Medewerkers van TikTok moederbedrijf ByteDance hebben kritische journalisten bespioneerd door op ongepaste manier toegang te krijgen tot hun TikTok gebruikersdata, bleek donderdag uit intern onderzoek van het bedrijf. De medewerkers zijn ontslagen, maar het roept wel de vraag op: hoe veilig is het om TikTok te gebruiken? Welke gegevens verzamelt het bedrijf? En kan de Chinese overheid er ook bij?

Wat weet TikTok over mij?

Welke gegevens TikTok allemaal verzamelt en wat het bedrijf ermee doet, is nog niet helemaal duidelijk, zegt universitair hoofddocent burgerlijk recht aan de Radboud Universiteit Pieter Wolters. Maar er zijn sterke aanwijzingen dat ze meer kunnen inzien dan ze mogen. Op dit moment doen verschillende toezichthouders in Europa en de Verenigde Staten onderzoek naar welke gegevens TikTok precies verzamelt en of ze daar vanuit China toegang toe hebben.

Wel weten we, onder meer door onthullingen als die van deze week, steeds meer over wat het bedrijf verzamelt, zegt Dave Maasland, CEO van IT-veiligheidsbureau ESET Nederland. TikTok weet in ieder geval alles wat je doet in hun eigen app. Ze weten welke video je bekijkt, kunnen je chatberichten inzien en houden je klikgedrag bij. Op papier hebben ze ook toestemming om te zien wat je typt, hoe je typt en zelfs om biometrische gegevens zoals gezichtsafbeeldingen op te slaan. Ook houden ze een aantal gegevens buiten de app bij, zoals je locatie en je IP-adres.

Door de app te gebruiken, geef je daar toestemming voor, zegt Maasland. Het staat allemaal in de privacyvoorwaarden, zelfs dat ze die biometrische gegevens kunnen verzamelen. Al kun je je afvragen hoe duidelijk die voorwaarden zijn en hoeveel mensen ze lezen.

Hadden de ByteDance-medewerkers het recht locatiegegevens van journalisten in te zien?

De situatie bij ByteDance en eerdere journalistieke onthullingen duiden erop dat TikTok vanuit China informatie over persoonsgegevens van Europese gebruikers kan inzien. Dat mag niet, zegt Wolters. Bedrijven mogen persoonsgegevens alleen verwerken onder de strenge voorwaarden van de AVG. Dat betekent onder andere dat dat alleen mag binnen de Europese Unie of andere landen die de bescherming van persoonsgegevens waarborgen.

Deze versturen we 3-4x per jaar.