因儿童数据付出 4 亿美元：企业可以从 TikTok 案中学到什么

这起美国和解案表明，为何对未成年用户的保护应从数字产品的设计阶段就开始

4 亿美元：TikTok、ByteDance 与美国司法部在一起涉及儿童个人数据保护的案件中就这一金额达成和解。该案虽然涉及的是美国数据保护法，但其背后的问题对欧洲企业同样具有现实意义：

我们的产品和服务是否有未成年人在使用？我们是否清楚用户的真实年龄？我们的流程是否考虑到儿童个人数据应受到特殊保护？

TikTok 案究竟发生了什么？

早在 2024 年，美国司法部就已对 TikTok 和 ByteDance 提起诉讼。指控内容是：TikTok 允许 13 岁以下儿童注册普通账户，并在未适当告知父母、未征得父母同意的情况下收集和存储其个人数据。

据美国司法部称，受影响的儿童达数百万名。即便是所谓“儿童模式”（Kids Mode）下的账户，据称也处理了电子邮件地址、IP 地址、设备标识符等信息。此外，美国司法部还指控 TikTok 识别和删除儿童账户的流程存在不足 （来源： 美国司法部，2024年8月2日的诉状).

2026 年 8 月，该案以和解方式结案。TikTok 将立即支付 3 亿美元；待此前针对其前身 Musical.ly 的同意令（Consent Decree）撤销后，再支付 1 亿美元。美国司法部称，这是依据美国《儿童在线隐私保护法》（Children’s Online Privacy Protection Act，COPPA）提起的案件中金额最高的和解付款之一。

为准确理解此案，需要明确一点：这既不是判决，也不是经法院认定的数据保护违法行为。和解了结了相关指控；美国司法部明确表示，并未认定 TikTok 负有法律责任。

真正的问题：儿童并不总是如实填写年龄

欧洲有哪些规定？

《通用数据保护条例》（GDPR）同样特别重视对儿童的保护。

如果一项信息社会服务直接向儿童提供，且该数据处理基于 GDPR 第 6 条第 1 款 a 项下的同意，那么 GDPR 第 8 条便尤为相关。

GDPR 原则上将这一年龄界限定为 16 岁，各成员国可将其最低降至 13 岁。德国保留了 16 岁的年龄界限。

如果儿童未满该年龄，则只有在获得其父母责任承担者（监护人）同意或批准的情况下，并在该范围内，基于同意的处理才属合法。

GDPR 还更进一步：控制者必须结合现有技术，作出合理努力，核实该同意是否确实由监护人作出或批准。

因此，这里同样出现了一个实际问题：

我们的年龄验证和同意流程究竟有多可靠？

儿童数据保护并不始于复选框

因此，TikTok 案揭示了一个根本性问题：在注册流程中询问出生日期，然后就认定未成年人已被排除在外或已有效取得必要的同意，这并不总是足够的。企业更应在设计数字产品时就考虑以下问题：

尤其是因设计或内容而对儿童和青少年具有吸引力的产品，不应等到收到投诉时才去寻找答案。

企业能从 TikTok 案中得到哪些启示

从法律上讲，这一和解不能原封不动地套用到欧洲企业身上。COPPA 和 GDPR 是两套不同的法规。
但其实际启示远不止于这一具体的美国案例：

如果您的产品或服务实际上很可能有未成年人使用，就应将儿童数据保护作为产品和流程设计的一部分，而不是等到撰写隐私政策时才考虑。

这包括：有意识地确定目标群体，采用合适的年龄验证机制，选择恰当的法律依据，并建立处理未成年用户数据的流程。TikTok 案清楚地表明，如果这些问题拖到多年后才被提出，其影响可能会达到何种规模。