TikTok και παιδιά: Ο ελληνικός νόμος για τα προσωπικά δεδομένα ανηλίκων και η μήνυση στις ΗΠΑ
Του Χάρη Καρανίκα
O TK είναι σχεδόν 14 ετών και ζει στην Ελλάδα. Από τον υπολογιστή του μπήκε στη σελίδα του TikTok για να φτιάξει λογαριασμό. Έβαλε ημερομηνία γέννησης 1 Μαΐου 2011 και τη διεύθυνση μέιλ του, την οποία είχε ανοίξει στην υπηρεσία Proton, όπου δεν του ζητήθηκε η ηλικία του - του ζητήθηκε όμως το κινητό του. Η πλατφόρμα του TikTok έστειλε στο μέιλ του έναν εξαψήφιο κωδικό, ο ΤΚ τον συμπλήρωσε στο ανάλογο πεδίο και έτσι απέκτησε λογαριασμό στο TikTok, κατεβάζοντας και την εφαρμογή για το κινητό. Κατά τη διάρκεια της προαναφερόμενης διαδικασίας δεν ζητήθηκε συνδρομή των γονιών του στο άνοιγμα του λογαριασμού ούτε ο ΤΚ έλαβε κάποιο μήνυμα ότι απαραίτητη είναι η γονική συναίνεση.
Σύμφωνα με νόμο που ψηφίστηκε στην Ελλάδα το 2019 για συμπληρωματικά μέτρα όσον αφορά την εφαρμογή του ευρωπαϊκού Γενικού Κανονισμού για την Προστασία Δεδομένων (GDPR), “η επεξεργασία δεδομένων προσωπικού χαρακτήρα ανηλίκου, κατά την προσφορά υπηρεσιών της κοινωνίας των πληροφοριών απευθείας σε αυτόν, είναι σύννομη, εφόσον ο ανήλικος έχει συμπληρώσει το 15ο έτος της ηλικίας του και παρέχει τη συγκατάθεσή του”. Αν ο ανήλικος είναι κάτω των 15 ετών η επεξεργασία των προσωπικών δεδομένων “είναι σύννομη μόνο μετά την παροχή συγκατάθεσης του νόμιμου αντιπροσώπου του”. Δηλαδή στην περίπτωση του 14χρονου ΤΚ, των γονιών του.
H πλατφόρμα του TikTok συλλέγει και διαχειρίζεται τα εξής στοιχεία του ΤΚ: Πρώτον, κατά τη διαδικασία εγγραφής του τη διεύθυνση ηλεκτρονικής αλληλογραφίας που συμπλήρωσε, η οποία θεωρείται υπό συγκεκριμένες προϋποθέσεις προσωπικό δεδομένο.
Σε απάντησή της το 2019, η τότε Επίτροπος για τη Δικαιοσύνη, τους Καταναλωτές και την Ισότητα των Φύλων της ΕΕ Βέρα Γιούροβα είχε αναφέρει ότι όταν μια διεύθυνση ηλεκτρονικού ταχυδρομείου χρησιμοποιεί άμεσα αναγνωριστικά στοιχεία ενός ατόμου (π.χ. johnsmith@gmail.com), πρόκειται για δεδομένα προσωπικού χαρακτήρα που εμπίπτουν στο πεδίο εφαρμογής του GDPR. Ελλείψει δε άμεσων αναγνωριστικών, μια διεύθυνση ηλεκτρονικού ταχυδρομείου μπορεί επίσης να συνιστά προσωπικό δεδομένο, όταν συνδυάζεται με άλλα δεδομένα (π.χ. διεύθυνση ή ημερομηνία γέννησης) σχετικά με ένα άτομο, είχε επισημάνει η Επίτροπος.
Ο ΤΚ είχε το πραγματικό ονοματεπώνυμό του στην ηλεκτρονική διεύθυνση αλληλογραφίας που χρησιμοποίησε για να εγγραφεί στην πλατφόρμα TikTok, συν την ημερομηνία γέννησής του.
