La DPC ha multato TikTok dopo aver concluso che la società ha violato il Regolamento generale sulla protezione dei dati (GDPR) in due modi fondamentali: trasferendo illegalmente i dati personali degli utenti dello Spazio economico europeo (SEE) in Cina e non informando adeguatamente gli utenti di tali trasferimenti.
L’indagine ha rilevato che TikTok non ha garantito che i dati trasferiti ricevessero una protezione equivalente agli standard dell’UE, come richiesto dall’articolo 46, paragrafo 1, del GDPR. L’azienda ha inoltre omesso di menzionare la Cina come destinazione nella sua informativa sulla privacy del 2021, violando l’articolo 13, paragrafo 1, lettera f), del GDPR.
Sebbene TikTok abbia successivamente aggiornato la sua informativa sulla privacy e avviato il “Progetto Clover” per rafforzare la protezione dei dati, il DPC ha ritenuto che le azioni dell’azienda fossero insufficienti. La decisione impone a TikTok di rendere le sue operazioni di trattamento pienamente conformi entro sei mesi, pena la sospensione di tutti i trasferimenti di dati verso la Cina.
A complicare la questione, TikTok ha ammesso nell’aprile 2025 che alcuni dati degli utenti del SEE erano stati effettivamente conservati su server in Cina, contraddicendo le precedenti assicurazioni fornite al DPC. Sebbene TikTok affermi che tali dati sono stati ora cancellati, il DPC sta valutando ulteriori misure normative alla luce delle informazioni fuorvianti.