TikTok paga 400 milioni negli USA per la privacy dei minori

🛡️ Executive Summary

• TikTok e ByteDance verseranno 400 milioni di dollari per chiudere il contenzioso federale sulla raccolta dei dati degli utenti sotto i 13 anni.
• La causa contestava account con età sconosciuta, aggiramento dei controlli, profilazione, retargeting e difficoltà nella cancellazione dei dati dei bambini.
• L’accordo non determina la responsabilità delle società, ma riconosce nuovi controlli sull’età, maggiori tutele e una supervisione parentale rafforzata.

TikTok e ByteDance hanno raggiunto un accordo da 400 milioni di dollari con il Dipartimento di Giustizia degli Stati Uniti per chiudere il contenzioso avviato nel 2024 sulle presunte violazioni della privacy dei bambini. L’azione federale contestava alla piattaforma la raccolta e l’utilizzo di informazioni personali appartenenti a utenti sotto i 13 anni senza un consenso parentale verificabile, oltre alla mancata cancellazione di account e dati segnalati dalle famiglie. TikTok pagherà 300 milioni di dollari immediatamente e altri 100 milioni quando sarà emesso un provvedimento che annullerà il precedente consent decree applicato nel 2019 a Musical.ly. L’accordo non contiene una dichiarazione giudiziaria di responsabilità, ma rappresenta uno dei maggiori recuperi economici mai ottenuti negli Stati Uniti in un procedimento relativo al Children’s Online Privacy Protection Act, più conosciuto come COPPA.

TikTok chiude la causa con un accordo da 400 milioni di dollari

Secondo il comunicato ufficiale del Dipartimento di Giustizia statunitense, l’intesa coinvolge TikTok, ByteDance e le società affiliate e risolve il contenzioso sulla conformità della piattaforma al COPPA e alle relative disposizioni applicative. La struttura economica prevede una prima tranche da 300 milioni di dollari, alla quale si aggiungeranno 100 milioni dopo l’annullamento dell’ordine giudiziario che vincolava Musical.ly, il servizio acquisito da ByteDance e trasformato nella base dell’attuale TikTok. Il Dipartimento di Giustizia definisce il risultato uno dei recuperi più elevati mai conseguiti in un caso COPPA, ma precisa un elemento essenziale: le contestazioni risolte attraverso l’accordo restano allegazioni e non sono state accertate da una decisione giudiziaria. Il pagamento chiude quindi una controversia civile senza equivalere, sul piano formale, a un’ammissione delle violazioni descritte nella denuncia. L’accordo arriva inoltre dopo cambiamenti che l’amministrazione statunitense considera sostanziali nella proprietà, nella gestione, nelle funzioni di conformità e nelle pratiche privacy della società. TikTok avrebbe rafforzato i sistemi dedicati agli utenti più giovani, i controlli sull’età e gli strumenti di supervisione parentale, offrendo al governo una ragione per privilegiare un risultato immediato rispetto ai tempi e all’incertezza di una causa prolungata. La somma resta comunque enorme rispetto agli standard storici della protezione dei minori online e segnala che la gestione dell’età non può più essere trattata come una semplice impostazione del profilo, soprattutto quando la piattaforma monetizza dati comportamentali, identificatori persistenti e interazioni utilizzate per personalizzare contenuti e pubblicità.

La causa del 2024 accusava TikTok di violazioni ripetute del COPPA

Il procedimento era stato avviato nell’agosto 2024 dal Dipartimento di Giustizia su segnalazione della Federal Trade Commission, dopo un’indagine che aveva esaminato il funzionamento degli account utilizzati dai bambini. Nella ricostruzione ufficiale della FTC sulla denuncia, le autorità sostenevano che TikTok avesse raccolto e utilizzato informazioni personali di utenti sotto i 13 anni senza informare adeguatamente i genitori e senza ottenere il consenso richiesto. La contestazione non si limitava all’esistenza di profili appartenenti a minori che avevano dichiarato un’età falsa. Secondo il governo, il sistema avrebbe consentito la creazione di account attraverso credenziali provenienti da servizi esterni, tra cui Google e Instagram, senza obbligare l’utente a comunicare l’età. Questi profili venivano classificati come account con “età sconosciuta” e avrebbero raggiunto una dimensione nell’ordine dei milioni. L’accusa interpretava questa architettura come una via alternativa capace di indebolire il controllo anagrafico principale. La presenza di un termine di servizio che vieta l’utilizzo ai bambini non sarebbe stata sufficiente, perché il COPPA considera anche la conoscenza effettiva che un operatore possiede sulla presenza di utenti sotto i 13 anni. Il tema era già emerso quando le autorità statunitensi avevano portato TikTok e ByteDance davanti al giudice per il trattamento dei dati dei bambini, trasformando una controversia sulla configurazione degli account in una verifica molto più ampia sulle procedure interne della piattaforma. Per il governo, TikTok avrebbe saputo che numerosi bambini continuavano a utilizzare il servizio ordinario e avrebbe mantenuto informazioni personali anche dopo segnalazioni provenienti dai genitori o dagli stessi dipendenti incaricati della conformità.

