Antwoorden op Kamervragen over het bericht over onderzoek Ierse privacywaakhond verwerking TikTok gegevens van kinderen

Datum 5 november 2021
Onderwerp Antwoorden op Kamervragen over het bericht ‘Ierse privacywaakhond onderzoekt hoe TikTok gegevens van kinderen verwerkt'

1. Bent u bekend met het bericht 'Ierse privacywaakhond onderzoekt hoe TikTok gegevens van kinderen verwerkt'?(1)

Ja.

2. Is u bekend of (inter)nationaal al meer onderzoek is gedaan naar het verzamelen, verwerken en gebruiken van gegevens van kinderen door TikTok, naast eerdergenoemd onderzoek door de Ierse Data Protection Commission (DPC) en het onderzoek door de Nederlandse Autoriteit Persoonsgegevens (AP) in 2020?(2)

&

3. Waarvoor gebruiken bedrijven als TikTok deze gegevens, afgezien van reclame? Welke inzichten bestaan hierover? Is hier recent nog onderzoek naar gedaan door Europese en/of niet-Europese organisaties en/of instellingen?

&

4. Zijn de AP en/of de Autoriteit Consument & Markt (ACM) op enige manier betrokken bij het onderzoek dat thans door de DPC wordt gedaan? Staan zij, mogelijk in Europees verband, met de DPC in contact? Indien niet, is dit te overwegen?

De AP heeft mij laten weten dat er in 2020 een onderzoek is gestart naar TikTok. De AP heeft op 9 april 2021 aan TikTok een boete opgelegd van €750.000 wegens het schenden van de privacy van jonge kinderen. De informatie die de Nederlandse gebruikers – veelal jonge kinderen – van TikTok kregen bij het installeren en gebruiken van de app was in het Engels en daardoor niet voor eenieder goed te begrijpen. Door de privacyverklaring niet in het Nederlands aan te bieden legde TikTok onvoldoende uit hoe de app persoonsgegevens verzamelde, verwerkte en verder gebruikte. TikTok heeft tegen deze boete bezwaar aangetekend. Het onderzoek uit 2020 zag daarnaast op de vraag of de TikTok-app privacyvriendelijk is ontworpen en ingericht en in hoeverre toestemming van ouders vereist is wanneer TikTok persoonsgegevens van kinderen verzamelt, opslaat en verder gebruikt.

De AP was echter niet meer bevoegd om ten aanzien van dat deel van het onderzoek een besluit te nemen, omdat TikTok haar hoofdkantoor gedurende het onderzoek heeft verplaatst naar Dublin. Daarom heeft de AP haar onderzoeksuitkomsten overgedragen aan de Ierse Data Protection Commission (DPC) en de DPC formeel verzocht het onderzoek voort te zetten en een besluit te nemen. De AP heeft daarbij gebruik gemaakt van de wettelijke mogelijkheid om collega AVG-toezichthouders te vragen om wederzijdse bijstand te bieden conform artikel 61 van de Algemene verordening gegevensbescherming (AVG). Het onderzoek naar TikTok dat recentelijk is aangekondigd door de DPC betreft een opvolging van dit verzoek om het door de AP opgestarte onderzoek af te ronden. Over de inhoud daarvan kan de AP geen mededelingen doen. De AP blijft nauw betrokken bij dit onderzoek als toezichthouder die om wederzijdse bijstand heeft verzocht en daarnaast als zogenoemde betrokken toezichthouder, zoals is beschreven in artikel 60 van de AVG.

Naast deze formele betrokkenheid is er ook nauw informeel contact tussen de AP en de DPC over deze zaak, juist vanwege de initiërende rol van de AP met betrekking tot dit onderzoek naar TikTok.

