Antwoord schriftelijke vragen : Antwoord op vragen van de leden Inge van Dijk en Amhaouch over het bericht 'Ierse privacywaakhond onderzoekt hoe TikTok gegevens van kinderen verwerkt'

Antwoord van Minister Dekker (Rechtsbescherming) (ontvangen 5 november 2021). Zie
ook Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 190.

Vraag 1

Bent u bekend met het bericht «Ierse privacywaakhond onderzoekt hoe TikTok gegevens
van kinderen verwerkt»?1

Antwoord 1

Ja.

Vraag 2, 3, 4

Is u bekend of (inter)nationaal al meer onderzoek is gedaan naar het verzamelen, verwerken
en gebruiken van gegevens van kinderen door TikTok, naast eerdergenoemd onderzoek
door de Ierse Data Protection Commission (DPC) en het onderzoek door de Nederlandse
Autoriteit Persoonsgegevens (AP) in 2020?2

Waarvoor gebruiken bedrijven als TikTok deze gegevens, afgezien van reclame? Welke
inzichten bestaan hierover? Is hier recent nog onderzoek naar gedaan door Europese
en/of niet-Europese organisaties en/of instellingen?

Zijn de AP en/of de Autoriteit Consument & Markt (ACM) op enige manier betrokken bij
het onderzoek dat thans door de DPC wordt gedaan? Staan zij, mogelijk in Europees
verband, met de DPC in contact? Indien niet, is dit te overwegen?

Antwoord 2, 3, 4

De AP heeft mij laten weten dat er in 2020 een onderzoek is gestart naar TikTok. De
AP heeft op 9 april 2021 aan TikTok een boete opgelegd van € 750.000 wegens het schenden
van de privacy van jonge kinderen. De informatie die de Nederlandse gebruikers – veelal
jonge kinderen – van TikTok kregen bij het installeren en gebruiken van de app was
in het Engels en daardoor niet voor eenieder goed te begrijpen. Door de privacyverklaring
niet in het Nederlands aan te bieden legde TikTok onvoldoende uit hoe de app persoonsgegevens
verzamelde, verwerkte en verder gebruikte. TikTok heeft tegen deze boete bezwaar aangetekend.
Het onderzoek uit 2020 zag daarnaast op de vraag of de TikTok-app privacyvriendelijk
is ontworpen en ingericht en in hoeverre toestemming van ouders vereist is wanneer
TikTok persoonsgegevens van kinderen verzamelt, opslaat en verder gebruikt.

De AP was echter niet meer bevoegd om ten aanzien van dat deel van het onderzoek een
besluit te nemen, omdat TikTok haar hoofdkantoor gedurende het onderzoek heeft verplaatst
naar Dublin. Daarom heeft de AP haar onderzoeksuitkomsten overgedragen aan de Ierse
Data Protection Commission (DPC) en de DPC formeel verzocht het onderzoek voort te
zetten en een besluit te nemen. De AP heeft daarbij gebruik gemaakt van de wettelijke
mogelijkheid om collega AVG-toezichthouders te vragen om wederzijdse bijstand te bieden
conform artikel 61 van de Algemene verordening gegevensbescherming (AVG). Het onderzoek
naar TikTok dat recentelijk is aangekondigd door de DPC betreft een opvolging van
dit verzoek om het door de AP opgestarte onderzoek af te ronden. Over de inhoud daarvan
kan de AP geen mededelingen doen. De AP blijft nauw betrokken bij dit onderzoek als
toezichthouder die om wederzijdse bijstand heeft verzocht en daarnaast als zogenoemde
betrokken toezichthouder, zoals is beschreven in artikel 60 van de AVG.

Naast deze formele betrokkenheid is er ook nauw informeel contact tussen de AP en
de DPC over deze zaak, juist vanwege de initiërende rol van de AP met betrekking tot
dit onderzoek naar TikTok.

Wat betreft de activiteiten van andere Europese en/of niet-Europese organisaties en/of
instellingen, wordt de AP door haar collega toezichthouders op de hoogte gehouden
van onderzoeken die lopen op het gebied van gegevensbescherming. De AP kan echter
geen uitspraken doen over mogelijk lopende onderzoeken bij andere toezichthouders
anders dan wat eerder via de media naar buiten is gebracht.

De Autoriteit Consument & Markt (ACM) heeft desgevraagd laten weten dat zij geen betrokkenheid
heeft bij het onderzoek dat door de DPC wordt gedaan. Wel is de ACM betrokken bij
het Europese Consumer Protection Cooperation Network dat momenteel in dialoog is met TikTok. Dit ziet niet op de privacy en gegevensbescherming,
maar op de naleving van het consumentenrecht, zoals dat er redelijke (algemene) voorwaarden
moeten worden gehanteerd. Gezien de verschillende taak van de ACM ten opzichte van
toezichthoudende autoriteiten als de AP en DPC, wordt het in vraag 4 genoemde contact
thans niet overwogen.

Vraag 5, 6

Wat is de stand van zaken met betrekking tot de uitvoering van de motie-Van Dijk over
cyberveiligheid bij het gebruik van apps en mobiele toestellen, die de regering onder
andere verzoekt te onderzoeken hoe kinderen beter zouden kunnen worden beschermd tegen
de risico’s en kwetsbaarheden van (het gebruik van) mobiele toestellen en apps, zoals
TikTok?3

Welke andere acties en initiatieven, naast die waar eerdergenoemde motie om verzoekt,
lopen er om de cyberveiligheid van Nederlandse app- en telefoongebruikers, in het
bijzonder kinderen, te vergroten?

Antwoord 5, 6

Aangaande de uitvoering van de genoemde motie, is het Ministerie van Economische Zaken
en Klimaat (EZK) een aanbestedingstraject gestart voor het uitvoeren van een onderzoek.
Dat onderzoek, dat met mijn departement zal worden afgestemd, richt zich overeenkomstig
de motie op cyberveiligheid van mobiele toestellen en apps waarbij expliciet aandacht
wordt besteed aan hoe kinderen beter zouden kunnen worden beschermd. De verwachting
is dat uw Kamer medio 2022 geïnformeerd wordt over de resultaten van dit onderzoek.
Met betrekking tot andere acties en initiatieven die naast de genoemde motie lopen,
verwijs ik naar de acties die voortvloeien uit de Roadmap Digitale Veilige hard- en
software4. Binnen een afzienbare termijn ontvangt uw Kamer daarover een voortgangsrapportage.

Vraag 7

Bent u voornemens om ook (de uitkomsten van) het tweede onderzoek dat de DPC heeft
ingesteld te volgen, namelijk het onderzoek naar het mogelijkerwijs delen van data
van EU-gebruikers met China door TikTok? Beschikt u zelf, op basis van uw eigen informatiepositie,
over aanwijzingen dat dit aan de hand is?

Antwoord 7

Ik beschik niet over dergelijke aanwijzingen. Ik ben absoluut voornemens de uitkomsten
van dit tweede onderzoek te volgen. De doorgifte van gegevens van (minderjarige) Europese
burgers is ingevolge hoofdstuk V van de AVG alleen onder bepaalde voorwaarden toegestaan.
Hoofdregel daarbij is dat er alleen gegevens aan een derde land mogen worden doorgegeven
als er een «passend niveau van gegevensbescherming» in dat land bestaat, of er waarborgen
kunnen worden geboden die alsnog een passend niveau van bescherming garanderen. Ik
zal met belangstelling kennisnemen van de conclusies van de toezichthouders omtrent
de internationale doorgiften door TikTok.