TikTok multata per 530 milioni di euro dall'UE: trasferimenti illegali di dati degli utenti verso la Cina

L'Irish Data Protection Commission (DPC) ha reso pubblica la decisione di multare TikTok di 530 milioni di euro. La sanzione arriva al termine di un'inchiesta avviata per verificare la conformità di TikTok al Regolamento generale sulla protezione dei dati (GDPR), in particolare riguardo al trasferimento di dati degli utenti dello Spazio Economico Europeo (SEE) verso la Cina. L'indagine ha anche esaminato la trasparenza con cui la piattaforma ha comunicato agli utenti queste operazioni.

Il verdetto è chiaro: TikTok ha violato il GDPR su due fronti. Da un lato, non è stata in grado di dimostrare che i dati trasferiti in Cina fossero adeguatamente protetti secondo gli standard europei. Dall'altro, non ha informato in modo sufficiente gli utenti su queste attività di trattamento, in particolare nel periodo tra luglio 2020 e dicembre 2022.

Secondo la DPC, TikTok non ha adottato misure efficaci per garantire che i dati degli utenti europei, accessibili da dipendenti cinesi attraverso sistemi remoti, fossero protetti da eventuali interferenze delle autorità cinesi. Le leggi cinesi in materia di antiterrorismo, controspionaggio e cybersicurezza sono state considerate non compatibili con gli standard di protezione dei dati dell'UE.

L'ente irlandese ha comminato una multa complessiva di 530 milioni di euro: 45 milioni per le carenze informative e ben 485 milioni per le irregolarità nei trasferimenti internazionali. Inoltre, TikTok ha sei mesi di tempo per adeguarsi alle regole europee: se non sarà in grado di dimostrare la conformità, l'autorità potrà sospendere del tutto i trasferimenti di dati verso la Cina.

Nel corso dell'indagine, TikTok aveva inizialmente dichiarato di non archiviare dati europei su server situati in Cina. Tuttavia, nell'aprile 2025 ha rivelato di aver scoperto, due mesi prima, che una quantità limitata di dati era stata effettivamente conservata su server cinesi - una scoperta che ha contraddetto le precedenti dichiarazioni fornite all'autorità. L'azienda ha comunicato che i dati sono stati eliminati, ma la DPC ha annunciato ulteriori valutazioni per possibili azioni aggiuntive.

TikTok ha implementato alcuni cambiamenti, inclusi quelli legati al cosiddetto "Project Clover", che mira a rafforzare la protezione dei dati in Europa. Tuttavia, per l'autorità europea, queste modifiche non sono state sufficienti a evitare la sanzione.

Si tratta della terza sanzione più alta comminata per la violazione del GDPR, dopo le precedenti multe di 1,2 miliardi di euro contro Meta e di 746 milioni di euro contro Amazon. TikTok è già stata nel mirino dell'autorità di regolamentazione irlandese: nel settembre 2023 fu multata di 345 milioni di euro per presunte violazioni nella gestione dei dati personali dei minori.