Il 2 maggio 2025 la Data Protection Commission (DPC) irlandese ha inflitto a TikTok una multa da 530 milioni di euro per aver trasferito illegalmente i dati degli utenti europei verso la Cina. È la terza sanzione GDPR più alta di sempre, dopo Amazon (746M€) e Meta-Facebook (1,2 miliardi€).
Cosa ha violato TikTok
- Art. 46 GDPR (~485M€) — trasferimento di dati verso la Cina senza garantire un livello di protezione equivalente a quello europeo. TikTok non ha dimostrato che i dipendenti cinesi accedessero ai dati rispettando gli standard UE, incompatibili con le leggi cinesi antiterrorismo e controspionaggio
- Art. 13 GDPR (45M€) — mancanza di trasparenza verso gli utenti sulla destinazione dei loro dati
Il colpo di scena di aprile 2025
La dinamica più inquietante emerge quando la decisione era già definita. TikTok comunica alla DPC di aver scoperto — solo a febbraio 2025 — che una “quantità limitata” di dati europei era stata effettivamente archiviata su server fisicamente in Cina.
Il problema: durante tutta l’indagine TikTok aveva dichiarato l’esatto contrario. Risultato: sanzionata anche per aver fornito “informazioni errate” durante il procedimento.
La decisione irlandese è passata al meccanismo di cooperazione GDPR senza obiezioni da nessuna autorità europea — di fatto una posizione unanime dell’intero SEE.
Le implicazioni per il settore
- Non basta dire che i dati “non vanno in Cina”: serve un Transfer Impact Assessment documentato
- L’accesso remoto da dipendenti in paesi terzi = trasferimento di dati, anche se i server sono in Europa
- Le leggi cinesi di sicurezza nazionale sono incompatibili con il GDPR — principio che vale per qualsiasi azienda con operazioni in Cina
TikTok ha 6 mesi per conformarsi
Altrimenti dovrà sospendere il trasferimento dei dati verso la Cina. Ha annunciato ricorso integrale, negando le accuse e citando il progetto “Clover” (storage europeo dedicato).