Wat betreft de activiteiten van andere Europese en/of niet-Europese organisaties en/of instellingen, wordt de AP door haar collega toezichthouders op de hoogte gehouden van onderzoeken die lopen op het gebied van gegevensbescherming. De AP kan echter geen uitspraken doen over mogelijk lopende onderzoeken bij andere toezichthouders anders dan wat eerder via de media naar buiten is gebracht.

De Autoriteit Consument & Markt (ACM) heeft desgevraagd laten weten dat zij geen betrokkenheid heeft bij het onderzoek dat door de DPC wordt gedaan. Wel is de ACM betrokken bij het Europese Consumer Protection Cooperation Network dat momenteel in dialoog is met TikTok. Dit ziet niet op de privacy en gegevensbescherming, maar op de naleving van het consumentenrecht, zoals dat er redelijke (algemene) voorwaarden moeten worden gehanteerd. Gezien de verschillende taak van de ACM ten opzichte van toezichthoudende autoriteiten als de AP en DPC, wordt het in vraag 4 genoemde contact thans niet overwogen.

5. Wat is de stand van zaken met betrekking tot de uitvoering van de motie-Van Dijk over cyberveiligheid bij het gebruik van apps en mobiele toestellen, die de regering onder andere verzoekt te onderzoeken hoe kinderen beter zouden kunnen worden beschermd tegen de risico’s en kwetsbaarheden van (het gebruik van) mobiele toestellen en apps, zoals TikTok?(3)

&

6. Welke andere acties en initiatieven, naast die waar eerdergenoemde motie om verzoekt, lopen er om de cyberveiligheid van Nederlandse app- en telefoongebruikers, in het bijzonder kinderen, te vergroten?

Aangaande de uitvoering van de genoemde motie, is het ministerie van Economische Zaken en Klimaat (EZK) een aanbestedingstraject gestart voor het uitvoeren van een onderzoek. Dat onderzoek, dat met mijn departement zal worden afgestemd, richt zich overeenkomstig de motie op cyberveiligheid van mobiele toestellen en apps waarbij expliciet aandacht wordt besteed aan hoe kinderen beter zouden kunnen worden beschermd. De verwachting is dat uw Kamer medio 2022 geïnformeerd wordt over de resultaten van dit onderzoek. Met betrekking tot andere acties en initiatieven die naast de genoemde motie lopen, verwijs ik naar de acties die voortvloeien uit de Roadmap Digitale Veilige hard- en software.(4) Binnen een afzienbare termijn ontvangt uw Kamer daarover een voortgangsrapportage.

7. Bent u voornemens om ook (de uitkomsten van) het tweede onderzoek dat de DPC heeft ingesteld te volgen, namelijk het onderzoek naar het mogelijkerwijs delen van data van EU-gebruikers met China door TikTok? Beschikt u zelf, op basis van uw eigen informatiepositie, over aanwijzingen dat dit aan de hand is?

Ik beschik niet over dergelijke aanwijzingen. Ik ben absoluut voornemens de uitkomsten van dit tweede onderzoek te volgen. De doorgifte van gegevens van (minderjarige) Europese burgers is ingevolge hoofdstuk V van de AVG alleen onder bepaalde voorwaarden toegestaan. Hoofdregel daarbij is dat er alleen gegevens aan een derde land mogen worden doorgegeven als er een ‘passend niveau van gegevensbescherming’ in dat land bestaat, of er waarborgen kunnen worden geboden die alsnog een passend niveau van bescherming garanderen. Ik zal met belangstelling kennisnemen van de conclusies van de toezichthouders omtrent de internationale doorgiften door TikTok.

Voetnoten

(1) NOS, 15 september 2021 (https://nos.nl/artikel/2397885-ierse-privacywaakhond-onderzoekt-hoe-tiktok-gegevens-van-kinderenverwerkt)
(2) Autoriteit Persoonsgegevens, 8 mei 2020 (https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-start-onderzoek-naar-tiktok)
(3) Kamerstukken II 2020/21, 30821, 148
(4) Kamerstukken II, 2017/18, 26643, 535