TikTok违规处理儿童个人数据——默认公开账户设置及年龄验证不足案

【案件背景】
2023年9月1日，爱尔兰数据保护委员会（DPC）发布了对TikTok Technology Limited的最终裁决，处以3.45亿欧元（约合28.42亿元人民币）罚款，这是DPC对单一社交平台在儿童数据保护领域作出的最高金额处罚之一。该调查主要针对TikTok在2020年7月31日至2020年12月31日期间处理未成年用户个人数据的行为。虽然TikTok在调查启动前已主动采取了部分改进措施，并就该罚款数额提出异议和上诉，但本案所揭示的儿童数据保护系统性问题具有深远影响。

由于多个欧盟监管机构对DPC的初步决定存在争议，该案触发了GDPR第65条的跨境争议解决机制。欧洲数据保护委员会（EDPB）介入并作出了具有约束力的决定——要求DPC加大处罚力度并增加违规认定条款。

【违法事实】
EDPB和DPC联合认定TikTok存在以下多项违反GDPR的行为：

1. 儿童账户默认设置为「公开」（违反第5条第1款c项、第24条第1款、第25条第2款）：13至17岁未成年用户的账户被默认设置为公开模式，即任何人（包括陌生人和潜在犯罪分子）都可以查看这些未成年用户发布的视频内容并发表评论。这一默认设置未落实「数据最小化」和「默认即隐私」的数据保护核心原则；
2. 使用「黑暗模式」（Dark Patterns）诱导儿童选择公开账户（违反第5条第1款a项——公平原则）：EDPB经审查发现，TikTok在用户界面上系统性地采用了黑暗模式设计——在注册和视频发布的弹窗中通过视觉引导（按钮颜色、位置、大小对比等）鼓励用户点击「跳过」或「立即发布」，使得选择私密设置变得复杂且隐蔽。EDPB认定此类设计违反公平原则，平台不得设置阻碍用户行使隐私权利的机制；
3. 年龄验证机制严重不足（违反第5条第1款c项和第5条第1款f项——数据最小化和完整性保密性）：EDPB对TikTok的年龄验证机制有效性表示了严重怀疑——未满13岁的儿童可以轻易绕过限制注册和使用该平台的服务。TikTok在决定发布时仍采用简单的自我声明年龄验证方式，不足以防止低龄儿童的访问；
4. 透明度义务履行不足（违反第12条第1款和第13条第1款e项）：对儿童用户及其父母，TikTok未能以清晰、易懂、适合儿童理解能力的语言提供关于数据处理的充分信息。

【处罚决定】
DPC于2023年9月1日采纳EDPB具有约束力的决定，作出如下处罚：1）对TikTok的违规行为发出正式警告；2）要求TikTok在决定通知之日起三个月内完成所有合规整改；3）处以3.45亿欧元行政罚款。决定共认定TikTok违反GDPR的8个条款。

【典型意义】
本案是GDPR下儿童数据保护领域的标杆案例。它确立了三条对全球社交媒体和数字平台具有普遍适用性的核心规则：第一，「默认公开」是不可接受的——为未成年用户设计的平台，隐私应该是默认值而非可选项；第二，「黑暗模式」不仅是用户体验的设计瑕疵，更是违反正当数据处理公平原则的实质违法行为；第三，「年龄自我声明」不能构成有效的年龄验证机制——平台必须采取更有力的技术和组织措施来防止低龄儿童绕过年龄门槛。该案之后，欧盟范围内多个平台加速了将未成年用户默认设为私密账户的合规进程。