrà portato all’attenzione dell’Autorità irlandese, considerato che recentemente Tik Tok ha comunicato di avere fissato il proprio stabilimento principale in Irlanda.

Provvedimento del 22 gennaio 2021
Registro dei provvedimenti
n. 20 del 22 gennaio 2021
IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI
NELLA riunione odierna, alla quale hanno preso parte il prof. Pasquale Stanzione, presidente, la prof.ssa Ginevra Cerrina Feroni, vicepresidente, il dott. Agostino Ghiglia e l’avv. Guido Scorza, componenti, e il cons. Fabio Mattei, segretario generale;
VISTO il Regolamento (UE) n. 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (“Regolamento generale sulla protezione dei dati” - di seguito, “Regolamento”);
VISTO il Codice in materia di protezione dei dati personali, recante disposizioni per l'adeguamento dell'ordinamento nazionale al Regolamento (UE) 2016/679 (d.lgs. 30 giugno 2003, n. 196, come modificato dal d.lgs. 10 agosto 2018, n. 101, di seguito “Codice”);
VISTA la nota n. 47853 del 15 dicembre 2020 – da intendersi qui integralmente richiamata e riprodotta – con la quale l’Ufficio, nell’aprire un formale procedimento nei confronti di Tik Tok (di seguito anche “la Società”), ha contestato alla Società la presunta violazione di alcune disposizioni del Regolamento, rinvenendo forti criticità, fra l’altro, sotto il profilo della corretta base giuridica applicata al trattamento dei dati personali dei suoi utenti, delle modalità di rilascio dell’informativa, del trasferimento dei dati all’estero, del periodo di conservazione dei dati, del rispetto dei principi di privacy by design e by default e, soprattutto, delle forme previste per verificare l’età anagrafica degli utenti medesimi con evidente riferimento, in particolare, ai minori;
VISTA la richiesta di proroga presentata dalla Società in ragione del periodo natalizio e delle difficoltà create dalla pandemia in corso;
RILEVATO che, con l’accettazione di detta richiesta da parte dell’Ufficio, il termine per fornire il riscontro è stato prorogato al 29 gennaio 2021;
PRESO ATTO che, nel frattempo, con nota del 22 dicembre 2020, la Data Protection Commission (DPC), Autorità di controllo irlandese, ha comunicato che Tik Tok Ireland può essere considerato stabilimento principale ai sensi dell’art. 4, par. 16, del Regolamento;
CONSIDERATO che recenti articoli di stampa hanno riportato la notizia del decesso di una bambina di 10 anni a seguito di pratiche emulative messe in atto in relazione alla sua partecipazione alla predetta piattaforma e che l’iscrizione alla stessa non risulta essere stata sin qui smentita dalla Società;
RITENUTO che, in assenza del riscontro richiesto a Tik Tok con la citata nota di apertura del procedimento e quindi di rassicurazioni in ordine all’assunzione di corrette modalità per l’accertamento dell’età anagrafica degli iscritti alla piattaforma, e nelle more degli accertamenti in corso da parte della competente autorità giudiziaria, sia necessario adottare ogni possibile misura a tutela degli utenti che si trovano sul territorio italiano;
CONSIDERATO, in particolare, che l’esame preliminare condotto dall’Ufficio ha evidenziato gravi carenze in ordine alle modalità prescelte dalla Società per accertare l’età anagrafica degli utenti;
VISTI:
- l’art. 24, par. 2, della Carta dei diritti fondamentali dell’Unione europea, ai sensi del quale “in tutti gli atti relativi ai minori, siano essi compiuti da autorità pubbliche o da istituzioni private, l’interesse superiore del minore deve essere considerato preminente”;
- il considerando 38 del Regolamento, in base al quale i minori meritano una specifica protezione relativamente ai loro dati personali in quanto possono essere meno consapevoli dei rischi, delle conseguenze e delle misure di salvaguardia, nonché́ dei loro diritti, soprattutto quando, come nel caso di specie, la raccolta dei dati personali dei minori avviene all'atto dell'utilizzo di servizi forniti direttamente a questi ultimi;
