हालाँकि एक लंबा समय बीत चुका है, अंततः टिकटोक को बच्चों के डेटा को संसाधित करने में यूरोपीय संघ के सामान्य डेटा संरक्षण विनियमन (जीडीपीआर) का उल्लंघन करते हुए पाया गया। आयरलैंड के डेटा प्रोटेक्शन कमीशन (DPC) द्वारा आज जारी एक निर्णय के अनुसार, वीडियो-शेयरिंग प्लेटफ़ॉर्म को फटकार लगाई गई और €345 मिलियन (लगभग $379 मिलियन) का जुर्माना लगाया गया। इसके अवैध डेटा प्रोसेसिंग को अनुपालन में लाने के लिए तीन महीने के भीतर सुधार पूरा करने का भी आदेश दिया गया था।
टिकटॉक को जीडीपीआर के निम्नलिखित आठ अनुच्छेदों का उल्लंघन करते हुए पाया गया: अनुच्छेद 5(1)(ए); अनुच्छेद 5(1)(सी); अनुच्छेद 5(1)(एफ); अनुच्छेद 24(1); अनुच्छेद 25(1); अनुच्छेद 25(2); अनुच्छेद 12(1); और अनुच्छेद 13(1)(ई) - यानी डेटा प्रोसेसिंग की वैधता, निष्पक्षता और पारदर्शिता का उल्लंघन है; डेटा न्यूनीकरण; डेटा सुरक्षा; नियंत्रक की जिम्मेदारी; डिज़ाइन और डिफ़ॉल्ट रूप से डेटा सुरक्षा; और डेटा प्रसंस्करण की स्पष्ट अधिसूचना प्राप्त करने के लिए नाबालिगों सहित डेटा विषयों का अधिकार; और उनके व्यक्तिगत डेटा के प्राप्तकर्ताओं के बारे में जानकारी प्राप्त करना। तो यह उल्लंघनों की एक बहुत विस्तृत सूची है।
निर्णय में टिकटॉक की आयु सत्यापन विधियों में कोई उल्लंघन नहीं पाया गया, जो कुछ क्षेत्रीय नियामकों के सामने टिकटॉक के लिए एक फ्लैशप्वाइंट रहा है, लेकिन आयरिश नियामक ने नोट किया कि निर्णय ने जीडीपीआर के अनुच्छेद 24(1) का उल्लंघन दर्ज किया है - जैसा कि उसने जारी किया था टिकटॉक ने उचित तकनीकी और संगठनात्मक उपायों को लागू नहीं किया है क्योंकि इसने 13 वर्ष से कम उम्र के बच्चों द्वारा प्लेटफ़ॉर्म तक पहुंचने से उत्पन्न कुछ जोखिमों को ठीक से ध्यान में नहीं रखा है, क्योंकि डिफ़ॉल्ट खाता सेटिंग्स किसी को भी, चाहे वह टिकटॉक पर हो या नहीं, इन उपयोगकर्ताओं द्वारा पोस्ट की गई सोशल मीडिया सामग्री को देखने की अनुमति देती है।
इस समय टिकटॉक द्वारा लागू की गई सेटिंग्स ने बाल उपयोगकर्ताओं को पंजीकरण प्रक्रिया के दौरान अपने खातों को डिफ़ॉल्ट रूप से सार्वजनिक रूप से सेट करने में सक्षम पाया है। डीपीसी ने कहा, "इसका मतलब यह भी है कि, उदाहरण के लिए, बाल उपयोगकर्ता खातों पर पोस्ट किए गए वीडियो डिफ़ॉल्ट रूप से सार्वजनिक वीडियो के लिए, टिप्पणियाँ डिफ़ॉल्ट रूप से सार्वजनिक टिप्पणियों के लिए, और 'डुएट' और 'स्टिच' सुविधाएँ डिफ़ॉल्ट रूप से सक्षम हैं।"
तथाकथित "फैमिली मैच" सुविधा के माध्यम से बच्चे के खातों को असत्यापित गैर-बाल उपयोगकर्ताओं के साथ "मिलान" भी किया जा सकता है, लेकिन टिकटोक यह सत्यापित नहीं करता है कि उपयोगकर्ता वास्तव में बाल उपयोगकर्ता के माता-पिता या अभिभावक हैं या नहीं। डीपीसी के निष्कर्षों के अनुसार, गैर-बाल उपयोगकर्ता 16 वर्ष से अधिक उम्र के बाल उपयोगकर्ताओं को सीधे संदेश भेजने के लिए इस सुविधा का उपयोग कर सकते हैं - "जिससे यह सुविधा बाल उपयोगकर्ताओं के लिए कम कठोर हो जाएगी।"