David contre Goliath
Un juge de la Haute Cour britannique a autorise une fille de 12 ans, qui peut agir anonymement, a lancer une action collective contre TikTok. La plainte: la plateforme de reseaux sociaux collecte massivement des donnees personnelles d’enfants sans consentement parental valide.
L’affaire represente des millions d’enfants au Royaume-Uni et dans l’UE qui ont utilise TikTok. C’est l’une des plus grandes affaires de protection de la vie privee jamais intentees au nom de mineurs.
Qu’a fait TikTok de mal?
Le coeur de la plainte est que TikTok:
- A collecte des donnees d’enfants sans consentement parental - les enfants pouvaient creer et utiliser un compte sans aucune verification du consentement des parents
- A collecte plus de donnees que necessaire - donnees de localisation, informations sur l’appareil, comportement de navigation et donnees biometriques (reconnaissance faciale dans les videos)
- A partage des donnees avec des tiers - annonceurs et autres parties ont eu acces aux donnees des enfants
- A offert une transparence insuffisante - les conditions de confidentialite n’etaient pas comprehensibles pour les enfants ou leurs parents
Pourquoi c’est important
Cette affaire est significative pour plusieurs raisons:
Les enfants beneficient d’une protection renforcee
Le RGPD considere les enfants comme des personnes concernees vulnerables meritant une protection supplementaire. L’article 8 fixe des regles specifiques pour le traitement des donnees d’enfants, notamment l’obligation d’obtenir le consentement parental.
Les actions collectives se multiplient
Jusqu’a recemment, les litiges lies a la vie privee etaient principalement entre individus et entreprises. Les actions collectives permettent d’agir au nom de grands groupes de personnes concernees, augmentant considerablement les risques financiers pour les contrevenants.
Les autorites de controle observent
Outre ce proces, plusieurs autorites de controle europeennes ont pris des mesures contre TikTok. La DPC irlandaise a impose une amende de 345 millions d’euros, et l’autorite italienne a temporairement bloque le traitement des donnees des utilisateurs italiens.
La lecon pour les entreprises
Vous n’avez pas besoin d’etre un geant technologique pour etre concerne. Si votre entreprise propose des services aux enfants ou traite des donnees de mineurs, des regles plus strictes s’appliquent:
- Verification de l’age - verifiez si les utilisateurs sont assez ages pour donner leur consentement eux-memes
- Consentement parental - pour les enfants de moins de 15 ans (en France), vous avez besoin du consentement d’un parent ou tuteur
- Information comprehensible - votre declaration de confidentialite doit etre comprehensible pour le public cible
- Collecte minimale de donnees - ne collectez pas plus que strictement necessaire, surtout pour les enfants
- Pas de profilage - le profilage d’enfants a des fins marketing n’est generalement pas autorise
Pensez aux: clubs sportifs avec des membres jeunes, ecoles avec des donnees d’eleves, boutiques en ligne proposant des produits pour enfants, applications utilisees par des mineurs et evenements auxquels participent des enfants.
GDPRWise vous aide a documenter toutes vos activites de traitement, y compris les exigences supplementaires pour les donnees de mineurs.