Il 21 agosto 2026 il Dipartimento di Giustizia statunitense ha annunciato un accordo transattivo da 400 milioni di dollari con TikTok, ByteDance e società collegate, che chiude il contenzioso avviato nel 2024 sul rispetto del COPPA, la legge federale americana sulla privacy dei minori online. Il DOJ lo definisce uno dei recuperi più consistenti mai ottenuti in una causa COPPA.

La cifra fa notizia, ma la parte istruttiva per chi in Italia gestisce servizi digitali sta altrove: nelle condotte contestate e nel confronto con quello che il GDPR chiede da otto anni.

Cosa dice l'accordo

  • Importo: 400 milioni di dollari, di cui 300 milioni immediatamente e ulteriori 100 milioni subordinati all'emissione di un provvedimento che annulli un precedente decreto di consenso a carico di Musical.ly, la piattaforma da cui TikTok è nata.
  • Origine: causa depositata nel 2024 presso la Corte distrettuale federale della California centrale dalla Divisione Civile del DOJ, su segnalazione della Federal Trade Commission.
  • Contestazioni: aver consentito consapevolmente a bambini sotto i 13 anni di creare account; aver raccolto illecitamente dati di chi usava la modalità "Kids Mode"; non aver dato seguito alle richieste dei genitori di cancellare gli account e i dati dei figli.
  • Misure non economiche: l'accordo include impegni per rafforzare le tutele degli utenti più giovani. Il DOJ riconosce che dal 2024 la società ha modificato assetto proprietario, management, funzioni di compliance e prassi privacy, introducendo controlli sull'età e strumenti di supervisione parentale.
  • Nota giuridica: il comunicato precisa che si tratta di allegazioni e che non c'è stato alcun accertamento di responsabilità.

Le tre condotte contestate, tradotte in linguaggio GDPR

Vale la pena guardare le contestazioni una per una, perché sono errori architetturali ricorrenti e nessuno dei tre è specificamente americano.

Consentire iscrizioni sotto l'età minima "sapendolo". Il COPPA fissa la soglia a 13 anni. In Europa l'articolo 8 del GDPR fissa a 16 anni l'età per il consenso ai servizi della società dell'informazione, lasciando agli Stati la facoltà di abbassarla fino a 13: l'Italia ha scelto 14 anni (articolo 2-quinquies del Codice privacy). Sotto quella soglia serve il consenso di chi esercita la responsabilità genitoriale. Il punto delicato non è la soglia, è il verbo "sapendolo": un titolare che dispone di segnali sull'età reale dell'utente e li ignora non può poi invocare la dichiarazione autocertificata resa in fase di registrazione.

Raccogliere dati in una modalità pensata per bambini. È il caso più insidioso. Costruire una "modalità bambini" significa dichiarare esplicitamente di sapere che quegli utenti sono minori: da quel momento il trattamento è consapevolmente rivolto a minori, con tutto ciò che ne consegue in termini di minimizzazione, base giuridica e limiti alla profilazione. Se dietro la modalità protetta gira la stessa telemetria del prodotto principale, la tutela è di facciata.

Non dare seguito alle richieste di cancellazione dei genitori. Sotto GDPR è l'articolo 17 combinato con l'articolo 12: risposta entro un mese, prorogabile di due in casi complessi, e per i dati dei minori il considerando 65 rafforza esplicitamente il diritto all'oblio. Nella pratica di audit questo è il punto dove si trovano più falle: il diritto è formalmente previsto nella privacy policy, ma il processo operativo per eseguirlo su tutti i sistemi — backup, data warehouse, strumenti di analytics, copie presso i responsabili — non esiste.

