美国起诉TikTok，多项行为违反儿童隐私保护法

8月2日，美国司法部代表联邦贸易委员会（FTC）起诉视频共享平台TikTok、其母公司字节跳动及其关联公司，称其公然违反了《儿童在线隐私保护法》（COPPA）。此次起诉是为了保护儿童隐私并防止在未经家长同意或控制的情况下收集和使用儿童的个人信息。

本文对起诉状中所指控的TikTok的违法行为做如下总结。

一、违法行为要点总结

（一）TikTok在知情情况下为儿童创建账户，且在未通知父母或未获其同意的情况下收集儿童数据

TikTok允许儿童创建非儿童模式的账户，且无需提供年龄信息就能获得成人内容和TikTok普通平台的功能。在没有通知父母或获得其同意的情况下，TikTok收集并保留了使用这些常规账户的儿童的个人信息。

1.TikTok允许儿童规避年龄验证门槛

用户创建账户时须通过平台的“年龄验证门槛”，但TikTok筛选儿童用户的方法存在缺陷，其没有阻止儿童通过再次尝试的方法来规避门槛。此外，TikTok为用户提供了一种绕过年龄验证门槛的方式，即允许他们在创建账户时使用第三方的登录凭证。

2.TikTok在“儿童模式”下的账户中也未能遵守COPPA

在儿童模式中，TikTok会收集用户名、密码和生日。同时，其还收集几种类型的持久标识符，包括IP地址和独特的设备标识符，但是却没有通知父母或获得其同意。

TikTok还收集了儿童用户相关的几十种类型的信息，包括应用活动数据、设备信息、移动运营商信息和应用信息，他们将这些信息与持久标识符结合起来，用于积累有关儿童的档案。

（二）TikTok妨碍且不尊重父母删除子女账户和数据的请求

COPPA和2019年永久禁令要求TikTok在父母请求时删除儿童的个人信息。但是在许多情况下，TikTok并未遵守这些规则，妨碍了父母提出此类请求的能力。

1.父母请求删除子女数据的流程不合理

父母必须通过一个复杂的流程来了解如何请求删除孩子的账户和信息。同时，TikTok也未能制定一个简单的流程让父母提交删除请求。即使父母成功提交了删除请求，TikTok通常也不会尊重这一请求。

2.TikTok在父母请求时未能删除并停止收集儿童的数据

TikTok在许多情况下根本没有回应父母的请求。即使TikTok确实在父母的要求下删除了孩子的账户和个人信息，其也没有采取措施阻止同一个孩子使用相同的设备、持久标识符、电子邮件地址或电话号码重新创建账户。这意味着已被移除的孩子可以简单地创建一个新账户。

（三）TikTok未能删除其自身系统和员工识别的儿童账户和信息

TikTok声称使用技术、用户报告和人工审核来识别TikTok上的儿童账户，以便删除这些账户和信息。但TikTok知道他们的流程和政策存在缺陷，他们实质上未能删除即使是他们自己的员工和系统标识为儿童的账户和信息。

1.TikTok的“关键词匹配”流程

TikTok使用“关键词匹配”来识别需要删除的儿童账户，但TikTok的关键词匹配做法已被证明存在缺陷。同时，TikTok的人工内容审核员在审查账户时，只有在满足严格标准的情况下才能将其标记为儿童账户并进行删除。

TikTok也未能给予内容审核员足够的时间进行审查，人工审核员在审查时，平均只花费五到七秒来确定账户是否属于儿童。

2. 从视频审核队列转来的账户

TikTok存在一个由人工内容审核员审核被举报视频的流程，旨在识别和标记描绘13岁以下儿童的视频。这些视频会被加入“视频队列”，并可能被标记为“疑似未成年用户”。然而，审核员无法删除儿童账户，只能将视频转交给其他团队进行进一步处理。但这一流程存在缺陷，导致被标记的视频所关联的儿童账户没有被正确转交或删除。

3.在质量保证审查中识别的账户

TikTok对上述内容审核流程进行质量保证审查，要求内容审核员进行复查。然而，当TikTok的质量保证审查员识别出审核员未能将属于儿童而应删除的特定账户进行标记时，TikTok并没有删除该账户。

4.被审核员标记为“禁止未成年人使用”的账户

即使账户被识别为属于儿童并被标记为删除，TikTok也未能删除这样的账户。尽管TikTok意识到了这个问题，并且2019年的永久禁令要求他们保留有关其遵守COPPA或不遵守的记录，但他们未能保留记录来证明这个问题以及受影响的账户。

5.从声称已删除的账户中收集的数据

即使在确定一个账户属于儿童并决定删除与该账户相关的信息后，TikTok仍长时间保留儿童的个人信息。此外，TikTok在声称删除账户后，仍在众多数据库位置保留了儿童的信息。TikTok还未能删除儿童发布在TikTok上，但后来被整合到其他用户视频中的信息。

（四）TikTok的违规行为大规模发生

1.TikTok的政策导致数百万儿童使用TikTok

TikTok的内部分析显示，TikTok有数百万美国用户是13岁以下的儿童。第三方研究同样表明，在美国和其他国家，儿童使用TikTok是很常见的，并且有大量的儿童拥有常规的TikTok账户。

2.TikTok未能保留2019年永久禁令要求的记录

2019年永久禁令要求TikTok创建并维护所有必要的记录，以证明其完全遵守了2019年永久禁令，包括显示完全遵守COPPA的记录。但是TikTok未能创建和维护这些记录。

3.TikTok歪曲其采取的补救措施

TikTok曾向FTC提供了误导性信息，声称自2019年5月11日起已下线所有未通过年龄验证的美国账户。TikTok还声称已于2020年5月24日完成了儿童数据的删除工作，但在FTC的跟进查询后，TikTok承认这些声明是虚假的，实际上公司保留并使用了之前声称已删除的数据，包括儿童、青少年和成人的个人信息。

二、TikTok的回应

针对FTC的指控，TikTok表达了对诉诸法庭而非合作寻找解决方案的失望，并强烈反对了FTC的指控。其认为其中许多与过去事件相关的指控与事实不符或已解决。

同时，TikTok强调其在保护儿童方面的努力和成果，并承诺继续致力于此。TikTok还指出，他们通过严格的保障措施提供适合不同年龄段用户的体验，主动移除可疑未成年用户，并为16岁以下用户推出了包括默认屏幕时间限制、家庭配对和默认私密账户等安全功能，以不断提升和改进产品。

来源｜FTC官网

编译｜张羽翔

审核｜肖嘉晨

    上海赛博网络安全产业创新研究院（简称赛博研究院），是上海市级民办非企业机构，成立至今，赛博研究院秉持战略、管理和技术的综合服务模式、致力于成为面向数字经济时代的战略科技智库、服务数据要素市场的专业咨询机构和汇聚数智安全技术的协同创新平台。赛博研究院立足上海服务全国，是包括上海市委网信办、上海市通管局、上海市经信委、上海市数据局等单位的专业支撑机构，同时承担上海人工智能产业安全专家委员会秘书长单位、上海“浦江护航”数据安全工作委员会秘书长单位、上海数据安全协同创新实验室发起单位等重要功能，并组织“浦江护航”数据安全上海论坛、世界人工智能大会安全高端对话等一系列重要专业会议。

欢迎联络咨询：邮件:public@sicsi.org.cn；电话：021-61432693。