Kids Mode non avrebbe impedito la raccolta e il riutilizzo dei dati

Le accuse federali coinvolgevano anche Kids Mode, l’esperienza separata destinata agli utenti più giovani. La presenza di un ambiente apparentemente protetto non esonera infatti una piattaforma dagli obblighi sulla minimizzazione, sulla trasparenza e sul consenso. La FTC sosteneva che TikTok avesse raccolto attraverso questa modalità più categorie di informazioni del necessario, comprendendo dati sulle attività svolte nell’applicazione e diversi identificatori persistenti. Questi elementi potevano essere combinati per costruire profili comportamentali, misurare la frequenza di utilizzo e riconoscere uno stesso dispositivo nel tempo. Una delle contestazioni più rilevanti riguardava la condivisione di informazioni con soggetti esterni come Facebook e AppsFlyer, utilizzati nell’ambito di un’attività definita internamente “retargeting less active users”. L’obiettivo, secondo la denuncia, sarebbe stato riportare sul servizio bambini che avevano ridotto o interrotto l’utilizzo dell’app. Se provata, una pratica di questo tipo avrebbe mostrato una contraddizione strutturale: il sistema destinato a proteggere gli utenti più piccoli sarebbe stato impiegato anche per misurarne l’inattività e incentivarne il ritorno. Le autorità contestavano inoltre procedure troppo complesse per ottenere la cancellazione degli account e delle informazioni associate. Il diritto del genitore non consiste soltanto nel poter bloccare un profilo visibile, ma comprende la possibilità di conoscere quali dati siano stati raccolti, impedirne un utilizzo ulteriore e chiederne la rimozione quando non risultano più necessari. La pressione britannica sugli algoritmi che utilizzano i dati dei minorenni dimostra che il problema non riguarda esclusivamente l’apertura dell’account: investe il rapporto tra profilazione, raccomandazioni e capacità della piattaforma di comprendere l’età reale dell’utente.

Il precedente Musical.ly pesava sulla posizione di ByteDance

L’accordo del 2026 deve essere letto insieme al procedimento concluso nel 2019, quando Musical.ly accettò di versare 5,7 milioni di dollari per risolvere le accuse della FTC sulla raccolta illecita di informazioni appartenenti ai bambini. All’epoca si trattava della maggiore sanzione civile mai ottenuta dall’autorità in un caso COPPA. La scheda ufficiale del procedimento contro Musical.ly ricorda che l’applicazione chiedeva agli utenti indirizzo email, numero telefonico, nome completo, username, immagine del profilo e biografia, mentre per i primi anni non domandava l’età durante la registrazione. La società conosceva tuttavia la presenza di bambini sul servizio anche attraverso informazioni inserite nei profili, richieste dei genitori e contenuti pubblicati. L’ordine del 2019 impose il pagamento, la conformità al COPPA e la rimozione dei video realizzati dagli utenti sotto i 13 anni. Per questo motivo la causa avviata nel 2024 attribuiva un peso particolare alle presunte violazioni successive: TikTok non era un operatore incontrato per la prima volta dalle autorità, ma l’evoluzione di una piattaforma già sottoposta a un ordine giudiziario specifico. I 100 milioni di dollari condizionati all’annullamento del precedente consent decree collegano direttamente il nuovo accordo alla vecchia vicenda. La differenza economica tra i 5,7 milioni del 2019 e i 400 milioni del 2026 riflette sia l’espansione globale di TikTok sia la maggiore rilevanza attribuita alla profilazione dei minori. Un’applicazione con una base di utenti enorme e un sistema di raccomandazione capace di apprendere rapidamente interessi e vulnerabilità individuali produce rischi molto diversi rispetto a quelli di un servizio sociale più limitato, anche quando la norma applicata resta formalmente la stessa.

