L' Agència Espanyola de Protecció de Dades (AEPD) ha tornat a encendre les alarmes sobre la popular xarxa social de vídeos curts TikTok : la plataforma segueix enviant dades personals d'usuaris europeus a tercers països , entre ells la Xina, malgrat que els reguladors comunitaris ja havien conclòs que aquestes pràctiques xoquen amb el Reglament General de Protecció de Dades.
Aquesta situació col·loca milions d'usuaris a Espanya ia la resta d'Europa davant d'un escenari delicat: les dades continuen sortint de l'Espai Econòmic Europeu mentre la batalla legal entre TikTok i les autoritats de protecció de dades es dirimeix als tribunals irlandesos. El servei funciona amb normalitat, però el model de tractament de dades està sota una lupa cada cop més potent.
Una sanció històrica de 530 milions i un expedient obert
L'origen del conflicte es remunta a una investigació coordinada per les autoritats de protecció de dades de la UE, encapçalada per la Comissió de Protecció de Dades d'Irlanda (DPC) , que actua com a regulador principal de TikTok a Europa en tenir l'empresa la seu comunitària a Dublín. Després d'analitzar durant anys els fluxos internacionals d'informació, les autoritats van concloure que les transferències a països tercers no respectaven les exigències del RGPD.
Com a resultat, l'abril del 2025 la DPC va imposar a la plataforma una multa de 530 milions d'euros i va ordenar una sèrie de mesures correctores. Entre elles, s'hi incloïa l'obligació de suspendre les transferències de dades d'usuaris europeus a la Xina ia altres territoris fora de l'Espai Econòmic Europeu si TikTok no garantia un nivell de protecció equiparable a l'europeu en un termini determinat.
L'AEPD, que va participar activament en aquest procediment a través del Comitè Europeu de Protecció de Dades, recorda que la decisió irlandesa no va ser aïllada sinó fruit d'una anàlisi conjunta . Els reguladors van coincidir que les salvaguardes ofertes per la companyia no neutralitzaven adequadament els riscos associats a la legislació de països com la Xina.
A la resolució s'assenyalava principalment l' accés remot des de la Xina a informació d'usuaris de l'Espai Econòmic Europeu durant uns quants anys, sense un marc de garanties considerat suficient pels reguladors europeus. Aquest accés potencial per part d'empleats situats fora de la UE és al nucli del xoc amb el RGPD.
El recurs davant dels tribunals irlandesos i la suspensió temporal del bloqueig
Lluny d'acatar sense més ni més la resolució de la DPC, TikTok va decidir recórrer la sanció i les mesures imposades davant dels tribunals irlandesos. La companyia sosté que ha utilitzat els mateixos mecanismes legals de la UE per habilitar accessos remots limitats i controlats a les dades, i que el sistema ofereix garanties suficients.
El novembre del 2025, el tribunal competent a Irlanda va acordar un aixecament provisional de l'ordre que bloquejava les transferències mentre es resol el procediment judicial. A la pràctica, això significa que, encara que la valoració de les autoritats de control es manté, TikTok pot continuar enviant dades a tercers països , inclosa la Xina, fins que hi hagi una sentència ferma.
Aquesta suspensió cautelar no anul·la la resolució de la DPC ni la posició de la resta de reguladors, però sí que deixa en pausa algunes de les mesures més contundents, com el bloqueig de les transferències. L'AEPD subratlla que la legalitat d'aquests fluxos de dades continua sent objecte de revisió judicial i que la decisió irlandesa continua plenament vigent pel que fa al diagnòstic.
Com a contrapartida, l'aixecament temporal està condicionat al fet que l'empresa compleixi obligacions addicionals de transparència . En resposta a aquesta exigència, TikTok ha començat a mostrar a la pròpia aplicació avisos específics als usuaris europeus explicant que existeix un procediment obert i que les transferències de dades cap a la Xina poden continuar mentre es tramita el recurs.
A Espanya ia la resta de l'Espai Econòmic Europeu, molts internautes ja han vist un missatge sota epígrafs com ara “Transferència de dades d'usuaris de l'EEE a la Xina mitjançant accés remot”, que resumeix la multa de 530 milions, l'ordre de suspensió i el recurs davant del tribunal irlandès . La mateixa plataforma ha confirmat que aquestes notificacions formen part del compliment dels seus compromisos de transparència.
