12-jarig Meisje Daagt Techgigant TikTok voor de Rechter over Kindergegevens

David tegen Goliath

Een rechter van het Britse Hooggerechtshof gaf een 12-jarig meisje, dat anoniem mag procederen, toestemming om een class-action rechtszaak te starten tegen TikTok. De claim: het sociale mediaplatform verzamelt op grote schaal persoonsgegevens van kinderen zonder geldige toestemming van hun ouders.

De zaak vertegenwoordigt miljoenen kinderen in het VK en de EU die TikTok hebben gebruikt. Het is een van de grootste privacyzaken ooit aangespannen namens minderjarigen.

Wat deed TikTok verkeerd?

De kern van de aanklacht is dat TikTok:

• Gegevens van kinderen verzamelde zonder toestemming van ouders - kinderen konden een account aanmaken en gebruiken zonder dat er geverifieerd werd of een ouder toestemming had gegeven
• Meer gegevens verzamelde dan nodig - locatiegegevens, apparaatinformatie, browsegedrag en biometrische data (gezichtsherkenning in video’s)
• Gegevens deelde met derden - adverteerders en andere partijen kregen toegang tot kindergegevens
• Onvoldoende transparantie bood - de privacyvoorwaarden waren niet begrijpelijk voor kinderen of hun ouders

Waarom dit ertoe doet

Deze zaak is om meerdere redenen belangrijk:

Kinderen zijn extra beschermd

De GDPR beschouwt kinderen als kwetsbare betrokkenen die extra bescherming verdienen. Artikel 8 stelt specifieke regels voor het verwerken van kindergegevens, waaronder de verplichting om toestemming van ouders te verkrijgen.

Class actions worden steeds gebruikelijker

Tot voor kort waren privacyrechtszaken vooral een zaak tussen individuen en bedrijven. Class actions maken het mogelijk om namens grote groepen betrokkenen op te treden, wat de financiele risico’s voor overtreders enorm vergroot.

Toezichthouders kijken mee

Naast deze rechtszaak hebben meerdere Europese toezichthouders actie ondernomen tegen TikTok. De Ierse DPC legde een boete op van 345 miljoen euro, en de Italiaanse toezichthouder blokkeerde tijdelijk de verwerking van gegevens van Italiaanse gebruikers.

De les voor ondernemers

Je hoeft geen techgigant te zijn om met dit onderwerp te maken te krijgen. Als je bedrijf diensten aanbiedt aan kinderen of gegevens van minderjarigen verwerkt, gelden er strengere regels:

• Leeftijdsverificatie - controleer of gebruikers oud genoeg zijn om zelf toestemming te geven
• Ouderlijke toestemming - voor kinderen onder de 16 (in NL en BE) heb je toestemming van een ouder of voogd nodig
• Begrijpelijke informatie - je privacyverklaring moet begrijpelijk zijn voor de doelgroep
• Minimale gegevensverzameling - verzamel niet meer dan strikt noodzakelijk, zeker bij kinderen
• Geen profiling - het profileren van kinderen voor marketingdoeleinden is in de meeste gevallen niet toegestaan

Denk aan: sportclubs met jeugdleden, scholen met leerlinggegevens, webshops met producten voor kinderen, apps die door minderjarigen worden gebruikt en evenementen waar kinderen aan deelnemen.