Agensi Perlindungan Data Sepanyol (AEPD) sekali lagi membangkitkan kebimbangan mengenai rangkaian sosial video pendek popular TikTok : platform itu terus menghantar data peribadi pengguna Eropah ke negara ketiga , termasuk China, walaupun pengawal selia EU telah membuat kesimpulan bahawa amalan ini bercanggah dengan Peraturan Perlindungan Data Umum (GDPR).
Situasi ini meletakkan berjuta-juta pengguna di Sepanyol dan seluruh Eropah dalam kedudukan yang genting: data mereka terus meninggalkan Kawasan Ekonomi Eropah sementara pertempuran undang-undang antara TikTok dan pihak berkuasa perlindungan data berlangsung di mahkamah Ireland. Perkhidmatan ini berfungsi seperti biasa, tetapi model pemprosesan datanya sedang diteliti dengan semakin teliti.
Denda rekod sebanyak 530 juta dan siasatan terbuka
Konflik itu bermula dengan siasatan yang diselaraskan oleh pihak berkuasa perlindungan data EU, yang diketuai oleh Suruhanjaya Perlindungan Data Ireland (DPC) , yang bertindak sebagai pengawal selia utama TikTok di Eropah memandangkan ibu pejabat EU syarikat itu berada di Dublin. Selepas bertahun-tahun menganalisis aliran data antarabangsa, pihak berkuasa membuat kesimpulan bahawa pemindahan ke negara ketiga tidak mematuhi keperluan GDPR.
Akibatnya, pada April 2025, DPC telah mendenda platform tersebut sebanyak €530 juta dan mengarahkan beberapa langkah pembetulan. Ini termasuk kewajipan untuk menggantung pemindahan data pengguna Eropah ke China dan wilayah lain di luar Kawasan Ekonomi Eropah jika TikTok tidak menjamin tahap perlindungan yang setanding dengan Eropah dalam tempoh masa yang ditetapkan.
Agensi Perlindungan Data Sepanyol (AEPD), yang secara aktif mengambil bahagian dalam proses ini melalui Lembaga Perlindungan Data Eropah, menegaskan bahawa keputusan Ireland itu bukanlah keputusan terpencil, tetapi hasil analisis bersama . Pihak pengawal selia bersetuju bahawa perlindungan yang ditawarkan oleh syarikat itu tidak dapat mengurangkan risiko yang berkaitan dengan perundangan negara-negara seperti China dengan secukupnya.
Resolusi tersebut terutamanya mengetengahkan akses jarak jauh dari China kepada maklumat pengguna dalam Kawasan Ekonomi Eropah selama beberapa tahun, tanpa rangka kerja perlindungan yang dianggap mencukupi oleh pengawal selia Eropah. Potensi akses oleh pekerja yang berada di luar EU ini merupakan teras konflik dengan GDPR.
Rayuan ke mahkamah Ireland dan penggantungan sementara sekatan itu
Bukan sekadar mematuhi keputusan DPC, TikTok memutuskan untuk merayu sekatan dan langkah-langkah yang dikenakan di mahkamah Ireland. Syarikat itu menegaskan bahawa ia telah menggunakan mekanisme perundangan EU sendiri untuk membolehkan akses jarak jauh yang terhad dan terkawal kepada data, dan sistemnya menawarkan perlindungan yang mencukupi.
Pada November 2025, mahkamah yang berwibawa di Ireland telah meluluskan pembatalan sementara perintah yang menyekat pemindahan tersebut sementara prosiding undang-undang diselesaikan. Dalam praktiknya, ini bermakna, walaupun penilaian oleh pihak berkuasa penyeliaan masih berkuat kuasa, TikTok boleh terus menghantar data ke negara ketiga , termasuk China, sehingga keputusan muktamad dikeluarkan.
Penggantungan langkah berjaga-jaga ini tidak membatalkan resolusi DPC atau kedudukan pengawal selia lain, tetapi ia menangguhkan beberapa langkah paling ketat, seperti menyekat pemindahan data. Agensi Perlindungan Data Sepanyol (AEPD) menekankan bahawa kesahihan aliran data ini masih dalam semakan kehakiman dan keputusan Ireland itu kekal sah sepenuhnya dalam penemuannya.
