爱尔兰数据保护委员会（DPC）宣布对TikTok处以巨额罚款，原因是该公司将欧洲经济区用户的个人数据传输至中国，且未提供适当保障。作为欧盟数字领域的主要监管机构，DPC认定TikTok严重违反《通用数据保护条例》(GDPR)，允许从中国远程访问欧洲用户个人数据，却未核实这些数据是否受到与GDPR同等水平的防护。
DPC发言人格雷厄姆·多伊尔表示：“GDPR要求个人数据跨境转移时必须保持高水平保护。TikTok未能验证、确保或证明其在中国远程访问的EEA用户数据具有与欧盟基本相当的保护水平，因此构成违规。”
“由于TikTok未进行必要评估，它未解决中国当局依据反恐法、反间谍法等法律可能访问EEA个人数据的问题，而这些法律被TikTok认为与欧盟规则存在实质性差异。”
信息透明度缺失
第二项违规涉及对欧洲用户缺乏透明度。TikTok 2021年隐私政策未列出接收数据的国家（如中国），也未说明该国人员能否远程访问存储在美国和新加坡服务器上的数据。
尽管TikTok于2022年12月更新政策并补充了相关细节，但DPC认定其在2020年7月29日至2022年12月1日期间未履行透明度义务，据此追加4500万欧元罚款。
调查期间，TikTok曾声称未将EEA用户数据存储在中国服务器。然而，2025年4月公司通报一起内部事件，承认部分数据确曾存储于中国，与此前陈述矛盾。虽称数据已删除，DPC正评估是否采取进一步行动。
TikTok的回应
针对裁决，TikTok迅速发表声明表示反对，辩称该决定基于其2023年启动耗资120亿欧元Clover项目强化数据安全之前的过往做法。公司强调从未向中国政府提供或接收数据，远程访问受严格限制并由欧洲网络安全公司NCC Group监督。
Clover项目已将欧洲用户默认数据存储于特定欧洲数据飞地，托管在挪威、爱尔兰和美国的数据中心。
TikTok批评DPC未充分考虑包括默认欧洲存储、隐私增强技术及全天候独立控制在内的合规措施。公司指出其遵循标准合同条款等跨国法律框架，并将此次裁决定性为对全球运营企业产生有害影响的先例：
“此决定有确立广泛影响先例的风险，波及整个欧洲在全球运营的企业和行业，对欧盟竞争力构成沉重打击。”
因此，TikTok将对该处罚提出上诉，呼吁欧盟支持Clover类解决方案，在保障隐私的同时不阻碍全球数据流动与创新。
对大型科技公司的又一笔罚款
这并非欧盟通过各监管机构对大型科技公司开出的首张巨额罚单。近年来，欧洲当局围绕GDPR、《数字服务法》(DSA)及《数字市场法》(DMA)发起多起诉讼，以保障消费者权益。
例如，DPC曾在2024年对Meta处以9100万欧元罚款，因其存储用户密码时未加密；同年12月，又因违反数据保护法规危及用户安全，对Meta追加2.51亿欧元罚款。
在GDPR方面，2024年欧盟委员会对LinkedIn处以3.1亿欧元罚款，认定其未妥善处理用于行为分析和定向广告的数据。此外，今年欧盟委员会还作出历史性裁决：Apple需支付5亿欧元，Meta需支付2亿欧元，均系违反DMA所致。
图片：Flux Schnell