编者案
编者关注到爱尔兰DPC处罚Tiktok最新案例中提到了暗黑模式，与此前FTC同类对儿童数据处理的案件中也引入了同样的理由，因此对引发了编者对暗黑模式关注的神经。
神秘专家Mr. Lin翻译了IAPP的文章《Ireland'sDPCissues345MeuroTikTokchildren'sprivacyfine》，提供给本公众号读者一起学习。
摘要
爱尔兰数据保护委员会（Data Protection Commission, DPC）继续示明，如果未能符合欧盟《通用数据保护条例》的核心原则，企业将面临后果。最新的例子是DPC因TikTok涉嫌违反GDPR有关儿童数据保护的规定，对其处以 3.45 亿欧元的罚款和纠正措施 [1]。
此次执法行动涉及一项针对 TikTok 平台在 2020 年 7 月 31 日至2020 年 12 月 31 日，五个月时间段内与儿童有关的设置的指控。DPC依职权调查发现TikTok违反了GDPR第五条第一款（c）项、（f）项、第十二条第一款、第十三条第一款（e）项、第二十四条第一款、第二十五条第一款和第二十五条第二款，在欧洲数据保护委员会（European Data Protection Board, EDPB）23年8月就此事做出了具有约束力的决定后，又增加了对第五条第一款（a）项的违反 [2]。
在关于该裁决的声明中 [3]，EDPB详细说明了其依据GDPR第六十五条争议解决机制作出决定时对各项指控的分析。委员会重点关注了“TikTok 在向 13-17 岁儿童显示的两个弹出通知的设计实践（用户注册弹窗和视频发布弹窗）”。其称，这两处的做法都“未能以客观和中立的方式向用户提供选项”。
EDPB主席Anu Talus表示，TikTok和社交媒体平台“有责任避免以不公平的方式向用户，尤其是儿童展示选项。她还表示，DPC和委员会的工作“再次明确表示，数字（世界）玩家必须格外小心，并采取一切必要措施来保障儿童的数据保护权利。
TikTok 于 9 月 11 日收到 DPC 最终决定的通知后，有三个月的时间来纠正涉嫌违反 GDPR 关于个人数据处理、设计即保护和默认即保护，以及透明度原则的行为。
TikTok欧洲隐私主管伊莱恩·福克斯（Elaine Fox）在回应DPC的决定时表示[4]，“我们对裁决的几个方面，特别是罚金额度表示不同意。她补充说，“由于我们在2021年初（也就是DPC调查开始前几个月）就已经采取了措施，因此这些说法已经不再适用”。
DPC表示其依职权调查还涉及与TikTok年龄验证实践相关的GDPR违规行为，而根据福克斯的说法，实际上年龄控制实践被发现是符合规定的，并且也不包括在最终决定中。
爱尔兰数据保护专员海伦·迪克森（Helen Dixon）在5月在出席欧洲议会时预报了关于TikTok决定的最终结果[5]，她还声称“由于DPC开展了大规模调查，今年将是GDPR执法力度更大的一年”。
逐渐形成的记录
此次处罚是DPC在过去12个月中通过的一系列巨额罚款中的最新一起。5 月份对 Meta 处以创纪录的 12 亿欧元的罚款是 DPC 最严厉的罚单[6][7][8]。除了严厉的罚金处罚，DPC活跃的工作也建立了执法行动的模式。
对TikTok 的处罚与 2022 年 9 月因涉及13-17 岁儿童用户设置问题 Meta旗下Instagram 受到的 4.05 亿欧元罚款[9] 密切相关。DPC在这两个案例里都仔细审查了平台对儿童账户适用“默认即公开”设置的情况。
IAPP Research and Insights总监Joe Jones评论到：“对于许多组织来说，罚款 （尽管数额巨大）的后果远不及监管机关下达的纠正命令”。“监管机关越来越多地下令改变某些数据实践——其中许多以前可能是商业模式的核心，而且通常很难、或不可能厘清，并加以改变使其合规。
反对的意见
与之前的DPC决定一样[10]，在对DPC的决定草案提出异议后，相关监管机关迫使EDPB依据GDPR第六十五条争议解决机制做决定。DPC为两起投诉开了口子，其中一起投诉使DPC将TikTok涉嫌违反第五条第一款（a）项纳入其最终决定。
增加违反第五条第一款（a）项行为是柏林数据保护和信息自由专员提出的，DPC称其“寻求在“黑暗模式”方面增加一项关于违反GDPR第五条第一款（a）项公平原则的额外调查结果”。意大利数据保护机关 Garante则对“关于（TikTok）在调查所涉期间（2020 年 7 月 31 日至2020 年 12 月 31 日）的年龄验证方法的合规性的拟定调查结果”提出了质疑，但未获成功。
在五月出席欧洲议会期间，迪克森专员解释说，数据保护机关之间关于执法适当性的持续辩论“在很大程度上局限于边缘性问题”。她还解释了关于DPC在跨境案件中的优势的“不准确”说法，称她的办公室从未“被其他监管机关强迫采取更强硬的执法行动”。
EDPB指出，在第六十五条争议解决程序中达成的共识是，法律评估不受有关监管机关的反对。
DPC 表示，它已于 2022 年 9 月 13 日向其他监管机关提交了决定草案，这意味着对该决定草案和随后的争议解决的反对意见导致最终决定需要再等一年。
自GDPR于2018年生效以来，执法行动最终确定的普遍滞后引起了消费者团体的愤怒。在2019年的IAPP数据保护大会上[11]，迪克森表示，在没有充分了解执法过程的情况下，负面评论是不合理的。
迪克森说: “我认为，如果你对调查所涉及的内容稍有了解，就会知道制裁可能相当大的，有可能是非常高的罚款，有可能是禁止处理，这可能会影响企业和企业的生存能力，你就必须遵循正当程序，一步一步去做。“
编者注：事件仍在发展，IAPP将对本文进行更新。
原文链接：https://iapp.org/news/a/irelands-dpc-issues-345m-euro-tiktok-childrens-privacy-fine/
注释
1.https://www.dataprotection.ie/en/news-media/press-releases/DPC-announces-345-million-euro-fine-of-TikTok
2.https://edpb.europa.eu/news/news/2023/edpb-settles-dispute-tiktok-processing-childrens-data_en
3.https://edpb.europa.eu/news/news/2023/following-edpb-decision-tiktok-ordered-eliminate-unfair-design-practices-concerning_en
4.https://newsroom.tiktok.com/en-eu/response-data-protection-commission
5.https://iapp.org/news/a/dpcs-dixon-expects-2023-to-solidify-gdpr-enforcement/
6.https://iapp.org/news/a/meta-fined-gdpr-record-1-2-billion-euros-in-data-transfer-case/
7.https://mp.weixin.qq.com/s/h33ZCi1fM6pjRPLuNLLXWg
8.https://mp.weixin.qq.com/s/bvEKoVvSBOXcj8ySL8gHkQ
9.https://www.dataprotection.ie/index.php/en/news-media/press-releases/data-protection-commission-announces-decision-instagram-inquiry
10.https://iapp.org/news/a/metas-eu-data-transfer-case-faces-article-65-dispute-resolution-mechanism/
https://iapp.org/news/a/dpas-from-dpc-stage-fines-dont-mean-everything/