Il COPPA impone consenso, trasparenza e cancellazione dei dati

Il Children’s Online Privacy Protection Act protegge negli Stati Uniti i bambini sotto i 13 anni e si applica ai servizi rivolti direttamente a quel pubblico oppure agli operatori generalisti che sanno di raccogliere informazioni personali da utenti appartenenti a quella fascia. Il punto centrale non è quindi la semplice dichiarazione aziendale secondo cui un’app non sarebbe destinata ai bambini. Quando una società possiede informazioni che rivelano l’età dell’utente, riceve segnalazioni o progetta una modalità specifica per i più piccoli, entrano in gioco obblighi precisi. Le indicazioni della FTC per la conformità al COPPA stabiliscono che il consenso parentale verificabile deve normalmente essere acquisito prima della raccolta dei dati, salvo eccezioni limitate. L’operatore deve pubblicare un’informativa chiara, comunicare direttamente ai genitori quali informazioni raccoglie, spiegare come intende utilizzarle e indicare eventuali comunicazioni a terzi. Deve inoltre permettere alla famiglia di consultare e cancellare i dati del bambino, bloccarne l’ulteriore trattamento e impedire una conservazione superiore al periodo ragionevolmente necessario. Nel contesto delle piattaforme social, la definizione di informazione personale non coincide soltanto con nome e indirizzo email. Può comprendere foto, video, registrazioni vocali, geolocalizzazione, identificatori del dispositivo, cookie, indirizzi IP e altri elementi utilizzabili per riconoscere un utente nel tempo o tra servizi differenti. La profilazione algoritmica amplifica il valore di ogni singolo dato, perché consente di dedurre preferenze, abitudini, orari, relazioni e probabilità di interazione. La controversia TikTok mostra quindi come una norma nata prima dell’attuale economia delle raccomandazioni continui a incidere su sistemi che trasformano segnali apparentemente minimi in profili estremamente dettagliati.

La verifica dell’età resta il problema tecnico decisivo

TikTok sostiene di avere introdotto sistemi più sofisticati per individuare gli utenti sotto i 13 anni che dichiarano una data di nascita non corretta, affiancando alla registrazione controlli automatizzati e personale specializzato nella moderazione anagrafica. Il Dipartimento di Giustizia riconosce che, dopo la denuncia del 2024, la società ha rafforzato le misure per gli utenti più giovani e la supervisione dei genitori. Resta però aperta la questione più complessa: come verificare l’età senza creare una nuova infrastruttura invasiva di identificazione. Affidarsi soltanto alla data inserita dall’utente rende il controllo facilmente aggirabile; richiedere documenti di identità, scansioni biometriche o analisi del volto introduce invece un’ulteriore raccolta di informazioni sensibili. La soluzione deve quindi rispettare contemporaneamente efficacia, minimizzazione e separazione dei dati. La piattaforma potrebbe ricevere una semplice attestazione della fascia anagrafica prodotta da un soggetto indipendente, senza ottenere necessariamente nome, documento e data di nascita completa. La questione attraversa ormai tutte le giurisdizioni e non riguarda soltanto TikTok. Il dibattito sulla difesa dei minori dopo anni di crescita incontrollata delle piattaforme social evidenzia il rischio di trasformare un obiettivo legittimo in un sistema generalizzato di sorveglianza dell’identità. Un controllo inefficace protegge soltanto formalmente i bambini, mentre uno eccessivo può esporre milioni di utenti a nuovi database centralizzati, furti documentali e tracciamento permanente. L’accordo statunitense spinge TikTok verso controlli più robusti, ma non elimina questo conflitto tra tutela anagrafica e riservatezza.