Sebagai balasan, penarikan balik sementara larangan itu bergantung kepada syarikat yang memenuhi kewajipan ketelusan tambahan . Sebagai tindak balas kepada keperluan ini, TikTok telah mula memaparkan notis khusus dalam aplikasi kepada pengguna Eropah, menjelaskan bahawa siasatan sedang dijalankan dan pemindahan data ke China mungkin diteruskan sementara rayuan sedang diproses.
Di Sepanyol dan seluruh Kawasan Ekonomi Eropah, ramai pengguna internet telah melihat mesej di bawah tajuk seperti “Pemindahan data pengguna EEA ke China melalui akses jauh,” yang meringkaskan denda €530 juta, perintah penggantungan dan rayuan di hadapan mahkamah Ireland . Platform itu sendiri telah mengesahkan bahawa pemberitahuan ini adalah sebahagian daripada pematuhannya dengan komitmen ketelusan.
Data apa yang boleh meninggalkan Eropah dan mengapa ini membimbangkan pengawal selia?
Teras masalah ini bukan sahaja terletak pada kewujudan akses jarak jauh dari China atau negara lain, tetapi juga pada rangka kerja perundangan yang tertakluk kepada data tersebut sebaik sahaja ia meninggalkan persekitaran Eropah . GDPR menghendaki, apabila data peribadi dipindahkan ke negara ketiga, negara-negara ini menawarkan tahap perlindungan yang pada asasnya setara dengan Eropah atau mewujudkan perlindungan yang mantap melalui klausa dan mekanisme tertentu.
Dalam kes China, pihak berkuasa perlindungan data EU menegaskan bahawa undang-undang keselamatan negara, anti-keganasan dan anti-pengintipan membenarkan pihak berkuasa menuntut akses kepada maklumat yang diuruskan oleh syarikat teknologi jika mereka menganggapnya perlu. Keupayaan undang-undang yang berpotensi ini, pada pandangan pengawal selia, secara langsung bercanggah dengan rangka kerja Eropah dan menyukarkan untuk menjamin kerahsiaan data warga Kesatuan Eropah.
Semasa siasatan, TikTok menegaskan bahawa ia tidak menyimpan data pengguna secara sistematik dari Kawasan Ekonomi Eropah pada pelayan fizikal yang terletak di China. Walau bagaimanapun, semasa siasatan berjalan, syarikat itu terpaksa mengakui bahawa beberapa data telah sampai ke sistem China disebabkan oleh ralat dalaman atau insiden terpencil, satu fakta yang menguatkan kebimbangan pengawal selia.
Pihak berkuasa Eropah menegaskan bahawa mereka tidak memberikan bukti awam bahawa kerajaan China sebenarnya telah mengakses data pengguna TikTok di Eropah. Walau bagaimanapun, mereka menegaskan bahawa risiko itu bukan sahaja bergantung pada akses yang telah berlaku, tetapi juga pada rangka kerja perundangan yang akan membenarkan akses sedemikian tanpa kawalan yang setanding dengan yang dikehendaki oleh GDPR.
Bagi pengguna biasa, rangka kerja perundangan ini diterjemahkan kepada sesuatu yang lebih mudah difahami: jika anda menggunakan TikTok di Eropah, sebahagian daripada data anda mungkin boleh diakses dari China dan negara lain di luar EEA sementara perintah larangan itu masih berkuat kuasa dan cabaran perundangan sedang dijalankan. Ini termasuk maklumat teknikal, data tentang penggunaan aplikasi dan, bergantung pada kebenaran yang diberikan, data yang berpotensi sensitif.
Respons daripada Agensi Perlindungan Data Sepanyol (AEPD) dan pihak berkuasa Eropah yang lain
Memandangkan kebimbangan yang ditimbulkan oleh amaran dalam aplikasi, Agensi Perlindungan Data Sepanyol (AEPD) telah mengeluarkan beberapa kenyataan yang mengulangi bahawa penilaian undang-undang pihak berkuasa Eropah kekal tidak berubah . Pada pandangannya, TikTok terus memindahkan data peribadi pengguna Eropah ke negara ketiga, termasuk China, di bawah syarat-syarat yang tidak mematuhi GDPR.
