A spanyol adatvédelmi ügynökség (AEPD) ismét aggodalmát fejezte ki a népszerű rövid videós közösségi hálózattal, a TikTokkal kapcsolatban : a platform továbbra is európai felhasználók személyes adatait küldi harmadik országokba , köztük Kínába, annak ellenére, hogy az uniós szabályozók már megállapították, hogy ezek a gyakorlatok ellentétesek az általános adatvédelmi rendelettel (GDPR).
Ez a helyzet Spanyolországban és Európa többi részén több millió felhasználót sodor bizonytalan helyzetbe: adataik továbbra is elhagyják az Európai Gazdasági Térséget, miközben a TikTok és az adatvédelmi hatóságok közötti jogi csata az ír bíróságokon zajlik. A szolgáltatás normálisan működik, de adatfeldolgozási modelljét egyre intenzívebb ellenőrzés alatt tartják.
Rekordösszegű, 530 milliós bírság és nyílt vizsgálat
A konfliktus egy, az uniós adatvédelmi hatóságok által koordinált, az Ír Adatvédelmi Bizottság (DPC) vezette vizsgálatból eredt , amely a TikTok fő szabályozója Európában, mivel a vállalat uniós központja Dublinban található. A nemzetközi adatáramlások évekig tartó elemzése után a hatóságok arra a következtetésre jutottak, hogy a harmadik országokba irányuló adattovábbítások nem felelnek meg a GDPR követelményeinek.
Ennek eredményeként 2025 áprilisában az adatvédelmi bizottság 530 millió eurós bírságot szabott ki a platformra , és egy sor korrekciós intézkedést rendelt el. Ezek közé tartozott az európai felhasználói adatok Kínába és az Európai Gazdasági Térségen kívüli más területekre történő továbbításának felfüggesztésére vonatkozó kötelezettség, amennyiben a TikTok egy meghatározott időn belül nem garantál az európaihoz hasonló szintű védelmet.
A spanyol adatvédelmi ügynökség (AEPD), amely az Európai Adatvédelmi Testületen keresztül aktívan részt vett ebben a folyamatban, rámutat, hogy az ír döntés nem elszigetelt eset volt, hanem egy közös elemzés eredménye . A szabályozó hatóságok egyetértettek abban, hogy a vállalat által kínált biztosítékok nem mérsékelték megfelelően az olyan országok jogszabályaival kapcsolatos kockázatokat, mint Kína.
Az állásfoglalás elsősorban a Kínából az Európai Gazdasági Térségen belüli felhasználói adatokhoz való távoli hozzáférést emelte ki több éven keresztül, az európai szabályozó hatóságok által elegendőnek ítélt védelmi keretrendszer nélkül. Az EU-n kívüli alkalmazottak ezen potenciális hozzáférése áll a GDPR-ral való ütközés középpontjában.
Fellebbezés az ír bíróságokhoz és a blokád ideiglenes felfüggesztése
A TikTok ahelyett, hogy egyszerűen eleget tett volna az adatvédelmi bizottság (DPC) határozatának, úgy döntött, hogy fellebbez a szankció és a kiszabott intézkedések ellen az ír bíróságokon. A vállalat fenntartja, hogy az EU saját jogi mechanizmusait használta fel az adatokhoz való korlátozott és ellenőrzött távoli hozzáférés lehetővé tételére , és hogy rendszere megfelelő védelmet nyújt.
2025 novemberében az illetékes ír bíróság ideiglenesen feloldotta az adatátvitelt blokkoló végzést, amíg a jogi eljárás lezárul. A gyakorlatban ez azt jelenti, hogy bár a felügyeleti hatóságok értékelése továbbra is érvényben van, a TikTok továbbra is küldhet adatokat harmadik országokba , beleértve Kínát is, amíg jogerős ítélet nem születik.
Ez az óvintézkedésként hozott felfüggesztés nem érvényteleníti az adatvédelmi bizottság határozatát vagy a többi szabályozó hatóság álláspontját, de felfüggeszt néhány legszigorúbb intézkedést, például az adatátvitel blokkolását. A spanyol adatvédelmi ügynökség (AEPD) hangsúlyozza, hogy ezen adatáramlások jogszerűsége továbbra is bírósági felülvizsgálat alatt áll , és hogy az ír határozat megállapításai továbbra is teljes mértékben érvényesek.
