Un bambino brasiliano su cinque sarebbe finito nel sistema di profilazione commerciale di TikTok senza che le famiglie ne fossero consapevoli. È questa la pesante contestazione che ha portato l’Autorità nazionale brasiliana per la protezione dei dati, l’ANPD, a infliggere a ByteDance una sanzione da 30 milioni di dollari, la più alta mai comminata dall’organismo dalla sua nascita, nel 2020.
Non si tratta, secondo l’autorità brasiliana, di una semplice violazione burocratica. Al centro dell’inchiesta c’è il modo in cui TikTok avrebbe consentito a milioni di minori di accedere alla piattaforma senza adeguati controlli sull’età, raccogliendo nel frattempo informazioni utili alla profilazione commerciale.
L’accesso ai minori senza un vero controllo dell’età
La relazione tecnica dell’ANPD descrive un sistema nel quale gli utenti brasiliani potevano entrare nel mondo di TikTok con estrema facilità. Bastava scaricare l’applicazione per essere immersi nel flusso di video personalizzati, senza una preventiva registrazione, senza una verifica effettiva dell’età e senza un controllo adeguato del consenso dei genitori.
Gli ispettori brasiliani hanno inoltre effettuato confronti con altri mercati, rilevando differenze significative nelle modalità di accesso alla piattaforma. Secondo l’ANPD, in Brasile sarebbero rimaste disponibili procedure che consentivano l’utilizzo anonimo dell’app e la raccolta di identificatori pubblicitari associati ai dispositivi Apple e Google.
Il risultato, secondo l’autorità, sarebbe stato un enorme patrimonio di dati comportamentali riconducibili anche a utenti minorenni.
I numeri emersi dall’inchiesta sono particolarmente significativi. Tra ottobre 2022 e settembre 2023, TikTok avrebbe cancellato 7,75 milioni di account appartenenti a bambini. Nel solo luglio 2023 gli account rimossi sarebbero stati più di 762 mila.
È sulla base di questi dati che l’autorità brasiliana arriva a una conclusione pesante: nell’arco di dodici mesi, il sistema avrebbe coinvolto una quota equivalente a circa un quinto della popolazione infantile brasiliana.
L’“age gate” non basta
Uno dei punti più delicati dell’inchiesta riguarda il cosiddetto age gate, il sistema attraverso il quale TikTok dovrebbe impedire ai minori non autorizzati di utilizzare la piattaforma.
Per l’ANPD, però, il meccanismo non sarebbe stato sufficientemente efficace. I controlli più sofisticati sulla stima dell’età sarebbero entrati in funzione soprattutto dopo la contestazione di un blocco da parte dell’utente. In altre parole, secondo i tecnici brasiliani, la verifica poteva arrivare quando la raccolta dei dati era già iniziata.
È proprio questo aspetto a rendere la vicenda particolarmente delicata: non basta impedire successivamente l’accesso a un minore se nel frattempo la piattaforma ha già raccolto e utilizzato i suoi dati.
ByteDance respinge le accuse
ByteDance ha difeso il proprio operato sostenendo che le condizioni di utilizzo di TikTok vietano l’iscrizione agli utenti sotto i 13 anni.
La società avrebbe inoltre sostenuto che l’utilizzo della piattaforma da parte di un adolescente possa essere considerato un atto ordinario della vita quotidiana, facendo quindi presumere una forma di autorizzazione da parte dei genitori.
Una tesi che l’ANPD ha respinto.
Secondo l’autorità, il diritto brasiliano non consente di trasformare un presunto consenso dei genitori in una sorta di autorizzazione automatica. Per i minori che non hanno piena capacità giuridica, la rappresentanza dei genitori resta un elemento essenziale.
Ancora più controversa sarebbe stata la risposta fornita da ByteDance sulla sorte dei dati raccolti prima della cancellazione degli account. Secondo l’ANPD, le spiegazioni fornite dalla società non avrebbero chiarito in modo soddisfacente se e come quelle informazioni fossero state condivise con soggetti terzi o partner pubblicitari.
Una multa che supera il semplice valore economico
La sanzione da 30 milioni di dollari assume quindi un significato che va oltre l’aspetto finanziario.
L’ANPD ha contestato tre diversi profili: il trattamento dei dati senza un’adeguata base giuridica, l’insufficiente prevenzione dei possibili danni e la mancata dimostrazione della piena conformità alle norme brasiliane.
ByteDance avrebbe ora 60 giorni per adottare le misure richieste dall’autorità e cancellare i dati non regolarizzati. In caso di mancato adeguamento, sono previste ulteriori penalità giornaliere.
Il Brasile entra così nel gruppo sempre più numeroso di Paesi che stanno mettendo sotto pressione TikTok proprio sul terreno più delicato: la protezione dei dati dei minori.
Il fronte internazionale
Il provvedimento brasiliano si inserisce in una crescente offensiva regolatoria internazionale contro le pratiche di gestione dei dati della piattaforma.
Negli Stati Uniti, il Dipartimento di Giustizia ha raggiunto un accordo da 400 milioni di dollari relativo, tra le altre contestazioni, alla raccolta di dati di utenti minorenni. Nell’Unione Europea, l’autorità irlandese per la protezione dei dati ha imposto a TikTok una sanzione da 530 milioni di euro per questioni legate ai trasferimenti internazionali dei dati.
Anche l’Australia ha adottato una linea particolarmente severa, introducendo il divieto di utilizzo dei social da parte degli under 16.
Il quadro che emerge è quindi sempre più netto: le grandi piattaforme digitali non possono più considerare la protezione dei minori come una semplice clausola delle condizioni d’uso.
Quando i dati diventano un modello di business
La vicenda brasiliana solleva infine una questione più ampia. Il problema non riguarda soltanto TikTok, ma l’intero modello economico della pubblicità digitale.
Ogni clic, ogni video visualizzato, ogni permanenza su un contenuto e ogni interazione possono contribuire a costruire un profilo comportamentale sempre più preciso. Per le piattaforme, quei dati rappresentano un valore economico enorme perché consentono di prevedere gusti, interessi e comportamenti degli utenti.
Quando però l’utente è un bambino, il confine tra personalizzazione commerciale e sfruttamento dei dati diventa particolarmente delicato.
La decisione di Brasilia manda dunque un messaggio preciso a TikTok e alle altre Big Tech: la profilazione dei minori non può essere trattata come un normale costo operativo del business digitale.
Per una piattaforma che vive della capacità di conoscere i propri utenti, la vera sfida non sarà soltanto pagare una multa da 30 milioni di dollari. Sarà dimostrare che la tutela dei bambini può davvero venire prima del valore commerciale dei loro dati.