Πέρα όμως από αυτά, στη συνέχεια η πλατφόρμα συλλέγει και επεξεργάζεται τα εξής για τον 14χρονο: στοιχεία για τις σελίδες που επισκέφτηκε, τα σχόλια που έκανε, τα αγαπημένα του εφέ, hashtags, ήχους, βίντεο, ποιοι τον ακολουθούν και ποιους ακολουθεί, τα likes που πάτησε, τις αγορές και τις αναζητήσεις που πραγματοποίησε. Ακόμα, στοιχεία για τις διαφημίσεις που τον ενδιαφέρουν και τις δραστηριότητές του εκτός TikTok, τα απευθείας μηνύματα που έστειλε, το ιστορικό χρηματικών συναλλαγών μέσω ψηφιακού πορτοφολιού, τις αναρτήσεις του συμπεριλαμβανομένων και αυτών που σβήστηκαν πρόσφατα. Επιπλέον, στοιχεία για τα ζωντανά (live) βίντεο (και αυτά που είδε και αυτά που μετέδωσε), καθώς και λεπτομέρειες για τα settings που είχε. Τις επικοινωνίες του με ηλεκτρονικά καταστήματα μέσω της πλατφόρμας TikTok, στοιχεία για πληρωμές, υπηρεσίες υποστήριξης πελατών, ιστορικό διενέξεων όσον αφορά τις αγορές του, ιστορικό παραγγελιών του, ιστορικό πλοήγησης σε σελίδες με προϊόντα, πληροφορίες για επιστροφές και refunds, λίστα προϊόντων στο καλάθι αγορών του, αποθηκευμένες διευθύνσεις για shopping.
Κερασάκι στην τούρτα: με το που άνοιξε ο ΤΚ τον λογαριασμό, το προφίλ του ήταν ρυθμισμένο αυτόματα ως ιδιωτικό, έτσι ώστε να μπορούν να το βλέπουν μόνο αυτοί με τους οποίους θα συνδέονταν. Ωστόσο, με μία κίνηση, κατάφερε να αλλάξει το προφίλ του και να το κάνει δημόσιο - που σημαίνει ότι μπορούν να το βλέπουν όλοι.
Τον Αύγουστο του 2024 οι ΗΠΑ προσέφυγαν κατά των εταιρειών που λειτουργούν και διαχειρίζονται το Tiktok υποστηρίζοντας ότι έχουν παραβιάσει τη σχετική νομοθεσία για την ιδιωτικότητας των παιδιών στο διαδίκτυο (COPPA). O συγκεκριμένος νόμος αφορά ηλικίες κάτω των 13 ετών στις ΗΠΑ -κατ’ αντιστοιχία με την Ελλάδα, όπου η νομοθεσία για τη γονική συναίνεση αφορά ηλικίες κάτω των 15- και θεσπίστηκε το 1998 για την προστασία των παιδιών και των προσωπικών τους δεδομένων. Στη μήνυσή του κατά της πλατφόρμας το αμερικανικό κράτος ισχυρίζεται ότι οι εταιρείες του Tiktok τουλάχιστον από τον Μάρτιο του 2019 επέτρεπαν σε παιδιά κάτω των 13 ετών να δημιουργήσουν κανονικούς -αντί για ειδικούς “Kids Mode”- λογαριασμούς και “συνέλεξαν εκτενείς προσωπικές πληροφορίες από αυτά τα παιδιά χωρίς προηγουμένως να παράσχουν γονική ειδοποίηση ή να λάβουν επαληθεύσιμη γονική συναίνεση, όπως απαιτείται από τον κανονισμό COPPA”. Αλλά και σε αυτούς που ήταν ειδικοί λογαριασμοί, οι εταιρείες φέρονται σύμφωνα με τη μήνυση να έχουν επίσης παραβιάσει τον κανονισμό COPPA συλλέγοντας, χωρίς γονική ειδοποίηση και συναίνεση, διάφορες προσωπικές πληροφορίες και χρησιμοποιώντας τις πληροφορίες των παιδιών με τρόπους που απαγορεύει η αμερικανική νομοθεσία. “Στη λειτουργία για παιδιά, οι κατηγορούμενοι συλλέγουν και διατηρούν όνομα χρήστη, κωδικό πρόσβασης και ημερομηνία γέννησης. Έχουν επίσης συλλέξει διάφορους τύπους μόνιμων αναγνωριστικών από χρήστες του Kids Mode χωρίς να ειδοποιήσουν τους γονείς ή να λάβουν τη συγκατάθεσή τους, συμπεριλαμβανομένων της διεύθυνσης IP και των μοναδικών αναγνωριστικών συσκευής”, αναφέρεται στην μήνυση. “Οι κατηγορούμενοι συλλέγουν επιπλέον δεκάδες άλλους τύπους πληροφοριών για παιδιά χρήστες με λογαριασμούς Kids Mode — συμπεριλαμβανομένων δεδομένων δραστηριότητας εφαρμογών, πληροφοριών συσκευής, πληροφοριών εταιρείας κινητής τηλεφωνίας και πληροφοριών εφαρμογών — τις οποίες συνδυάζουν με μόνιμα αναγνωριστικά και χρησιμοποιούν για τη συγκέντρωση στοιχείων των προφίλ των παιδιών”, επισημαίνεται.