Cserébe a tilalom ideiglenes feloldása attól függ, hogy a vállalat teljesíti-e a további átláthatósági kötelezettségeket . Erre a követelményre válaszul a TikTok elkezdett külön értesítéseket megjeleníteni az alkalmazáson belül az európai felhasználók számára, amelyekben elmagyarázzák, hogy vizsgálat van folyamatban, és hogy az adatátvitel Kínába folytatódhat a fellebbezés feldolgozása alatt.
Spanyolországban és az Európai Gazdasági Térség többi részén számos internetfelhasználó látott már olyan címszó alatt megjelenő üzenetet, mint például az „EGT-beli felhasználói adatok továbbítása Kínába távoli hozzáféréssel”, amely összefoglalja az 530 millió eurós bírságot, a felfüggesztési végzést és az ír bíróság előtti fellebbezést . Maga a platform megerősítette, hogy ezek az értesítések az átláthatósági kötelezettségvállalások teljesítésének részét képezik.
Milyen adatok hagyhatják el Európát, és miért aggasztja ez a szabályozó hatóságokat?
A probléma lényege nemcsak a Kínából vagy más országokból történő távoli hozzáférés meglétében rejlik, hanem abban a jogi keretben is, amely az adatokra vonatkozik, miután azok elhagyják az európai környezetet . A GDPR előírja, hogy amikor személyes adatokat harmadik országokba továbbítanak, ezek az országok lényegében az európai szinttel egyenértékű védelmet nyújtsanak, vagy szilárd biztosítékokat hozzanak létre konkrét záradékok és mechanizmusok révén.
Kína esetében az EU adatvédelmi hatóságai rámutatnak, hogy a nemzetbiztonsági, terrorizmusellenes és kémelhárítási törvények lehetővé teszik a hatóságok számára, hogy hozzáférést kérjenek a technológiai vállalatok által kezelt információkhoz, ha azt szükségesnek ítélik. Ez a potenciális jogképesség a szabályozók véleménye szerint közvetlenül ütközik az európai keretrendszerrel, és megnehezíti az Európai Unió polgárai adatainak bizalmas kezelésének garantálását.
A vizsgálat során a TikTok azt állította, hogy nem tárolt szisztematikusan felhasználói adatokat az Európai Gazdasági Térségből Kínában található fizikai szervereken. A vizsgálat előrehaladtával azonban a vállalatnak el kellett ismernie, hogy egyes adatok belső hibák vagy elszigetelt incidensek miatt jutottak el a kínai rendszerekbe , ami megerősítette a szabályozó hatóságok aggályait.
Az európai hatóságok ragaszkodnak ahhoz, hogy nem szolgáltattak nyilvános bizonyítékot arra vonatkozóan, hogy a kínai kormány valóban hozzáfért volna a TikTok felhasználói adataihoz Európában. Rámutatnak azonban, hogy a kockázat nemcsak a már megtörtént hozzáféréstől függ, hanem attól a jogi kerettől is, amely lehetővé tenné az ilyen hozzáférést a GDPR által előírtakhoz hasonló ellenőrzések nélkül.
Az átlagfelhasználó számára ez a jogi keretrendszer egyszerűbben érthetővé teszi: ha Európában használod a TikTokot, egyes adataidhoz Kínából és az EGT-n kívüli más országokból is hozzáférhetsz, amíg a tilalom elleni intézkedés érvényben van, és a jogi kihívás folyamatban van. Ez magában foglalja a technikai információkat, az alkalmazáshasználati adatokat, és – a megadott engedélyektől függően – a potenciálisan érzékeny adatokat.
A spanyol adatvédelmi ügynökség (AEPD) és a többi európai hatóság válasza
Az alkalmazáson belüli figyelmeztetések által felvetett aggodalmakra tekintettel a spanyol adatvédelmi ügynökség (AEPD) több nyilatkozatot is kiadott, amelyekben megerősítette, hogy az európai hatóságok jogi értékelése változatlan . Véleménye szerint a TikTok továbbra is továbbítja az európai felhasználók személyes adatait harmadik országokba, köztük Kínába, olyan feltételek mellett, amelyek nem felelnek meg a GDPR-nak.
