L’Autorité nationale de protection des données du Brésil a infligé une amende à ByteDance de 153,7 millions de BRL (environ 29,8 millions de dollars) pour avoir illégalement collecté et traité les données personnelles d’au moins 8 millions d’enfants et d’adolescents via TikTok. Cette décision marque la fin d’une enquête de cinq ans, faisant de cette amende l’une des plus importantes en matière de protection des données concernant les enfants en Amérique latine. Cette action fait suite à un règlement de 400 millions de dollars conclu par le ministère de la Justice des États-Unis avec TikTok pour des allégations similaires.
Le constat le plus marquant de cette décision dépasse l’amende en soi. L’Agência Nacional de Proteção de Dados (ANPD) a confirmé que TikTok exploitait un “fil non enregistré” qui permet à quiconque de naviguer sur le contenu, de voir des publicités ciblées et de créer un profil comportemental sans être inscrit, et sans aucune vérification de l’âge. Ce même système n’existe pas aux États-Unis ou en Europe, où TikTok limite l’accès aux utilisateurs enregistrés.
Cette disparité — un mécanisme de collecte de données utilisé au Brésil et délibérément absent dans des marchés réglementés — a été qualifiée d’élément aggravant par l’ANPD. Fabrício Guimarães Madruga Lopes, responsable de l’ANPD, a indiqué aux journalistes que ByteDance collectait des données comportementales sur les mineurs pour les cibler avec de la publicité.
Les enfants brésiliens de TikTok sans vérification d’âge
Ce fil non enregistré ne se contente pas de permettre une visualisation passive. Selon le rapport d’enquête de l’ANPD, cette fonctionnalité collectait des données comportementales et techniques des utilisateurs, équivalentes à celles des utilisateurs enregistrés. Les mineurs naviguant sur TikTok au Brésil sans compte généraient ainsi des profils publicitaires comparables à ceux d’utilisateurs identifiés.
Sans connexion, il n’y a pas de vérification d’âge. L’ANPD a constaté que les mécanismes de la plateforme n’étaient pas adéquats pour prévenir le traitement inapproprié des données dès le départ, en contradiction avec les propres conditions d’utilisation de TikTok qui stipulent que la plateforme est “inadaptée aux utilisateurs de moins de 13 ans”.
Ce que ByteDance doit faire maintenant
La décision de l’ANPD impose un programme de remédiation complet, auquel ByteDance s’est déjà engagé. Dans les 60 jours ouvrables suivant la notification officielle, l’entreprise doit supprimer toutes les données personnelles des mineurs collectées sans base légale valide ou autorisation parentale. Le non-respect de cette décision entraînera des pénalités journalières.
Les mesures de conformité imposées comprennent :
- Pour les comptes enregistrés : Application automatique des paramètres de confidentialité les plus restrictifs pour tous les utilisateurs de moins de 16 ans, tout changement nécessitant l’approbation explicite d’un parent ou tuteur.
- Pour le fil de navigation invité : Suspension complète de la publicité ciblée ; restriction de tout contenu accessible à du matériel approprié ; un plafond de temps d’écran de 12 heures par jour ; et suppression de la capacité de publier, commenter, suivre ou visionner des diffusions en direct.
ByteDance a 10 jours ouvrables pour faire appel à la direction de l’ANPD. S’il renonce à cet appel, il pourrait bénéficier d’une réduction de 25% sur l’amende.
Ce que cela signifie pour les familles brésiliennes
Pour les parents au Brésil, la décision de l’ANPD a des implications pratiques immédiates. Le plan de conformité de ByteDance nécessite l’application automatique des paramètres de confidentialité les plus restrictifs pour les comptes d’enfants de moins de 16 ans, mais ce changement n’a pas encore été mis en œuvre. En attendant, il est conseillé aux parents de vérifier trois éléments : si les paramètres de confidentialité sont définis sur la restriction maximale, si le profil de l’enfant est visible par des personnes extérieures à sa liste d’abonnés approuvés, et si le compte est relié aux comptes parentaux comme requis par les règles de liaison parentale au Brésil.
Points à retenir
- La décision de l’ANPD réaffirme l’importance de la protection des données des mineurs.
- La collecte de données non autorisée peut entraîner des conséquences financières significatives pour les entreprises.
- Les parents doivent surveiller les paramètres de confidentialité des comptes de leurs enfants.
- L’engagement d’une conformité proactive de la part des entreprises est crucial.
- Les enjeux de protection des données instillent une réflexion plus large sur la responsabilité des plateformes.
Cette situation soulève des questions sur la manière dont les grandes entreprises technologiques gèrent les données des plus jeunes. En tant que consommateurs, nous devons être vigilants et conscients des impacts de l’utilisation des réseaux sociaux sur nos enfants. La transparence et la responsabilité des entreprises face à la sécurité numérique sont des sujets qui méritent d’être débattus. Que pouvons-nous faire, en tant que société, pour garantir un environnement numérique sûr et respectueux des droits de chacun?