- l’art. 25, paragrafo 1, del Regolamento, che impone al titolare del trattamento di implementare adeguate misure tecniche e organizzative volte ad attuare in modo efficace i principi di protezione dei dati al fine di soddisfare i requisiti del Regolamento e per proteggere i diritti degli interessati;
RITENUTO pertanto che ricorrano nel caso di specie i presupposti di necessità ed urgenza previsti dall’art. 66 del Regolamento, ai sensi del quale “in circostanze eccezionali qualora ritenga che urga intervenire per proteggere i diritti e le libertà degli interessati, un’autorità di controllo può, in deroga al meccanismo di coerenza … adottare immediatamente misure provvisorie intese a produrre effetti giuridici nel proprio territorio con un periodo validità determinato che non supera i tre mesi”;
RAVVISATA, in particolare, la necessità - nelle more del riscontro richiesto e salva ulteriore conseguente valutazione di questa Autorità - di disporre ai sensi dell’art. 58, par. 2, lett. f), nei confronti di Tik Tok in qualità di titolare del trattamento, la misura della limitazione provvisoria del trattamento, dovendo vietare l’ulteriore trattamento dei dati degli utenti che si trovano sul territorio italiano, per i quali non vi sia assoluta certezza dell’età e, conseguentemente, del rispetto delle disposizioni collegate al requisito anagrafico, con effetto immediato dalla data di ricezione del presente provvedimento;
RICORDATO che, in caso di inosservanza della misura disposta dal Garante, trova applicazione la sanzione penale di cui all’art. 170 del Codice e la sanzione amministrativa pecuniaria prevista dall’art. 83, par. 5, lette e), del Regolamento;
VISTA la documentazione in atti;
VISTI gli atti di ufficio e le osservazioni formulate dal segretario generale ai sensi dell’art.15 del regolamento n. 1/2000;
RELATORE l’avv. Guido Scorza;
TUTTO CIÒ PREMESSO IL GARANTE:
a) ai sensi dell’art. 58, par. 2, lett. f) e 66, par. 1 del Regolamento dispone nei confronti di Tik Tok la misura della limitazione provvisoria del trattamento, vietando l’ulteriore trattamento dei dati degli utenti che si trovano sul territorio italiano per i quali non vi sia assoluta certezza dell’età e, conseguentemente, del rispetto delle disposizioni collegate al requisito anagrafico;
b) detta limitazione è disposta, salva successiva ulteriore valutazione, per il tempo necessario a consentire a questa Autorità il recepimento e l’esame del riscontro richiesto con l’atto di contestazione citato in premessa e, che si indica, allo stato, nella data del 15 febbraio 2021;
c) la predetta limitazione ha effetto immediato a decorrere dalla data di ricezione del presente provvedimento e con riserva di ogni ulteriore valutazione da parte del Garante, secondo quanto previsto dal citato art. 66 del Regolamento.
Ai sensi dell’art. 66, par 1, del Regolamento, del presente provvedimento è data tempestiva informazione alle autorità di controllo interessate, al Comitato europeo per la protezione dei dati e alla Commissione europea.
Ai sensi dell’art. 78 del Regolamento, nonché degli artt. 152 del Codice e 10 del d. lgs. 1° settembre 2011, n. 150, avverso il presente provvedimento può essere proposta opposizione all’autorità giudiziaria ordinaria, con ricorso depositato al tribunale ordinario del luogo ove ha la residenza il titolare del trattamento dei dati, entro il termine di trenta giorni dalla data di comunicazione del provvedimento stesso, ovvero di sessanta giorni se il ricorrente risiede all’estero.
Roma, 22 gennaio 2021
IL PRESIDENTE
Stanzione
IL RELATORE
Scorza
IL SEGRETARIO GENERALE
Mattei