A spanyol ügynökség hangsúlyozza, hogy az adatvédelmi bizottság (DPC) által elfogadott korrekciós intézkedések, bár bírósági végzés ideiglenesen felfüggesztette őket, továbbra is az Európai Adatvédelmi Testület közös vizsgálatán és elemzésén alapulnak . Más szóval, a szankció és a javasolt korlátozások alapja továbbra is érvényes a szabályozó hatóságok szemében.
Továbbá a spanyol adatvédelmi ügynökség (AEPD) hangsúlyozza, hogy a TikTok Írországot jelölte meg fő európai leányvállalatának , így az Ír adatvédelmi bizottság (DPC) lett az elsődleges felügyeleti hatóság, de mindig együttműködve a nemzeti partnereivel. A spanyol ügynökség részt vesz az általános adatvédelmi rendelet (GDPR) által létrehozott együttműködési és egységességi mechanizmusokban , és megerősíti, hogy hatáskörébe tartozóan szorosan figyelemmel kíséri az ügy fejleményeit.
A spanyol adatvédelmi ügynökség (AEPD) által kifejezett egyik fő aggodalom ezen gyakorlatok fiatalabb felhasználókra gyakorolt hatása , akik a TikTok közönségének jelentős részét teszik ki . A szabályozó hatóság elengedhetetlennek tartja, hogy a gyermekek és a tinédzserek világos és érthető tájékoztatást kapjanak adataik felhasználásáról, koruknak megfelelő nyelven és felesleges szakzsargon nélkül.
Eközben a spanyol ügynökség közvetlen üzenetet kívánt küldeni: bár egyes intézkedések felfüggesztése átmeneti, a kockázat nem szűnt meg . Ezért kulcsfontosságúnak tartja, hogy az európai polgárok ne csupán a bírósági ítéletre várjanak, hanem tegyenek gyakorlati lépéseket a magánéletük jobb védelme érdekében.
A TikTok diskurzusa: biztonsági projektek és megfelelési ígéretek
Miközben a szabályozó hatóságok rávilágítanak a hiányosságokra, a TikTok úgy döntött, hogy megerősíti nyilvános üzenetét az adatvédelemmel kapcsolatban. A vállalat kijelenti, hogy nagyon komolyan veszi az európai felhasználók adatainak védelmét, és hogy az elmúlt években jelentős beruházásokat hajtott végre az infrastruktúrába és az ellenőrzésekbe.
Ezen kezdeményezések közül kiemelkedik a jól ismert Project Clover , amely a vállalat szerint több milliárd eurót mozgósít az Európai Gazdasági Térség felhasználóinak adatainak felkutatására és biztonságossá tételére Írországban, Norvégiában, más európai országokban és néhány külső központban, például Brazíliában vagy az Egyesült Államokban található adatközpontokban, korlátozott és felügyelt hozzáférési rendszerek keretében.
A platform azt állítja, hogy a Kínában dolgozó alkalmazottak nem férhetnek hozzá bizonyos típusú érzékeny adatokhoz , például telefonszámokhoz vagy teljes IP-címekhez, és hogy olyan technikákat alkalmaznak, mint az álnevesítés és a szigorú jogosultságkezelés, hogy a lehető legnagyobb mértékben korlátozzák a jogosulatlan hozzáférés kockázatát.
A vállalat szempontjából ezek az intézkedések szilárd garanciákat kínálnak, és összeegyeztethetők az európai keretrendszerrel . A TikTok fenntartja, hogy a GDPR saját jogi eszközeire – például a standard szerződési záradékokra és a hatásvizsgálatokra – támaszkodott a távoli hozzáférés konkrét és indokolt engedélyezése érdekében olyan feladatokhoz, mint a technikai támogatás, a tartalom moderálása és az általános szolgáltatáskarbantartás.
A szabályozó hatóságok ennek ellenére óvatos álláspontot képviselnek. A spanyol adatvédelmi ügynökség (AEPD) és más hatóságok elismerik, hogy ezek a lépések egy felelősségteljesebb irányba tett lépést jelentenek, de figyelmeztetnek, hogy amíg a kínai jogszabályok továbbra is potenciálisan széles körű hozzáférési követelményeket tesznek lehetővé , a vállalatok belső védelme nem elegendő az európai felhasználók jogait és szabadságait fenyegető kockázatok teljes kiküszöböléséhez.
