英国ICO裁定TikTok未充分识别和移除13岁以下儿童用户案（1270万英镑罚款）

【案件背景】
英国信息专员办公室（ICO）于2023年对TikTok发出1270万英镑的罚款通知，认定TikTok违反了英国GDPR中关于儿童数据保护的多项核心条款。ICO调查发现，2020年期间估计有140万13岁以下儿童在使用TikTok平台，尽管TikTok的服务条款明示禁止13岁以下用户注册。该案是英国脱欧后ICO在儿童数据保护领域最具标志性的执法行动之一。

【违法事实】
ICO认定TikTok存在以下违反英国GDPR的行为：
一、违反第8条（儿童同意的条件）——TikTok未实施充分的年龄验证机制，导致约140万13岁以下儿童得以注册并使用其服务。在为这些儿童用户提供个性化服务时，TikTok未依法获取家长同意。
二、违反第12条及第13条（透明度义务）——TikTok未以13岁以下儿童能够理解的清晰、简明语言向儿童用户说明其数据处理方式。隐私政策的表述复杂程度远远超出儿童的理解能力。三、违反第5(1)(a)条（合法性、公平性和透明度原则）——TikTok在明知或应当知道其平台存在大量低龄用户的情况下，仍以对待13岁以上用户的方式处理这些儿童的数据，整套数据处理的合法性基础缺乏有效支撑。
TikTok在随后的上诉仲裁中主张其属于'特殊目的'（艺术表达）处理，试图据此获得GDPR执法豁免。但英国第一级仲裁庭于2024年裁定，ICO的罚款通知主要涉及13岁以下儿童个人信息的处理，特殊目的豁免条款在此不适用，维持了ICO的执法权。

【处罚决定】
ICO对TikTok处以1270万英镑（约1730万美元）的罚款，并要求其采取全面的合规整改措施，包括改进年龄验证机制、重新设计面向儿童用户的透明度通知、建立针对低龄用户的数据保护措施等。2025年3月，ICO启动了新一轮对TikTok及其他科技公司使用儿童个人信息的专项调查。

【典型意义】
一是ICO明确指出了'事实上的儿童用户'与'条款上的禁止'之间的落差——企业不能仅靠服务条款中的一纸声明免除儿童数据保护义务，当企业知道或应当知道其平台存在大量低龄用户时，即触发GDPR和英国数据保护法关于儿童数据的全部保护义务。二是'年龄适当性设计'（Age Appropriate Design）要求被实质化——隐私政策的可读性、透明度通知的适龄性、默认隐私设置的保护强度，均成为衡量企业是否合规的具体指标。三是仲裁庭关于'特殊目的豁免不适用于儿童数据处理'的裁决具有标志性意义，防止了科技公司以艺术表达或出版自由为名规避儿童数据保护义务。