O TikTok rastreia ilegalmente seus hábitos de compra – e o uso de aplicativos de namoro

Rastreamento ilegal em aplicativos. Não é nenhum segredo que o TikTok tem muita fome de dados. Afinal, o algoritmo da popular plataforma de vídeo parece saber exatamente qual conteúdo os usuários desejam ver. No entanto, não se sabe que o TikTok também rastreia você enquanto usa outros aplicativos. Um utilizador descobriu esta prática ilegal de rastreio através de um pedido de acesso – que mostrou que, por exemplo, a sua utilização do Grindr foi enviada para o TikTok, provavelmente através da empresa de rastreio israelita AppsFlyer – o que permite ao TikTok tirar conclusões sobre a sua orientação sexual e vida sexual. Estes são dados especialmente protegidos sob Artigo 9º do RGPDque só pode ser processado em casos excepcionais. Inicialmente, o TikTok até reteve essas informações do usuário, o que viola Artigo 15 do RGPD. Somente após repetidas consultas, o TikTok revelou que sabe quais aplicativos ele usou, o que ele fez dentro desses aplicativos (por exemplo, adicionar um produto ao carrinho de compras) – e que esses dados também incluíam informações sobre o uso do aplicativo de namoro gay Grindr.

Kleanthi Sardeli, advogada de proteção de dados da noite: “Como muitos de seus equivalentes nos EUA, o TikTok coleta cada vez mais dados de outros aplicativos e fontes. Isso permite que o aplicativo chinês obtenha uma imagem completa da atividade online das pessoas. O fato de os dados de outro aplicativo revelarem a orientação sexual e a vida sexual deste usuário é apenas um dos exemplos mais extremos.”

Cúmplices no processamento ilegal de dados. O TikTok só conseguiu receber essas informações com a ajuda da empresa de dados israelense AppsFlyer e do próprio Grindr. A AppsFlyer provavelmente funciona como uma espécie de intermediário, que recebe os dados confidenciais sobre o reclamante do Grindr e depois os repassa ao TikTok. O problema: nem a AppsFlyer nem o Grindr têm uma base legal válida nos termos do Artigo 6(1) do GDPR para compartilhar os dados pessoais do reclamante com terceiros, como o TikTok. E eles certamente não têm nenhum motivo válido para compartilhar seus dados confidenciais nos termos do Artigo 9(1) do GDPR. Em nenhum momento o reclamante consentiu na partilha dos seus dados.

Resposta insuficiente ao pedido de acesso. Os utilizadores devem geralmente ser informados sobre os destinatários dos dados pessoais e até obter uma cópia dos mesmos. No entanto, o TikTok parece violar estruturalmente o direito dos usuários de obter tal cópia. O TikTok encaminha seus usuários para um “ferramenta de download”mas depois admitiu que esta ferramenta contém apenas o que considera mais “relevante” dados – e de longe nem todos os dados pessoais. Mesmo após repetidas consultas para adicionar as informações que faltavam, o TikTok não forneceu informações sobre quais dados estão sendo processados ​​e com que finalidade. Ao fazer isso, o TikTok viola claramente Artigos 12.º e 15 RGPDque exigem que as empresas forneçam a informação na íntegra e num formato de fácil compreensão.

Lisa Steinfeld, advogada de proteção de dados da noite: “O TikTok direciona seus usuários para uma ‘ferramenta de download’ inerentemente incompleta. É justo supor que milhares de usuários foram enviados para essa ferramenta fraudulenta, que estruturalmente não cumpre os requisitos legais para fornecer uma cópia completa dos próprios dados pessoais.”

Reclamações apresentadas na Áustria. noite apresentou, portanto, duas queixas à autoridade austríaca de proteção de dados (DSB). A primeira reclamação é contra o TikTok e gira em torno da resposta incompleta ao pedido de acesso do reclamante. A segunda reclamação é contra TikTok, AppsFlyer e Grindr e trata do processamento indefinido de dados fora do TikTok, da falta de base legal válida para o compartilhamento e processamento de dados e da violação de Artigo 9(1) do RGPD. Solicitamos à TikTok que forneça ao reclamante as informações em falta e às três empresas que interrompam o processamento ilegal dos seus dados pessoais. Por último, mas não menos importante, sugerimos que a autoridade imponha uma “eficaz, proporcionado e dissuasivo” multa nos termos do Artigo 83 do GDPR para evitar violações semelhantes no futuro.