Quines dades poden sortir d'Europa i per què preocupa els reguladors
El nucli del problema no resideix només que hi hagi un accés remot des de la Xina o des d'altres països, sinó en el marc legal a què queden sotmeses les dades un cop surten de l'entorn europeu . L'RGPD obliga que, quan es transfereixin dades personals a països tercers, aquests ofereixin un nivell de protecció essencialment equivalent a l'europeu o s'estableixin garanties sòlides mitjançant clàusules i mecanismes específics.
En el cas de la Xina, les autoritats de protecció de dades de la UE remarquen que les lleis de seguretat nacional, antiterrorisme i contraespionatge permeten a les autoritats exigir a les empreses tecnològiques l'accés a la informació que gestionen si ho consideren necessari. Aquesta capacitat legal potencial és la que, segons els reguladors, xoca de front amb el marc europeu i dificulta garantir la confidencialitat de les dades dels ciutadans del bloc comunitari.
Durant la investigació, TikTok va defensar que no emmagatzemava de manera sistemàtica dades d'usuaris de l'Espai Econòmic Europeu a servidors físics ubicats a la Xina. Tot i això, amb l'avenç de l'expedient, la companyia va haver de reconèixer que certes dades havien arribat a sistemes xinesos per errors interns o situacions puntuals, un fet que va reforçar les preocupacions dels reguladors.
Les autoritats europees insisteixen que no han aportat proves públiques que el Govern xinès hagi accedit efectivament a la informació dels usuaris de TikTok a Europa. Tot i això, recorden que el risc no depèn només d'accessos ja produïts, sinó del marc jurídic que permetria que aquests accessos es donessin sense un control equiparable a l'exigit pel RGPD.
Per a l'usuari mitjà, tot aquest entramat jurídic es tradueix en una cosa més senzilla d'entendre: si utilitzeu TikTok a Europa, part de les vostres dades pot ser accessible des de la Xina i des d'altres països fora de l'EEE mentre continuï la suspensió cautelar del bloqueig i el recurs judicial continuï en marxa. Això inclou informació tècnica, dades sobre lús de lapp i, segons els permisos atorgats, dades potencialment sensibles.
La resposta de l'AEPD i de la resta d'autoritats europees
Davant dels dubtes generats pels avisos dins de l'app, l'AEPD ha publicat diversos comunicats per recordar que la valoració jurídica de les autoritats europees no ha canviat . A parer seu, TikTok continua transferint dades personals d'usuaris europeus a tercers països, inclosa la Xina, en condicions que no s'ajusten al RGPD.
L'organisme espanyol subratlla que les mesures correctores acordades per la DPC, encara que es trobin suspeses de forma provisional per decisió judicial, continuen basant-se en una investigació i una anàlisi conjunta del Comitè Europeu de Protecció de Dades. És a dir, la base de la sanció i de les restriccions proposades continua sent vàlida a ulls dels reguladors.
A més, l'AEPD insisteix que TikTok va designar Irlanda com el seu establiment principal a Europa , fet que converteix la DPC en l'autoritat de control principal, però sempre en coordinació amb la resta d'homòlogues nacionals. L'agència espanyola participa als mecanismes de cooperació i coherència previstos pel RGPD i assegura que segueix de prop l'evolució del cas dins de les seves competències.
Una de les preocupacions centrals manifestades per l‟AEPD és l‟impacte d‟aquestes pràctiques sobre els usuaris més joves, que constitueixen una part molt important de l‟audiència de TikTok . El regulador considera imprescindible que menors i adolescents rebin informació clara i comprensible sobre què es fa amb les dades, en un llenguatge adaptat i sense tecnicismes innecessaris.
Paral·lelament, l'agència espanyola ha volgut llançar un missatge directe: encara que la suspensió d'algunes mesures sigui temporal, la situació de risc no ha desaparegut . Per això, considera clau que els ciutadans europeus no es limitin a esperar la resolució judicial, sinó que adoptin mesures pràctiques per protegir millor la seva privadesa.
El discurs de TikTok: projectes de seguretat i promeses de compliment
Mentre els reguladors remarquen les mancances, TikTok ha optat per reforçar el seu missatge públic en matèria de privadesa. L'empresa afirma que es pren molt seriosament la protecció de les dades dels usuaris europeus i que, en els darrers anys, ha engegat importants inversions en infraestructures i controls.