Στη λειτουργία για παιδιά, ο ανήλικος χρήστης μπορεί να δει αλλά δεν μπορεί να δημιουργήσει ή να ανεβάσει βίντεο, να δημοσιεύσει πληροφορίες δημόσια ή να στείλει μήνυμα σε άλλους χρήστες. “Οι κατηγορούμενοι εξακολουθούν να συλλέγουν και να χρησιμοποιούν ορισμένα προσωπικά δεδομένα από παιδιά στη λειτουργία Kids Mode”, ισχυρίζονται οι ΗΠΑ στα δικαστικά έγγραφα.
Όσον αφορά τους χρήστες που αυτοπροσδιορίζονται ως 13 ετών και άνω, η πλατφόρμα φέρεται να συλλέγει προσωπικά δεδομένα, όπως όνομα και επίθετο, ηλικία, διεύθυνση ηλεκτρονικού ταχυδρομείου, αριθμό τηλεφώνου, μόνιμα αναγνωριστικά για τις συσκευές που χρησιμοποιούνται για πρόσβαση στο TikTok, καθώς και φωτογραφίες, βίντεο και αρχεία ήχου που περιέχουν την εικόνα και τη φωνή του χρήστη και τα μεταδεδομένα που σχετίζονται με τέτοια μέσα (όπως πότε, πού και από ποιον δημιουργήθηκε το περιεχόμενο).
Στην προσφυγή των ΗΠΑ κατά του TikTok αναφέρονται και “αμαρτίες” του παρελθόντος: Έως τα τέλη του 2020, εάν ένα παιδί υπέβαλε ημερομηνία γέννησης δηλώνοντας ότι ήταν κάτω των 13 ετών, η πλατφόρμα δεν το εμπόδιζε να αποφύγει την “πύλη ηλικίας” προσπαθώντας ξανά. Μπορούσε λοιπόν επανεκκινώντας τη διαδικασία δημιουργίας λογαριασμού και υποβάλλοντας ημερομηνία γέννησης που αντιστοιχεί σε ηλικία 13 ετών και άνω, παρά το γεγονός ότι γνώριζαν ότι ο χρήστης ήταν παιδί κάτω των 13.
Άλλος τρόπος: “Τουλάχιστον μέχρι τον Μάιο του 2022, οι κατηγορούμενοι πρόσφεραν στους καταναλωτές έναν τρόπο να αποφύγουν εντελώς την “πύλη ηλικίας” κατά τη δημιουργία ενός λογαριασμού TikTok, επιτρέποντάς τους να χρησιμοποιούν διαπιστευτήρια σύνδεσης από ορισμένες διαδικτυακές υπηρεσίες τρίτων, συμπεριλαμβανομένου του Instagram και της Google. Οι κατηγορούμενοι αναγνώρισαν εσωτερικά αυτούς τους λογαριασμούς TikTok ως “αγνώστου ηλικίας””, αναφέρεται στην μήνυση. Έτσι, φέρεται να επέτρεπαν σε παιδιά κάτω των 13 να δημιουργήσουν έναν κανονικό λογαριασμό TikTok, αποκτώντας πρόσβαση σε περιεχόμενο για ενηλίκους και λειτουργίες χωρίς να παρέχουν πληροφορίες ηλικίας. “Χωρίς γονική ειδοποίηση ή συγκατάθεση, οι κατηγορούμενοι συνέλεξαν και διατήρησαν τεράστιες ποσότητες προσωπικών πληροφοριών από τα παιδιά που δημιούργησαν και χρησιμοποίησαν αυτούς τους κανονικούς λογαριασμούς TikTok”, σημειώνεται.