Cosa significa per le aziende italiane

L'accordo americano non produce effetti diretti in Italia, ma arriva in un contesto in cui TikTok è già stata al centro di due interventi nazionali. Nel gennaio 2021 il Garante per la protezione dei dati personali dispose una limitazione urgente del trattamento nei confronti degli utenti di cui non fosse accertata con sicurezza l'età, dopo la morte di una bambina di dieci anni a Palermo. Nel marzo 2024 l'AGCM sanzionò tre società del gruppo ByteDance per 10 milioni di euro per pratica commerciale scorretta, contestando controlli inadeguati sui contenuti pericolosi per i minori — il caso della cosiddetta "cicatrice francese" — e la loro ripresentazione sistematica agli utenti tramite profilazione algoritmica.

Il punto rilevante per chi progetta prodotti digitali è che questi tre procedimenti nascono da autorità diverse, in giurisdizioni diverse, su basi giuridiche diverse — privacy dei minori, tutela dei consumatori, protezione dei dati — e convergono sullo stesso nucleo: quando un servizio è attraente per i minori, il fatto che i termini d'uso vietino l'iscrizione sotto una certa età non è una difesa. Conta ciò che il titolare sa o dovrebbe ragionevolmente sapere sulla propria utenza reale.

Non è un problema che riguarda solo le grandi piattaforme. Riguarda le app per lo studio, le piattaforme di gaming, i servizi di messaggistica dei team sportivi, i registri elettronici, gli e-commerce di articoli per ragazzi, le app dei musei con contenuti didattici. Molte PMI italiane trattano dati di minori senza averlo mai formalizzato in un registro dei trattamenti, semplicemente perché il servizio "non è rivolto ai minori" mentre la base utenti reale racconta un'altra storia.

Un secondo elemento merita attenzione: 400 milioni di dollari per condotte contestate che risalgono a prima del 2024, chiusi nel 2026 con un accordo che valorizza i miglioramenti di compliance introdotti nel frattempo. È lo schema con cui si chiudono quasi tutti i contenziosi di questo tipo, e contiene un'indicazione operativa concreta: le correzioni fatte durante il procedimento contano, sia nel dimensionare la sanzione sia nella valutazione dell'autorità. È la ragione per cui, quando un'istruttoria si apre, congelare tutto in attesa dell'esito è la scelta peggiore.

Cosa fare subito

  • Verificare se il servizio tratta di fatto dati di minori, indipendentemente da cosa dicono i termini d'uso: analizzare le fasce d'età dichiarate, i dati di analytics, i canali di acquisizione e le segnalazioni ricevute dall'assistenza clienti.
  • Se emergono minori sotto i 14 anni, definire una base giuridica corretta: consenso di chi esercita la responsabilità genitoriale, con uno sforzo ragionevole di verifica proporzionato al rischio e alla tecnologia disponibile (articolo 8, paragrafo 2, GDPR).
  • Non limitarsi al form di registrazione: se esistono segnali successivi sull'età reale dell'utente, va previsto un processo per gestirli, non un campo da compilare una volta sola.
  • Testare davvero la cancellazione: eseguire una richiesta di cancellazione end-to-end e verificare che i dati spariscano anche da backup, data warehouse, CRM, strumenti di analytics e sistemi dei responsabili del trattamento. Misurare il tempo effettivo e confrontarlo con il mese previsto dall'articolo 12.
  • Rivedere la profilazione sui minori: pubblicità comportamentale e sistemi di raccomandazione ottimizzati sul tempo di permanenza sono l'area con il rischio regolatorio più alto, e non solo sul fronte GDPR.
  • Fare una DPIA se si tratta di dati di minori su larga scala o con profilazione: è uno dei casi in cui la valutazione d'impatto non è discrezionale.
  • Documentare le contromisure adottate e la data: come mostra questo accordo, dimostrare di aver corretto il tiro durante il procedimento ha un peso concreto.

Il caso TikTok è, in fondo, un promemoria poco esotico: le regole sui minori online non chiedono tecnologie sofisticate di verifica dell'età, chiedono di non fare finta di non sapere chi sono i propri utenti.