Agensi Sepanyol itu menekankan bahawa langkah-langkah pembetulan yang dipersetujui oleh DPC, walaupun digantung sementara oleh perintah mahkamah, terus berdasarkan siasatan dan analisis bersama oleh Lembaga Perlindungan Data Eropah. Dalam erti kata lain, asas bagi sekatan dan sekatan yang dicadangkan kekal sah di mata pengawal selia.
Tambahan pula, Agensi Perlindungan Data Sepanyol (AEPD) menekankan bahawa TikTok telah menetapkan Ireland sebagai badan utamanya di Eropah , menjadikan Suruhanjaya Perlindungan Data Ireland (DPC) sebagai pihak berkuasa penyeliaan utama, tetapi sentiasa berkoordinasi dengan rakan sejawatnya di negara ini. Agensi Sepanyol itu mengambil bahagian dalam mekanisme kerjasama dan konsistensi yang diwujudkan oleh GDPR dan mengesahkan bahawa ia sedang memantau perkembangan kes dalam bidang kuasanya dengan teliti.
Salah satu kebimbangan utama yang dinyatakan oleh Agensi Perlindungan Data Sepanyol (AEPD) adalah kesan amalan ini terhadap pengguna yang lebih muda, yang membentuk sebahagian besar khalayak TikTok . Pengawal selia menganggap penting bagi kanak-kanak dan remaja untuk menerima maklumat yang jelas dan mudah difahami tentang cara data mereka digunakan, dalam bahasa yang sesuai dengan usia dan tanpa jargon teknikal yang tidak perlu.
Sementara itu, agensi Sepanyol itu ingin menghantar mesej langsung: walaupun penggantungan beberapa langkah adalah sementara, risikonya masih belum hilang . Oleh itu, ia menganggap penting bagi warga Eropah untuk tidak hanya menunggu keputusan mahkamah, tetapi sebaliknya mengambil langkah praktikal untuk melindungi privasi mereka dengan lebih baik.
Wacana TikTok: projek keselamatan dan janji pematuhan
Walaupun pengawal selia mengetengahkan kekurangan tersebut, TikTok telah memilih untuk mengukuhkan mesej awamnya mengenai privasi. Syarikat itu menyatakan bahawa ia memandang serius perlindungan data pengguna Eropah dan, dalam beberapa tahun kebelakangan ini, ia telah membuat pelaburan yang besar dalam infrastruktur dan kawalan.
Antara inisiatif ini, Projek Clover yang terkenal menonjol , satu pelan yang, menurut syarikat itu, menggerakkan berbilion euro untuk mencari dan mengamankan data pengguna Kawasan Ekonomi Eropah di pusat data yang terletak di Ireland, Norway, negara Eropah lain dan beberapa pusat luaran seperti Brazil atau Amerika Syarikat, di bawah skim akses terhad dan diselia.
Platform tersebut mendakwa bahawa pekerja yang berpangkalan di China tidak boleh mengakses jenis data sensitif tertentu , seperti nombor telefon atau alamat IP penuh, dan teknik seperti nama samaran dan kawalan kebenaran yang ketat digunakan untuk mengehadkan risiko akses tanpa kebenaran sebanyak mungkin.
Dari perspektif syarikat, langkah-langkah ini menawarkan jaminan yang kukuh dan serasi dengan rangka kerja Eropah . TikTok menegaskan bahawa ia telah bergantung pada alat perundangan GDPR sendiri—seperti klausa kontrak standard dan penilaian impak—untuk membenarkan akses jarak jauh khusus dan wajar untuk tugas seperti sokongan teknikal, penyederhanaan kandungan dan penyelenggaraan perkhidmatan keseluruhan.
Walaupun begitu, pengawal selia mengekalkan pendirian yang berhati-hati. Agensi Perlindungan Data Sepanyol (AEPD) dan pihak berkuasa lain mengakui bahawa langkah-langkah ini merupakan langkah ke arah yang lebih bertanggungjawab, tetapi memberi amaran bahawa, selagi undang-undang China terus membenarkan keperluan akses yang berpotensi luas , perlindungan dalaman sesebuah syarikat tidak mencukupi untuk menghapuskan sepenuhnya risiko terhadap hak dan kebebasan pengguna Eropah.
