Als TikTok inderdaad via haar in-app browser vertrouwelijke gegevens op onrechtmatige wijze verwerkt, dan is dat onacceptabel. Het is echter onduidelijk of het Chinese sociale medium dat ook daadwerkelijk doet. Staatssecretaris van Digitalisering Alexandra van Huffelen gaat binnenkort met TikTok om tafel en zal de zorgen van het kabinet kenbaar maken aan het bedrijf.
Dat schrijft minister voor Rechtsbescherming Franc Weerwind aan de Tweede Kamer.
In-app webbrowser TikTok verwerkt toetsaanslagen
De uitspraken van de minister gaan over het gerucht dat TikTok via de in-app browser wachtwoorden, creditcardgegevens en andere vertrouwelijke gegevens verwerkt. Beveiligingsonderzoeker Felix Krause ontdekte dat zodra iemand op een URL tikt, de ingebouwde webbrowser in de TikTok-app een JavaScript-code injecteert die bijhoudt wat gebruikers online doen. Tevens registreert deze code precies wat zij typen op het toetsenbord van hun smartphone of tablet.
Of TikTok ook daadwerkelijk op deze manier gevoelige informatie van gebruikers verzamelt, kon Krause niet zeggen. “Er is geen enkele manier voor ons om alles te weten te komen over het soort gegevens elke in-app browser verzamelt, of hoe de gegevens worden overgedragen of gebruikt”, aldus de onderzoeker. Hij waarschuwde dat de iOS-app van TikTok mogelijk een risico vormt voor onze privacy.
TikTok ontkende alle beschuldigingen en zei dat deze functionaliteit alleen gebruikt wordt voor het debuggen, oplossen van problemen en het monitoren van de prestaties. De conclusies van de beveiligingsonderzoeker waren volgens een woordvoerder “onjuist en misleidend”.
‘Veiligheidsrisico’s zijn onacceptabel’
Lammert van Raan van de Partij voor de Dieren (PvdD) besloot om minister Weerwind en staatssecretaris Van Huffelen hierover aan de tand te voelen. Het Tweede Kamerlid vroeg onder meer aan de bewindslieden of het klopt dat TikTok toetsaanslagen verzamelt en verwerkt, en wat het kabinet daar tegen gaat doen.
Mede namens de staatssecretaris heeft minister Weerwind de vragen van Van Raan beantwoord. In een brief aan de Tweede Kamer schrijft de minister dat hij niet weet of TikTok wel of geen vertrouwelijke informatie verzamelt via haar app. “Als dat wel gebeurt, is dat natuurlijk uiterst zorgelijk”, zo zegt Weerwind. “Ik deel de mening dat het gezien de veiligheidsrisico’s absoluut onacceptabel zou zijn wanneer TikTok gegevens ten aanzien van toetsenbordinvoer op onrechtmatige wijze zou verwerken.”
Kabinet niet verantwoordelijk voor toezicht
De minister benadrukt dat TikTok een juridische grondslag nodig heeft om persoonsgegevens van gebruikers te verzamelen, zoals toestemming van betrokkenen. Ook dient het bedrijf zich aan de beginselen van behoorlijke gegevensverwerking te houden, waaronder dataminimalisatie.
Het is echter niet de taak van het kabinet om te controleren of TikTok zich aan deze regels houdt. Dat is aan de Autoriteit Persoonsgegevens. “Deze is onafhankelijk en heeft een ruim mandaat en uitgebreide bevoegdheden om te onderzoeken of partijen voldoen aan hun verplichtingen uit de AVG. De onafhankelijkheid brengt mee dat het aan de toezichthouder dient wordt gelaten om te bepalen in welke gevallen een onderzoek noodzakelijk en wenselijk is.”
Staatssecretaris Van Huffelen gaat in gesprek met TikTok
Dat wil niet zeggen dat het kabinet niets doet. Staatssecretaris Van Huffelen gaat op korte termijn in gesprek met TikTok en andere technologiebedrijven. “De hierboven genoemde uitgangspunten zullen bij TikTok onder de aandacht worden gebracht, mede naar aanleiding van de berichtgeving hierover”, belooft minister Weerwind.
In welke mate de regering gebruikmaakt van TikTok, is niet bekend. Het enige dat de minister hierover kan zeggen is dat de Dienst Publiek en Communicatie (DPC) het ministerie van Algemene Zaken heeft geadviseerd om het gebruik van het platform op te schorten totdat TikTok haar gegevensbeschermingsbeleid heeft aangepast.
Zo wil het kabinet het toezicht op techbedrijven vergroten
De mening van Van Raan dat er meer controle dient plaats te vinden bij techbedrijven en hun digitale producten, deelt minister Weerwind niet. “De AVG voorziet -naast extern toezicht- daartoe ook in intern toezicht en het kunnen afleggen van verantwoording daarover. Daarmee is de AVG er mede op gericht om, door een adequate risicobeheersing (aan de voorkant), zo veel mogelijk te voorkomen dat gegevens op een onrechtmatige manier worden verwerkt”, schrijft hij aan de Tweede Kamer.
Weerwind benadrukt dat in het coalitieakkoord is afgesproken om het toezicht te versterken. Zo komt er een algoritmetoezichthouder en denkt het kabinet na over een systeem van certificering. De Digital Services Act (DSA) verplicht bedrijven tot slot om risico’s van hun systemen voor kinderrechten en kunstmatige intelligentie (AI) in kaart te brengen. “Deze risicoanalyses bieden concrete handvatten om proactief toezicht te houden op mogelijk risico’s”, aldus de minister.
