TikTok-datalekkasje under ny irsk etterforskning etter overføringer til Kina

Den irske datatilsynet (DPC) har startet en ny etterforskning av TikToks håndtering av EU-brukeres data.
Myndigheten ønsker å avgjøre om TikTok har brutt GDPR ved å overføre personopplysninger til servere i Kina.

Den nye etterforskningen kommer etter en bot på 530 millioner euro som DPC ilte 30. april 2025.
Denne boten skyldtes en tidligere datalekkasjer hos TikTok hvor ansatte i Kina hadde fjernadgang til data.
Den forrige undersøkelsen konkluderte med at TikTok ikke fulgte EUs personvernregler og ikke forhindret uautorisert tilgang.

TikTok ga feilinformasjon til myndighetene

Under den første granskingen hevdet TikTok at de ikke lagret europeiske brukerdata i Kina.
Senere innrømmet selskapet at noe personlig data faktisk hadde nådd kinesiske servere.
Denne motstridende informasjonen skapte alvorlig bekymring hos DPC.
Myndigheten mener TikTok kan ha levert villedende eller ufullstendige opplysninger.

Nå ønsker DPC å finne ut om ByteDance, TikToks morselskap, også brøt GDPRs regler om åpenhet.
Etterforskningen vil fokusere på lovligheten av dataoverføringer utenfor EU.
Den vil også vurdere om TikTok ga brukerne klare og korrekte opplysninger om databehandlingen.

ByteDance møter økende press

DPC samarbeider med andre europeiske personvernmyndigheter for å bestemme videre tiltak.
Tjenestemenn skal undersøke om ByteDance villedet myndigheter eller unndro viktige detaljer.
TikTok har anket den opprinnelige boten og hevder at den var basert på utdaterte praksiser.
Selskapet viser til Project Clover, en plan på 12 milliarder euro for å bygge datasentre i EU.
TikTok sier denne investeringen viser deres forpliktelse til full GDPR-overholdelse.

Til tross for disse påstandene er myndighetene skeptiske.
De ønsker å vite om selskapet virkelig har endret sin praksis, eller bare skiftet strategi.
Den nye etterforskningen kan avsløre flere brudd i en annen TikTok-datalekkasje.
Hvis dette bekreftes, kan TikTok møte nye bøter og begrensninger på hvordan de håndterer europeiske data.
Resultatet kan endre hvordan teknologiselskaper håndterer grenseoverskridende dataoverføringer i fremtiden.