Entre aquestes iniciatives destaca el seu conegut Projecte Clover , un pla que, segons la companyia, mobilitza milers de milions d'euros per localitzar i securitzar les dades dels usuaris de l'Espai Econòmic Europeu a centres de dades situats a Irlanda, Noruega, altres països europeus i alguns centres externs com el Brasil o els Estats Units, sota esquemes d'accés restringit i supervisat.
La plataforma assegura que els empleats amb seu a la Xina no poden accedir a determinats tipus de dades sensibles , com ara números de telèfon o adreces IP completes, i que s'utilitzen tècniques com la pseudonimització i el control estricte de permisos per limitar al màxim el risc d'accessos indeguts.
Des del punt de vista de la companyia, aquestes mesures ofereixen garanties sòlides i compatibles amb el marc europeu . TikTok sosté que s'ha recolzat en les eines legals del mateix RGPD -com les clàusules contractuals tipus i les avaluacions d'impacte- per autoritzar accessos remots concrets i justificats per a tasques com a suport tècnic, moderació de continguts o manteniment del servei global.
Tot i així, els reguladors mantenen una postura de cautela. L'AEPD i altres autoritats reconeixen que aquests passos van en una direcció més responsable, però adverteixen que, mentre la legislació xinesa segueixi permetent potencials requeriments amplis d'accés , les salvaguardes internes d'una empresa no són suficients per descartar completament els riscos per als drets i les llibertats dels usuaris europeus.
Consells de l'AEPD: revisar permisos i plantejar-se seguir usant l'app
Més enllà del cas concret de TikTok, l'AEPD ha aprofitat la notorietat de l'assumpte per recordar una sèrie de recomanacions que es poden aplicar a qualsevol servei digital , però que són especialment rellevants en plataformes amb un ús intensiu de dades personals i una base d'usuaris molt jove.
En primer lloc, l'organisme aconsella llegir amb calma les notificacions i les polítiques de privadesa que apareixen en registrar-se o en acceptar canvis en les condicions d'ús. Encara que puguin resultar farragoses, contenen informació clau sobre quines dades es recullen, amb quins fins i quins països es poden transferir . En el cas de TikTok, aquestes notificacions ja inclouen menció expressa a la situació amb la Xina i al procediment judicial en curs.
En segon lloc, l'agència insisteix en la importància de revisar sovint la configuració de privadesa de les aplicacions . Això implica comprovar quins permisos s'han concedit -accés a càmera, micròfon, contactes, ubicació, emmagatzematge, etc.- i valorar si tots són realment necessaris per a l'ús que es fa del servei. Reduir al mínim aquests accessos pot ajudar a limitar la quantitat dinformació que senvia als servidors de la plataforma.
L'AEPD anima també a actuar amb prudència respecte als continguts que es comparteixen a les xarxes socials i apps de vídeo. Recomana evitar la difusió de dades especialment delicades, com ara informació mèdica, detalls financers, documents oficials o aspectes íntims de la vida personal, que podrien resultar problemàtics si arribessin a mans equivocades o es reutilitzessin fora de context.
Finalment, el regulador llança un missatge clar encara que no ho expressi de manera tan contundent: convida els usuaris a valorar seriosament si volen seguir utilitzant serveis que traslladen informació a països el nivell de protecció dels quals no és equiparable a l'europeu. A la pràctica, això equival a plantejar-se deixar de fer servir TikTok o altres aplicacions similars si la persona no se sent còmoda amb la possibilitat que les seves dades quedin sotmeses a legislacions més intrusives.
Tot aquest debat s'emmarca en una controvèrsia europea més àmplia sobre les transferències internacionals de dades a jurisdiccions com els Estats Units o la Xina, on les garanties ofertes per les lleis locals no sempre es consideren suficients per part del Tribunal de Justícia de la UE i dels reguladors de privadesa.
El cas de TikTok ha esdevingut així un exemple especialment visible de les tensions entre plataformes globals, autoritats europees i marcs legals de tercers països. Mentre els tribunals irlandesos decideixen si confirmen la multa i les restriccions , la xarxa social continua operant amb normalitat a Espanya ia la resta d'Europa, mantenint les transferències de dades a països tercers sota un fort escrutini públic i regulatori. En aquest context, l'AEPD recorda que els usuaris no són mers espectadors: tenen marge per ajustar la configuració dels comptes, restringir permisos i decidir si compensa seguir utilitzant un servei la forma de gestionar les dades personals del qual segueix qüestionada.