A spanyol adatvédelmi ügynökség (AEPD) tanácsa: Tekintse át az engedélyeket, és fontolja meg az alkalmazás további használatát.
A TikTok konkrét esetén túl a spanyol adatvédelmi ügynökség (AEPD) kihasználva az ügy hírhedtségét, ismételten kiadott egy sor ajánlást, amelyek bármely digitális szolgáltatásra alkalmazhatók , de különösen relevánsak azokon a platformokon, ahol intenzíven használják a személyes adatokat, és nagyon fiatal felhasználói bázissal rendelkeznek.
Először is, az ügynökség azt tanácsolja a felhasználóknak , hogy figyelmesen olvassák el az adatvédelmi nyilatkozatokat és szabályzatokat , amelyek a regisztráció vagy a szolgáltatási feltételek módosításainak elfogadása során jelennek meg. Bár hosszúnak tűnhetnek, kulcsfontosságú információkat tartalmaznak arról, hogy milyen adatokat gyűjtenek, milyen célokra, és mely országokba továbbíthatják azokat . A TikTok esetében ezek a nyilatkozatok már kifejezetten megemlítik a Kínával kapcsolatos helyzetet és a folyamatban lévő jogi eljárásokat.
Másodszor, az ügynökség hangsúlyozza az alkalmazások adatvédelmi beállításainak gyakori felülvizsgálatának fontosságát . Ez magában foglalja annak ellenőrzését, hogy milyen engedélyeket adtak meg – hozzáférés a kamerához, mikrofonhoz, névjegyekhez, helyadatokhoz, tárhelyhez stb. –, és annak felmérését, hogy ezek valóban szükségesek-e a szolgáltatás használatához. Ezen engedélyek minimalizálása segíthet korlátozni a platform szervereire küldött információk mennyiségét .
A spanyol adatvédelmi ügynökség (AEPD) szintén óvatosságra int a közösségi médiában és videóalkalmazásokban megosztott tartalmakkal kapcsolatban . Azt javasolja, hogy kerüljük a különösen érzékeny adatok, például orvosi információk, pénzügyi adatok, hivatalos dokumentumok vagy a személyes élet intim aspektusainak terjesztését, amelyek problémásak lehetnek, ha rossz kezekbe kerülnek, vagy kontextusukból kiragadva újra felhasználják őket.
Végül a szabályozó hatóság egyértelmű üzenetet küld, bár nem ilyen nyersen: arra kéri a felhasználókat, hogy komolyan fontolják meg, hogy továbbra is olyan szolgáltatásokat kívánnak-e használni , amelyek olyan országokba továbbítanak információkat, amelyek adatvédelmi szintje nem összehasonlítható az európaival. A gyakorlatban ez azt jelenti, hogy fontolóra veszik a TikTok vagy más hasonló alkalmazások használatának megszüntetését, ha valaki nem érzi jól magát amiatt, hogy adataira tolakodóbb jogszabályok vonatkozhatnak.
Ez az egész vita egy tágabb európai vitába illeszkedik, amely az olyan joghatóságokba, mint az Egyesült Államok vagy Kína, történő nemzetközi adattovábbításokkal kapcsolatos , ahol a helyi törvények által kínált garanciákat az Európai Unió Bírósága és az adatvédelmi szabályozók nem mindig tekintik elegendőnek.
A TikTok-ügy így különösen látható példájává vált a globális platformok, az európai hatóságok és a harmadik országok jogi keretei közötti feszültségeknek. Míg az ír bíróságok döntenek a bírság és a korlátozások fenntartásáról , a közösségi hálózat továbbra is normálisan működik Spanyolországban és Európa többi részén, és a harmadik országokba irányuló adatátvitelt intenzív nyilvános és szabályozói ellenőrzés alatt tartja. Ebben az összefüggésben a spanyol adatvédelmi ügynökség (AEPD) emlékezteti a felhasználókat, hogy nem puszta szemlélők: jogukban áll módosítani fiókbeállításaikat, korlátozni az engedélyeket, és eldönteni, hogy érdemes-e továbbra is használni egy olyan szolgáltatást, amelynek a személyes adatok kezelésének módszerei továbbra is vitatottak.
