TikTok因未向儿童用户提供清晰透明的数据处理信息被罚3.45亿欧元案（爱尔兰DPC，2023年9月）

【案件背景】
爱尔兰数据保护委员会（DPC）主动发起调查，审查TikTok在2020年7月31日至2020年12月31日期间对儿童用户个人数据的处理合规性。调查焦点包括TikTok平台默认公开设置（public-by-default）、'家庭配对'（Family Pairing）功能设置、注册过程中的年龄验证机制，以及TikTok在默认设置方面向儿童用户提供的信息是否充分透明。

【违法事实】
DPC经调查认定TikTok存在多项违反GDPR的行为，其中与透明度/告知义务直接相关的违反包括：（1）违反GDPR第12条第1款和第13条第1款e项——TikTok未能向儿童用户以简洁、透明、易懂和易于获取的方式（使用适合儿童理解能力的语言和形式）提供关于其个人数据接收方或接收方类别的信息，特别是'公开默认设置'意味着哪些人可以访问儿童发布的视频内容；（2）违反GDPR第5条第1款a项（公平原则）——TikTok在注册和发布流程中使用了'暗黑模式'（dark patterns），通过界面设计引导儿童用户选择公开可见的账户设置，而未公平地呈现隐私选项的风险和后果。德国柏林数据保护机构对此提出了反对意见并推动了该认定的纳入。此外，DPC还认定TikTok违反了GDPR第5条第1款c项（数据最小化）、第24条（控制者责任）和第25条（数据保护设计默认）。

【处罚决定】
2023年9月1日，DPC作出最终决定：对TikTok处以总计3.45亿欧元行政罚款，同时给予正式告诫（reprimand），并命令TikTok在3个月内使其数据处理操作符合GDPR规定，具体包括修改默认隐私设置和实施有效的年龄验证机制。TikTok表示'尊重但不同意'罚款金额的认定。

【典型意义】
本案是全球首例将'暗黑模式'（dark patterns）在GDPR框架下认定为违反公平原则的执法案例。核心意义：一是确立了'告知义务的履行方式'而非仅'告知内容'也属于合规审查范围——即使隐私政策在文字上列出了所需信息，但如果界面设计以操纵性方式引导用户作出不利于自身隐私的选择，仍构成对透明度义务的违反；二是对儿童用户的告知义务适用更高标准——信息须以'适合年龄和理解能力'的方式提供；三是公开默认设置（public-by-default）对儿童用户构成不合理风险，控制器须将隐私保护嵌入默认设计。