TikTok, la società madre ByteDance e alcune entità collegate hanno raggiunto un accordo da 400 milioni di dollari con il Dipartimento di Giustizia degli Stati Uniti per chiudere il contenzioso federale sulla protezione dei dati dei bambini. L’intesa, annunciata dal DOJ il 21 agosto, riguarda il rispetto della Children’s Online Privacy Protection Act, la legge statunitense che impone regole specifiche quando i servizi online raccolgono informazioni personali di utenti sotto i 13 anni.
Secondo i termini resi pubblici dal Dipartimento, 300 milioni di dollari saranno pagati immediatamente. Altri 100 milioni sono collegati all’emissione di un ordine che revochi un precedente consent decree contro Musical.ly, l’app acquisita da ByteDance e successivamente integrata in TikTok. Il DOJ descrive l’accordo come uno dei recuperi economici più elevati mai ottenuti in un procedimento COPPA.
Il contenzioso era stato avviato nel 2024 dal Dipartimento di Giustizia su segnalazione della Federal Trade Commission. Nella denuncia, il governo sosteneva che TikTok e ByteDance avessero raccolto e utilizzato dati personali di bambini sotto i 13 anni senza ottenere correttamente il consenso dei genitori e che non avessero rispettato in modo adeguato alcune richieste di cancellazione degli account e delle informazioni associate.
Le accuse si inserivano in una storia regolatoria iniziata anni prima con Musical.ly. Nel 2019 la società aveva raggiunto un accordo con la FTC da 5,7 milioni di dollari per contestazioni legate alla privacy dei minori. Il nuovo procedimento federale sosteneva che le tutele richieste dal precedente decreto non fossero state rispettate pienamente dopo l’evoluzione del servizio in TikTok.
Il DOJ afferma che, dal deposito della causa nel 2024, TikTok ha introdotto cambiamenti significativi nelle strutture di proprietà, nella gestione, nelle funzioni di compliance e nelle pratiche sulla privacy. Tra gli interventi citati figurano controlli più forti sull’età degli utenti, strumenti di supervisione dei genitori e sistemi destinati a individuare e gestire gli account di persone troppo giovani per utilizzare determinate funzioni.
L’accordo monetario non significa tuttavia che un tribunale abbia stabilito la responsabilità delle società. Il Dipartimento di Giustizia precisa espressamente che le contestazioni risolte sono accuse e che non c’è stata una determinazione giudiziaria di responsabilità. Questa distinzione è importante: l’intesa chiude la controversia e impone il pagamento, ma non equivale a una sentenza che accerti nel merito tutte le violazioni contestate.
La cifra rende il caso un segnale molto forte per l’intera industria digitale. Le piattaforme che attraggono grandi quantità di utenti giovani devono dimostrare non soltanto di avere regole scritte, ma anche sistemi tecnici in grado di identificare gli account dei minori, raccogliere il consenso quando richiesto e cancellare le informazioni quando la legge lo impone. Con centinaia di milioni di utenti, anche una piccola percentuale di account gestiti in modo scorretto può trasformarsi in un problema regolatorio enorme.
Negli Stati Uniti il tema si intreccia con un controllo sempre più severo sull’impatto dei social sui minori. Anche in Europa le autorità stanno aumentando la pressione sulle grandi piattaforme attraverso il Digital Services Act e le norme sulla protezione dei dati. Il punto comune è la verifica dell’età: proteggere i bambini richiede sapere quando un utente è minorenne, ma raccogliere troppi dati per verificarlo può generare a sua volta nuovi rischi per la privacy.