Nasihat daripada Agensi Perlindungan Data Sepanyol (AEPD): Semak kebenaran dan pertimbangkan untuk terus menggunakan aplikasi ini.
Selain kes khusus TikTok, Agensi Perlindungan Data Sepanyol (AEPD) telah memanfaatkan kemasyhuran perkara ini untuk mengulangi beberapa cadangan yang boleh digunakan untuk mana-mana perkhidmatan digital , tetapi yang amat relevan pada platform dengan penggunaan data peribadi yang intensif dan pangkalan pengguna yang sangat muda.
Pertama, agensi menasihati pengguna untuk membaca dengan teliti notis dan dasar privasi yang muncul semasa mendaftar atau menerima perubahan pada terma perkhidmatan. Walaupun ia mungkin kelihatan panjang, ia mengandungi maklumat penting tentang data apa yang dikumpul, untuk tujuan apa, dan ke negara mana ia mungkin dipindahkan . Dalam kes TikTok, notis ini telah menyebut secara jelas situasi dengan China dan prosiding undang-undang yang sedang berjalan.
Kedua, agensi ini menekankan kepentingan menyemak tetapan privasi aplikasi dengan kerap . Ini melibatkan pemeriksaan kebenaran yang telah diberikan—akses kepada kamera, mikrofon, kenalan, lokasi, storan, dan sebagainya—dan menilai sama ada semuanya benar-benar diperlukan untuk cara anda menggunakan perkhidmatan tersebut. Meminimumkan kebenaran ini boleh membantu mengehadkan jumlah maklumat yang dihantar ke pelayan platform.
Agensi Perlindungan Data Sepanyol (AEPD) juga menggalakkan langkah berjaga-jaga mengenai kandungan yang dikongsi di media sosial dan aplikasi video. Ia mengesyorkan agar tidak menyebarkan data yang sangat sensitif, seperti maklumat perubatan, butiran kewangan, dokumen rasmi atau aspek intim kehidupan peribadi, yang mungkin menimbulkan masalah jika ia jatuh ke tangan yang salah atau digunakan semula di luar konteks.
Akhirnya, pengawal selia menghantar mesej yang jelas, walaupun bukan secara terus terang: ia menggesa pengguna untuk mempertimbangkan secara serius sama ada mereka ingin terus menggunakan perkhidmatan yang memindahkan maklumat ke negara-negara yang tahap perlindungan datanya tidak setanding dengan Eropah. Dalam praktiknya, ini bersamaan dengan mempertimbangkan untuk berhenti menggunakan TikTok atau aplikasi serupa yang lain jika seseorang tidak selesa dengan kemungkinan data mereka tertakluk kepada undang-undang yang lebih mengganggu.
Keseluruhan perdebatan ini dibingkaikan dalam kontroversi Eropah yang lebih luas mengenai pemindahan data antarabangsa ke bidang kuasa seperti Amerika Syarikat atau China, di mana jaminan yang ditawarkan oleh undang-undang tempatan tidak selalu dianggap mencukupi oleh Mahkamah Keadilan EU dan pengawal selia privasi.
Kes TikTok telah menjadi contoh yang sangat ketara tentang ketegangan antara platform global, pihak berkuasa Eropah dan rangka kerja perundangan negara ketiga. Walaupun mahkamah Ireland memutuskan sama ada untuk mengekalkan denda dan sekatan tersebut , rangkaian sosial itu terus beroperasi seperti biasa di Sepanyol dan seluruh Eropah, mengekalkan pemindahan datanya ke negara ketiga di bawah penelitian awam dan peraturan yang ketat. Dalam konteks ini, Agensi Perlindungan Data Sepanyol (AEPD) mengingatkan pengguna bahawa mereka bukan sekadar penonton: mereka mempunyai kuasa untuk melaraskan tetapan akaun mereka, menyekat kebenaran dan memutuskan sama ada berbaloi untuk terus menggunakan perkhidmatan yang kaedah pengurusan data peribadinya masih kontroversi.
