Guerre dei dati: dentro la multa GDPR da 530 milioni di euro a TikTok che ha ridisegnato la mappa della sovranità digitale

In una tranquilla mattina di maggio 2025, la Data Protection Commission (DPC) irlandese ha sganciato una bomba: una multa da 530 milioni di euro contro TikTok per aver trasferito illegalmente in Cina i dati degli utenti europei. Ma dietro i titoli c’è una storia di flussi di dati nascosti, scacchi geopolitici e un terremoto regolatorio che potrebbe cambiare il modo in cui i giganti tecnologici operano in tutto il mondo. Mentre milioni di europei scorrono i loro feed, pochi si rendono conto che i loro dati sono diventati l’ultimo campo di battaglia in una lotta globale per il controllo digitale.

L’indagine è iniziata nel settembre 2021, prendendo di mira i trasferimenti di TikTok dei dati degli utenti dello Spazio Economico Europeo (SEE) verso la Cina. Dopo tre anni, la DPC ha ritenuto TikTok colpevole di due gravi violazioni del GDPR: non aver protetto i dati durante i trasferimenti e non aver informato chiaramente gli utenti su dove stessero andando i loro dati. La sanzione da 530 milioni di euro include 485 milioni per trasferimenti illeciti e 45 milioni per mancanza di trasparenza, oltre a un ordine di sospendere i trasferimenti di dati entro sei mesi.

Ciò che rende storico questo caso non è solo l’entità della multa, ma le sue implicazioni. In una rara dimostrazione di unità, nessuna autorità europea per la protezione dei dati ha sollevato obiezioni alla decisione. La DPC ha inoltre portato alla luce una verità sconcertante: all’inizio del 2025, TikTok ha ammesso che alcuni dati europei erano stati archiviati su server cinesi, contraddicendo direttamente le prove fornite in precedenza. Per gli esperti di cybersecurity, la domanda è inquietante: come può un gigante tecnologico globale perdere traccia di dove conserva le informazioni più sensibili dei propri utenti?

Il caso ha anche chiarito il diritto UE: se ingegneri in Cina possono accedere da remoto ai dati europei, anche se i server sono a Singapore o negli Stati Uniti, dal punto di vista legale è lo stesso che inviare i dati in Cina. TikTok ha sostenuto che il diritto cinese non potrebbe toccare dati non fisicamente archiviati in Cina, ma la DPC ha respinto questa tesi, citando ampie leggi cinesi sulla sicurezza nazionale che impongono a tutte le organizzazioni di assistere le agenzie di intelligence.

Il “Project Clover” da 12 miliardi di euro di TikTok, progettato per localizzare i dati europei in nuovi data center basati nell’UE, non è bastato. La DPC ha affermato che TikTok non ha valutato con sufficiente rigore se il diritto cinese potesse prevalere su queste misure tecniche. In sostanza, controlli sofisticati contano poco se un governo può semplicemente pretendere l’accesso.

Dopo la decisione, TikTok ha ottenuto una sospensione temporanea dall’Alta Corte irlandese, sostenendo che bloccare i trasferimenti costerebbe miliardi e sconvolgerebbe il suo business. L’esito finale resta incerto, con un confronto legale atteso nel 2026.

Per i CISO e gli architetti della sicurezza, il caso TikTok è un campanello d’allarme: qualsiasi accesso remoto da Paesi ad alto rischio deve essere trattato come un vero e proprio trasferimento di dati, richiedendo solide tutele legali e tecniche. Informative sulla privacy vaghe e contratti standard non bastano più. Il precedente complica la vita a qualunque azienda con operazioni o fornitori in Cina e solleva la domanda: le piattaforme globali potranno mai colmare il baratro giuridico tra la sicurezza nazionale cinese e la privacy europea?

In definitiva, questa è più di una storia su un’app. La multa a TikTok è la prima salva in una battaglia in corso su chi controlla i dati del mondo. Mentre regolatori, aziende e utenti fanno i conti con le conseguenze, una cosa è chiara: l’era dell’innocenza digitale è finita. I prossimi capitoli - scritti nelle aule di tribunale e nel codice - plasmeranno il futuro di Internet globale.

WIKICROOK

• GDPR: Il GDPR è una rigorosa legge dell’UE e del Regno Unito che protegge i dati personali, imponendo alle aziende di gestire le informazioni in modo responsabile o affrontare pesanti sanzioni.
• Trasferimento di dati: Il trasferimento di dati è lo spostamento di dati personali dall’UE/SEE verso Paesi esterni, regolamentato per garantire conformità a privacy e sicurezza.
• Accesso remoto: L’accesso remoto consente agli utenti di connettersi a un computer o a una rete a distanza, offrendo comodità ma richiedendo una sicurezza robusta per prevenire accessi non autorizzati.
• Clausole contrattuali standard (SCC): Le SCC sono contratti legali che garantiscono la protezione dei dati personali UE quando vengono trasferiti verso Paesi non UE, aiutando le organizzazioni a rispettare il GDPR.
• Legge sull’intelligence nazionale (Cina): La Legge cinese sull’intelligence nazionale impone a tutte le organizzazioni di assistere gli sforzi di intelligence dello Stato, sollevando preoccupazioni su privacy dei dati e cybersecurity in tutto il mondo.