Στην πολυσέλιδη προσφυγή του Αυγούστου 2024 υπάρχουν και κάποια σημεία που δείχνουν ότι η πλατφόρμα είχε τρόπους και να αναγνωρίσει και να καταργήσει τους λογαριασμούς εκείνους που χρησιμοποιούνταν από παιδιά ενώ δεν θα έπρεπε, όμως δεν το έπραξε. Όπως επισημαίνεται, υπάρχει ένας αλγόριθμος ο οποίος βασίζεται στη συμπεριφορά των χρηστών και σε άλλες μετρήσεις τον οποίο το TikTok τον χρησιμοποιεί μεν για να καθορίζει την ηλικία, αλλά δεν τον αξιοποιεί για να αναγνωρίζει τα παιδιά.
Ένα άλλο μεγάλο θέμα που θίγεται, είναι ότι η πλατφόρμα μοιράζονταν πληροφορίες που συνέλεγε από παιδιά με τρίτους “για λόγους άλλους από την υποστήριξη εσωτερικών λειτουργιών” του TikTok, χωρίς μάλιστα να ενημερώνουν τους γονείς για αυτή την πρακτική.
Πριν από μερικές ημέρες, το Ευρωπαϊκό Κέντρο Ψηφιακών Δικαιωμάτων, μία μη κυβερνητική οργάνωση με έδρα την Βιέννη, απέστειλε στην ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ) καταγγελία για το TikTok. Θέμα της ήταν η μεταβίβαση προσωπικών δεδομένων Ελλήνων στην Κίνα και η παραβίαση του GDPR λόγω έλλειψης επαρκούς επιπέδου προστασίας δεδομένων στη χώρα αυτή. Αρχική καταγγέλλουσα ήταν ελληνίδα χρήστρια του TikTok η οποία απηύθυνε σχετικά ερωτήματα στην πλατφόρμα και απέκτησε τα δεδομένα που επεξεργάζονται. Κατόπιν αναζητήσεών της, εντόπισε σε σελίδα της πλατφόρμας με τίτλο “Οι παγκόσμιες λειτουργίες και οι μεταφορές δεδομένων μας: Αποθήκευση και περιορισμένη απομακρυσμένη πρόσβαση στον Εταιρικό μας Όμιλο”, ότι τυχόν προσωπικά δεδομένα της ενδέχεται να μεταφερθούν σε χώρες εκτός της Ευρωπαϊκής Ένωσης, συμπεριλαμβανομένης της Κίνας. Συγκεκριμένα αναφερόταν ότι σε ορισμένες οντότητες του εταιρικού ομίλου που λειτουργεί την πλατφόρμα ΤikTok παρέχεται, βάσει τυπικών συμβατικών ρητρών, περιορισμένη εξ αποστάσεως πρόσβαση σε πληροφορίες των χρηστών που συλλέγονται. “Αυτές οι οντότητες βρίσκονται στην Αυστραλία, τη Βραζιλία, την Κίνα, τη Μαλαισία, τις Φιλιππίνες, τη Σιγκαπούρη και τις Ηνωμένες Πολιτείες”, αναφερόταν στο παράρτημα 3Α της ενότητας “Περιορισμένη απομακρυσμένη πρόσβαση”. Στην καταγγελία του Ευρωπαϊκού Κέντρου Ψηφιακών δικαιωμάτων που αποστάλθηκε στην ελληνική αρμόδια αρχή επισημαίνεται επίσης ότι αρκετές εταιρείες του ομίλου είναι εγκατεστημένες στην Κίνα.
