TikTok оштрафован на 530 миллионов евро за отправку данных европейских пользователей в Китай

Ирландская комиссия по защите данных (DPC) оштрафовала компанию TikTok на 530 миллионов евро (более 601 миллиона долларов) за незаконную передачу персональных данных пользователей из Европейской экономической зоны (ЕЭЗ) в Китай в нарушение правил защиты данных GDPR Европейского союза.

Административные штрафы, наложенные ирландским надзорным органом, включают в себя штраф в размере 485 миллионов евро за нарушение статьи 46(1) GDPR в отношении законности передачи данных в Китай и штраф в размере 45 миллионов евро за нарушение статьи 13(1)(f) в отношении отсутствия прозрачности.

TikTok также было предписано привести обработку данных в соответствие с требованиями закона в течение шести месяцев, при этом DPC планирует приостановить всю передачу данных в Китай, если компания не обновит свою политику в срок.

Представители DPC отметили, что проблема выходит за рамки расположения серверов и связана с риском того, что китайские власти могут получить доступ к данным европейских пользователей в соответствии с внутренними законами о терроризме и шпионаже, что противоречит стандартам ЕС.

«Передача персональных данных TikTok в Китай нарушила GDPR, поскольку TikTok не проверила, не гарантировала и не продемонстрировала, что персональным данным пользователей из ЕЭЗ, к которым удаленно обращались сотрудники в Китае, был обеспечен уровень защиты, по сути эквивалентный тому, который гарантируется в ЕС», - заявил заместитель комиссара DPC Грэм Дойл.

«В результате того, что TikTok не провел необходимых оценок, TikTok не рассмотрел потенциальный доступ китайских властей к персональным данным ЕЭЗ в соответствии с китайскими законами о борьбе с терроризмом, шпионажем и другими законами, которые, по мнению TikTok, существенно отличаются от стандартов ЕС».

В DPC добавили, что в ходе расследования TikTok утверждал, что не хранит данные пользователей из Европейской экономической зоны (ЕЭЗ) на серверах, расположенных в Китае.

Однако в апреле 2025 года TikTok сообщила, что в феврале 2025 года обнаружила, что некоторые данные пользователей из ЕЭЗ хранились на серверах в Китае, что противоречит предыдущим заявлениям компании.

«DPC очень серьезно относится к недавним событиям, связанным с хранением данных пользователей ЕЭЗ на серверах в Китае», - говорится в заявлении Дойла, опубликованном в пятницу. «Хотя TikTok сообщил DPC, что данные уже удалены, мы рассматриваем вопрос о том, какие дальнейшие меры регулирования могут быть оправданы, в консультации с нашими коллегами из органов по защите данных ЕС».

TikTok обжалует решение DPC

Однако Кристин Грен, руководитель отдела по связям с общественностью и правительством TikTok в Европе, заявила, что компания не согласна с решением DPC и планирует его обжаловать, поскольку оно не учитывает новую инициативу TikTok по защите данных Project Clover.

«В рамках Project Clover компания TikTok внедрила передовые технологии повышения конфиденциальности (PET), такие как шифрование при доступе и дифференцированная конфиденциальность, чтобы гарантировать, что неограниченные данные будут деидентифицированы до того, как к ним получат доступ сотрудники в Китае», - сказал Грэн. «Важно отметить, что независимые эксперты по кибербезопасности из NCC Group подтвердили, что эти меры защиты работают так, как и предполагалось».

Это третий по величине штраф, наложенный ирландским органом по защите данных, после штрафа в 746 миллионов евро, наложенного на Amazon за практику целевой поведенческой рекламы, и штрафа в 1,2 миллиарда евро, наложенного на Facebook за передачу данных пользователей из ЕС в Соединенные Штаты.

Ранее TikTok был оштрафован DPC на 345 миллионов евро (368 миллионов долларов) за нарушение неприкосновенности частной жизни детей при обработке их данных и использование «темных шаблонов» в процессе регистрации и публикации видео, подталкивающих пользователей к выбору вариантов, которые ставят под угрозу их частную жизнь.

В январе 2023 года TikTok также был оштрафован на 5 миллионов евро (5,4 миллиона долларов) французским органом по защите данных (CNIL) за то, что не проинформировал пользователей об использовании куки-файлов и сделал отказ от их использования затруднительным.