Ue, maxi sanzione da 530 milioni di euro a TikTok: «Inviati dati europei in Cina»

I dati dei 175 milioni di cittadini europei che utilizzano TikTok non sono stati gestiti in modo corretto. Anzi, sono finiti illegalmente in Cina. E la società non ha saputo comunicare in modo trasparente la propria policy di privacy ai propri utenti. Una serie di accuse che si riassumono in una cifra: una maxi sanzione da 530 milioni di euro che i regolatori europei hanno imposto oggi, 2 maggio, a TikTok per non aver rispettato le regolamentazione sulla protezione dei dati personali (il Gdpr). Ad aver condotto le indagini, e tratto le conclusioni, è stata la Commissione responsabile della privacy irlandese (Dpc). Perché è in Irlanda, e più precisamente a Dublino, che si trova il quartier generale della società. TikTok ha già annunciato il ricorso: «Oltre al fatto che la Dpc ha omesso in modo sostanziale di considerare le ampie misure di tutela implementate nell’ambito del Progetto Clover (vedremo più avanti di cosa si tratta ndr.), siamo delusi per essere stati gli unici destinatari del provvedimento nonostante operiamo rispettando lo stesso meccanismo legale utilizzato da migliaia di altre aziende che offrono servizi in Europa», ha dichiarato in un lungo comunicato Christine Grahn, responsabile delle politiche pubbliche e delle relazioni governative della società. 

A TikTok sono state imposte due diverse sanzioni: 45 milioni di euro per la mancanza di trasparenza nella policy relativa alla privacy. Secondo l’autorità irlandese, dal 2020 al 2022 TikTok non ha correttamente dichiarato che le informazioni raccolte in Europa venivano inviate al quartier generale, in Cina. Dal 2022 la policy è cambiata per conformarsi alle leggi. Due anni di ritardo, per cui ora dovrà pagare. Ma le due violazioni individuate sono collegate. La seconda sanzione, da 485 milioni di euro, si riferisce proprio al trasferimento illegale dei dati degli europei in Cina. É proprio quest’ultima l’accusa più grave, che ha portato la multa ad essere la terza più alta mai imposta dall’Ue per violazione del regolamento sulla protezione dei dati personali. 

I dati degli europei conservati in Cina

TikTok ha sempre dichiarato che i dati dei cittadini americani ed europei non venivano inviati in Cina. Ma che venivano conservati in data center posti al di fuori del Paese, negli Stati Uniti e Singapore. Ma non basta: per il Gdpr europeo i dati degli europei devono restare in Europa. C’è un’alternativa, contenuta nelle cosiddette «clausole contrattuali tipo», che permette la condivisione internazionale dei dati ed è il documento legale a cui si riferisce Grahn quando parla «lo stesso meccanismo legale utilizzato da migliaia di altre aziende che offrono servizi in Europa». In ogni caso, lo sforzo della società è stato teso in questi anni a soddisfare le richieste dell’Ue. Per questo TikTok ha annunciato, nel 2023, il progetto Clover, per costruire una «enclave europea», un investimento di 12 miliardi e una rete di data center nel nostro continente dove poter conservare le informazioni raccolte qui. Il progetto è stato avviato ed è in fase di sviluppo, ma intanto, sin dal 2021, l’autorità per la privacy irlandese aveva iniziato le indagini per capire se i dati degli europei erano davvero al sicuro. Dopo aver sempre negato possibili trasferimenti in Cina, ad aprile la storia cambia: TikTok avrebbe scoperto e riportato alla Commissione di aver scoperto – lo scorso febbraio – che alcuni dati degli europei sono stati effettivamente conservati in server su suolo cinese. Perché è un problema questo e perché l’Unione europea ha così a cuore la posizione dei dati dei propri cittadini? Perché se i server si trovano in Cina, su quei server – e sui dati in essi conservati – vige la legge cinese. E dunque il governo di Pechino può potenzialmente avere accesso ai dati stessi. TikTok vede questo aggiornamento come una dimostrazione di come il suo progetto Clover stia in realtà funzionando «e sta operando efficacemente per proteggere i dati degli utenti europei. Grazie al sistema di monitoraggio avanzato introdotto con il progetto, i team di TikTok hanno rilevato il problema in modo proattivo. Abbiamo reagito prontamente: i dati sono stati eliminati, i sistemi corretti e il Dpc informato senza ritardi», spiegano.

«Potenziale accesso delle autorità cinesi»

Il sospetto che i dipendenti cinesi potessero avere accesso ai dati di utenti europei c’è da diverso tempo. E la stessa TikTok ha ammesso, nel tempo, che in alcune circostanze ben specifiche questo accesso è consentito. Quando, ad esempio, la visione di questi dati è necessaria per il funzionamento stesso della piattaforma. Ma la conservazione dei dati su server localizzati in Cina è un’ulteriore prova – per i regolamentatori – che gli alti livelli di protezione della privacy richiesti dall’Ue non siano stati rispettati. Non si tratta più, dunque, solo di accesso da remoto da parte di personale cinese, ma anche di «potenziale accesso delle autorità cinesi ai dati personali europei, in base alle leggi cinesi contro il terrorismo, il controspionaggio e altre leggi che TikTok ha identificato come materialmente divergenti dagli standard dell’Ue», spiega il commissario Graham Doyle.

TikTok, da parte sua, ha assicurato che i dati ora sono stati cancellati. E dunque non si trovano più nei server cinesi. Comprensibile la mancanza di fiducia, sulla parola, dei regolamentatori europei: «Stiamo valutando quali ulteriori azioni normative possano essere necessarie, in consultazione con le nostre pari autorità di protezione dei dati dell’Ue». Lato TikTok, è Christine Grahn a commentare e promettere: «Non abbiamo mai ricevuto una richiesta per dati di utenti europei dalle autorità cinesi».