Η πολιτική απορρήτου της πλατφόρμας αναφέρει ότι το TikTok συμμορφώνεται με την ισχύουσα νομοθεσία, τις νομικές διαδικασίες ή τα κυβερνητικά αιτήματα, σύμφωνα με τα διεθνώς αναγνωρισμένα πρότυπα. Η πλατφόρμα διαθέτει ακόμη και οδηγίες ώστε να καθοδηγεί τους αξιωματούχους επιβολής του νόμου σχετικά με το πώς να ζητούν τα δεδομένα των χρηστών. “Δεδομένου ότι αυτά τα “κυβερνητικά αιτήματα" δεν περιορίζονται σε αιτήματα βάσει της νομοθεσίας της ΕΕ, περιλαμβάνουν επίσης αιτήματα βάσει της κινεζικής νομοθεσίας (υπηρεσίες πληροφοριών)”, αναφέρεται στην καταγγελία.
Και συνεχίζει σημειώνοντας ότι το TikTok δεν παρέχει πληροφορίες σχετικά με αιτήματα της κινεζικής κυβέρνησης που υποβάλλονται στην μητρική εταιρεία ή σε οποιαδήποτε από τις θυγατρικές της, ούτε στοιχεία για τη πρόσβαση που παρέχεται από την πλατφόρμα στα προσωπικά δεδομένα των χρηστών κατόπιν τέτοιων αιτημάτων. “Ωστόσο η κινεζική εταιρεία, Xiaomi Inc., επιβεβαίωσε ότι λαμβάνει πολλά αιτήματα από διάφορες κινεζικές αρχές σχετικά με δεδομένα χρηστών. Οι Εκθέσεις Διαφάνειας της Xiaomi για το 2020, 2021 και 2022 δείχνουν ότι ο Όμιλος Xiaomi λαμβάνει χιλιάδες αιτήματα σχετικά με δεδομένα χρηστών από διάφορους κινεζικούς κυβερνητικούς φορείς και αυτά τα αιτήματα ικανοποιούνται σχεδόν πάντα. Ούτε η καταγγελλόμενη ούτε οι θυγατρικές της δημοσίευσαν παρόμοιες εκθέσεις διαφάνειας, ωστόσο σημειώνουμε ότι, ειδικότερα, η κινεζική νομοθεσία παρέχει στις αρχές απεριόριστες εξουσίες σχετικά με την πρόσβαση σε δεδομένα που επεξεργάζονται, μεταξύ άλλων, κινεζικές εταιρείες. Επομένως, είναι πολύ πιθανό ότι η καταγγελόμενη, ως θυγατρική μιας κινεζικής εταιρείας και μέλος του Ομίλου, να λαμβάνει επίσης πολύ μεγάλο αριθμό αιτημάτων από κινεζικά κυβερνητικά όργανα και να πρέπει να δώσει πρόσβαση σε προσωπικά δεδομένα σε περίπτωση τέτοιων αιτημάτων , αφού για αυτούς ισχύουν οι ίδιοι νόμοι”.
Στην καταγγελία επισημαίνονται επίσης οι λόγοι γιατί θα πρέπει βάσει άρθρου του GDPR να υπάρξει αναστολή ή και τερματισμός των διαβιβάσεων δεδομένων στην Κίνα για να αποφευχθεί η διακύβευση του επιπέδου προστασίας των προσωπικών δεδομένων. Το Ευρωπαϊκό Κέντρο Ψηφιακών Δικαιωμάτων καταλήγοντας ζητά από την ελληνική Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα την πλήρη διερεύνηση του θέματος και να διατάξει άμεσα την αναστολή ροών δεδομένων του Έλληνα καταγγέλοντα χρήστη και άλλων ευρωπαίων χρηστών προς την Κίνα. Επιπλέον ζητείται διαταγή συμμόρφωσης του TikTok και να επιβάλλει η ΑΠΔΠΧ “αποτελεσματικό, αναλογικό και αποτρεπτικό πρόστιμο”, σύμφωνα με τα όσα σχετικά ορίζει ο Γενικός Κανονισμός Προσωπικών Δεδομένων.