Dalla raccolta dei dati al design che trattiene l’attenzione

La causa americana riguarda principalmente consenso, raccolta, utilizzo e cancellazione delle informazioni personali, ma la protezione dei minori non si esaurisce nel rispetto formale del COPPA. I dati alimentano il sistema di raccomandazione che decide quali video mostrare, con quale frequenza e in quale successione. Più informazioni vengono associate all’utente, più rapidamente la piattaforma può adattare il feed e costruire una sequenza capace di prolungare la sessione. Nell’Unione europea, la contestazione sul design potenzialmente assuefacente di TikTok ha spostato l’attenzione sullo scroll infinito, sull’autoplay, sulle notifiche push e sulla personalizzazione estrema delle raccomandazioni. La Commissione europea ha formulato conclusioni preliminari secondo cui la piattaforma non avrebbe valutato adeguatamente gli effetti di queste funzioni sul benessere fisico e mentale degli utenti, con particolare riguardo ai minorenni e agli adulti vulnerabili. I due procedimenti adottano basi giuridiche differenti, ma osservano parti dello stesso modello industriale. Il COPPA interviene quando i dati dei bambini vengono acquisiti senza le garanzie richieste; il Digital Services Act considera invece i rischi sistemici generati dall’architettura del servizio. La protezione efficace richiede entrambe le prospettive: impedire la raccolta illecita non basta se un account minorile continua a ricevere stimoli progettati per aumentare compulsivamente il tempo di utilizzo, mentre limitare alcune funzioni persuasive non risolve la conservazione di identificatori e profili creati senza consenso.

Stati Uniti ed Europa colpiscono aspetti diversi dello stesso modello

Negli Stati Uniti la soglia del COPPA resta fissata sotto i 13 anni, mentre il quadro europeo offre una protezione più ampia attraverso il GDPR, il Digital Services Act e le normative nazionali. L’età del consenso digitale cambia secondo gli ordinamenti e non coincide necessariamente con quella minima indicata nelle condizioni d’uso delle piattaforme. Questa frammentazione obbliga TikTok e gli altri operatori a gestire regole diverse, ma non giustifica controlli deboli o impostazioni uniformi costruite sul livello minimo di tutela. Le autorità europee hanno già concentrato l’attenzione sui trasferimenti internazionali, sui sistemi di raccomandazione, sui profili pubblici predefiniti e sull’utilizzo dei dati per la pubblicità. Le denunce europee contro TikTok e altre piattaforme per i trasferimenti di informazioni verso la Cina mostrano inoltre che la posizione di ByteDance viene valutata contemporaneamente sul piano della privacy, della sicurezza e della sovranità dei dati. Il regolatore statunitense concentra il caso del 2026 sulla protezione dei bambini e sulla violazione di un precedente ordine, evitando una decisione di merito attraverso l’accordo. Le autorità europee possono invece imporre modifiche al trattamento, al design e alla circolazione internazionale delle informazioni. Il risultato è una pressione convergente: TikTok deve dimostrare non soltanto di poter rimuovere gli account sotto età, ma di saper prevenire la raccolta, limitare la profilazione e documentare l’efficacia dei propri controlli. Il valore dell’accordo americano dipenderà quindi meno dall’importo, rilevante ma sostenibile per una piattaforma globale, e più dalla capacità delle autorità di verificare nel tempo le misure dichiarate.

L’accordo stabilisce un precedente economico ma non chiude il problema

I 400 milioni di dollari rappresentano un segnale molto più forte dei 5,7 milioni pagati da Musical.ly nel 2019, ma una sanzione economica non corregge automaticamente un sistema costruito sulla raccolta continua di segnali comportamentali. Per essere efficace, la conformità deve entrare nella progettazione del servizio: impostazioni private predefinite, minimizzazione degli identificatori, divieto di pubblicità comportamentale per i bambini, procedure rapide di cancellazione, controlli sull’accesso degli adulti e verifiche indipendenti sui modelli di riconoscimento dell’età. Anche i genitori devono poter comprendere quali dati vengano conservati e quali funzioni possano essere disattivate senza affrontare percorsi complessi o interfacce persuasive. La guida italiana sulla tutela degli utenti e dei minori nei social colloca il consenso informato, la verifica dell’età e la protezione predefinita al centro di un approccio che non può essere scaricato interamente sulle famiglie. TikTok dispone di strumenti tecnici, dati e capacità di analisi molto superiori a quelli di un genitore chiamato a controllare ogni applicazione utilizzata da un figlio. La responsabilità principale resta quindi in capo alla piattaforma che progetta il servizio, decide quali informazioni raccogliere e trae valore economico dall’attenzione degli utenti. L’accordo evita anni di contenzioso e consegna al governo statunitense uno dei maggiori risultati mai ottenuti nell’applicazione del COPPA, ma non produce una sentenza capace di chiarire tutti i limiti della conoscenza effettiva, degli account con età sconosciuta e della profilazione dei bambini. Saranno i controlli successivi, le decisioni degli altri regolatori e il comportamento concreto di TikTok a stabilire se i 400 milioni segnano un cambiamento strutturale oppure soltanto il costo più elevato pagato finora per chiudere un capitolo già iniziato con Musical.ly.