TikTok schikt Amerikaanse kinderprivacyzaak voor 400 miljoen dollar

TikTok en ByteDance schikken de Amerikaanse kinderprivacyzaak voor 400 miljoen dollar, maakte het ministerie van Justitie vrijdag bekend, in wat het departement een van de grootste bedragen ooit in een COPPA-zaak noemt.

Voor een Nederlands merk dat jongeren bereikt via TikTok, Instagram of de eigen app zit de kern niet in het bedrag, maar in wat er niet in de schikking staat. Er komen geen nieuwe verplichtingen uit voort. Het geld koopt een zaak af over gedrag dat in de EU al onder een categorisch verbod valt, en dat verbod geldt hier zonder dat een toezichthouder eerst jaren hoeft te procederen.

Wat er betaald wordt, en waarvoor

TikTok maakt 300 miljoen dollar direct over. De resterende 100 miljoen volgt pas zodra een rechter het bevel intrekt dat sinds 2019 tegen voorganger Musical.ly loopt. Precies dat oude bevel zette de zaak in gang: de Amerikaanse mededingings- en consumentenwaakhond FTC legde Musical.ly in februari 2019 5,7 miljoen dollar op, destijds de hoogste boete ooit in een kinderprivacyzaak, plus een gerechtelijk gebod om zich aan COPPA te houden. Het bedrag van nu is zeventig keer zo hoog, en de laatste tranche is letterlijk de prijs om van dat gebod af te komen.

Aansprakelijkheid wordt niet vastgesteld. De aantijgingen blijven volgens Justitie aantijgingen, en het akkoord verplicht TikTok en ByteDance niet tot een schuldbekentenis.

Waar de zaak over ging

De aanklacht van augustus 2024, ingediend door Justitie namens de FTC bij de federale rechtbank voor het Central District of California, draaide om COPPA. Die wet verbiedt het verzamelen van persoonsgegevens van kinderen onder de dertien zonder de ouders te informeren en om toestemming te vragen, en verplicht tot verwijdering als een ouder daarom vraagt. Volgens de aanklacht liet TikTok vanaf 2019 kinderen gewone accounts aanmaken, verzamelde en bewaarde het ook in de afgeschermde Kids Mode e-mailadressen en andere persoonsgegevens, en werden verzoeken van ouders om een account te wissen regelmatig genegeerd.

Sinds de aanklacht is TikTok volgens het departement ingrijpend veranderd van eigendom, bestuur, compliancefunctie en privacypraktijk, met sterkere leeftijdscontroles en meer mogelijkheden voor ouderlijk toezicht. Associate attorney general Stanley E. Woodward Jr. noemt de uitkomst een grote overwinning voor Amerikaanse kinderen en ouders, in de aankondiging die het ministerie als eerste met Axios deelde.

In Europa is dit geen rechtszaak maar een verbod

Waar de Verenigde Staten deze zaak per schikking afhandelen, staat het onderliggende gedrag hier al in de wet. Artikel 28 van de digitaledienstenverordening (DSA) verplicht elk online platform dat toegankelijk is voor minderjarigen tot passende en evenredige maatregelen voor privacy, veiligheid en bescherming. Datzelfde artikel verbiedt aanbieders om reclame te tonen op basis van profilering wanneer zij zich er met redelijke zekerheid van bewust zijn dat de gebruiker minderjarig is. In de toelichting bij de Nederlandse uitvoeringswet heet dat een categoraal verbod dat de AVG zelf niet kent.

In hetzelfde artikel zit een bepaling die adverteerders vaak missen. Lid 3 stelt dat naleving je niet verplicht om extra persoonsgegevens te verwerken om te beoordelen of iemand minderjarig is. Het probleem oplossen door voortaan van iedereen een identiteitsbewijs te vragen, is dus geen route.

Wat een adverteerder in Nederland moet kunnen laten zien

Twee dingen liggen daarmee vast voor wie campagnes draait richting jongeren. Onder de AVG kunnen kinderen onder de zestien in Nederland zelf geen geldige toestemming geven voor het verwerken van hun gegevens, en moet je kunnen aantonen dat je hebt gecontroleerd of een ouder die toestemming gaf. En onder de DSA is profilering als basis voor advertenties richting minderjarigen niet een risico dat je afweegt, maar een verbod dat je aan moet kunnen tonen.

Dat de lat op leeftijdsinschatting nu snel verschuift, is deze maand al zichtbaar. OpenAI zet sinds 18 augustus iedereen die als 13 tot 17 jaar wordt ingeschat automatisch in een afgeschermde ChatGPT-versie, maar stelt die automatische inschatting in de EU nog enkele weken uit vanwege regionale eisen. En de handhaving is geen theorie: de Italiaanse toezichthouder beboette Character.AI vorige maand met 158.000 euro voor leeftijdscontrole die niet werkte en een te laat uitgevoerde DPIA.

Voor TikTok zelf verdwijnt met deze schikking lang niet alle juridische druk. Het Amerikaanse Negende Circuit besliste op 10 augustus dat Section 230 een verweer tegen aansprakelijkheid is en geen immuniteit tegen procederen, waardoor ruim drieduizend gebundelde zaken over verslavend platformontwerp tegen Meta en TikTok inhoudelijk doorgaan. Geld schikt een dataklacht af. De vraag hoe het product zelf is gebouwd, blijft open.

Daarin zit het verschil dat de twee rechtsgebieden nu zichtbaar uit elkaar trekt. In de Verenigde Staten wordt kinderprivacy achteraf in dollars afgerekend, met een rechterlijk gebod dat tegen betaling van tafel kan. In Europa is dezelfde norm vooraf een verbod, waarbij een toezichthouder niet hoeft te bewijzen wat een kind precies gekost heeft. Voor wie in Nederland jongeren bereikt, is die 400 miljoen daarom niet de maatstaf. De maatstaf is de vraag die een toezichthouder morgen kan stellen: weet je met redelijke zekerheid of je publiek minderjarig is, en profileer je het dan niet?