= Dybdeanalyse

TikTok betaler milliardforlig for brug af børns data: Hvad kræver loven egentlig af de store platforme?

← Analyser
teknologi 9 min. læsning

Det amerikanske justitsministerium har indgået et milliardforlig med TikTok om ulovlig indsamling af børns data — men hvad kræver EU's regler faktisk, og håndhæves de effektivt i Danmark?

Konklusion

TikTok betaler et milliardforlig til det amerikanske justitsministerium for at have indsamlet data om børn under 13 år i strid med amerikansk lovgivning. Forliget er historisk stort og sætter ny præcedens for, hvad regulatorer kan håndhæve over for globale techgiganter. Men forskning viser, at platformes faktiske overholdelse af børnedatabeskyttelse er utilstrækkelig — også under EU's GDPR — og at håndhævelsen er ujævn og langsommelig. Forældreansvaret er i praksis for tungt, platformenes privatlivspolitikker er svære at gennemskue, og europæiske myndigheder har endnu ikke vist, at de kan matche den amerikanske afgørelses skarphed.

Nøglepunkter:

  • TikTok har indgået et milliardforlig med USA's justitsministerium om ulovlig dataindsamling om børn.
  • Forskning dokumenterer, at TikTok og andre platforme ikke lever fuldt op til kravene om børnedatabeskyttelse.
  • EU's GDPR giver formelt stærk beskyttelse, men håndhævelsen er svag og fragmenteret.
  • Forældrene bærer i praksis en urimelig stor del af ansvaret for børnenes digitale privatliv.
  • Den nye forordning om digitale tjenester (DSA) kan styrke beskyttelsen, men dens effekt er endnu usikker.

Baggrund

I mere end et årti har børn og unge flokket sig om digitale platforme — og platformene har til gengæld indsamlet data om dem i industriel skala. TikTok, der ejes af det kinesiske selskab ByteDance, er i dag en af verdens mest brugte platforme blandt unge. Men selskabets praksis for dataindsamling har i årevis tiltrukket sig regulatorernes opmærksomhed.

I USA er børn under 13 år særligt beskyttet af COPPA — Children's Online Privacy Protection Act — der forbyder platforme at indsamle personoplysninger om mindreårige uden forældrenes informerede samtykke. Det er denne lov, TikTok nu har brudt i en grad, der har resulteret i et historisk forlig med justitsministeriet.

I Europa gælder en anden lovramme. GDPR — den generelle forordning om databeskyttelse — stiller krav om, at behandling af børns personoplysninger kræver forældrenes samtykke, typisk op til 16 år, dog med mulighed for at sænke aldersgrænsen til 13 år på nationalt niveau. Danmark har valgt 13 år som aldersgrænse. Siden 2024 er EU's forordning om digitale tjenester, DSA (Digital Services Act), trådt i kraft, som pålægger meget store platforme særlige forpligtelser over for mindreårige — herunder forbud mod målrettet reklame baseret på profilering af børn.

Alligevel viser forskning gentagne gange, at kløften mellem de juridiske krav og platformenes faktiske adfærd er betydelig.

Hvad sker der

Det amerikanske justitsministerium har indgået et konkret milliardforlig med TikTok i en sag om ulovlig indsamling og brug af personoplysninger tilhørende børn under 13 år. Ifølge DR Nyheder er der tale om et af de største forlig nogensinde i en sag om børns digitale privatliv.

Sagen handler om, at TikTok angiveligt har indsamlet data om mindreårige — herunder oplysninger om lokation, brug og adfærd på platformen — uden at indhente det nødvendige forældresamtykke, og uden at slette data om brugere, der viste sig at være under aldersgrænsen.

Forliget er ikke en dom, men en aftale om at betale et stort beløb og formentlig indføre skærpede beskyttelsesforanstaltninger. Det betyder, at TikTok hverken formelt erkender sig skyldig eller frikendes — et mønster der er velkendt fra amerikanske forligssager med techsektoren.

De centrale spørgsmål

Forliget rejser tre centrale spørgsmål, som ikke besvares af nyheden alene:

1. Er platformene reelt ikke-compliant — eller er det håndhævelsen, der er svag? Forskning fra 2022 har specifikt analyseret TikToks overholdelse af krav til børnedatabeskyttelse. Studiet konkluderer, at TikTok ikke lever fuldt op til kravene, selv når platformen hævder at have særlige sikkerhedsforanstaltninger for mindreårige (Polito, Valença & Sarinho, 2022). Det er altså ikke blot et spørgsmål om manglende regler, men om mangelfuld efterlevelse af eksisterende regler.

2. Hvem bærer ansvaret — platform eller forældre? Lovgivningen i både USA og EU placerer formelt ansvaret hos platformen, men i praksis ender meget af byrden hos forældrene. En undersøgelse fra 2025 viser, at forældrenes parathed til at håndtere børnenes privatliv på tværs af sociale medieplatforme er stærkt varierende, og at lovgivningens krav til forældreinvolvering er svær at omsætte til reel beskyttelse (Abreu, Viegas & Santin, 2025). Mange forældre forstår ikke platformenes privatlivspolitikker — og det kan man ikke bebrejde dem.

3. Fungerer GDPR og DSA som effektive værktøjer? EU har på papiret et af verdens stærkeste databeskyttelsesregimer. Men det er et åbent spørgsmål, om håndhævelsen er tilstrækkelig. Det irske datatilsyn (DPC), der i praksis er den primære GDPR-myndighed over for mange techgiganter med europæisk hovedsæde i Dublin, er gentagne gange blevet kritiseret for at behandle sager for langsomt og for at nå frem til for milde afgørelser.

Analyse

Platformenes privatlivspolitikker beskytter ikke børn i praksis

En analyse af privatlivspolitikker på tværs af de mest brugte sociale medier viser, at platformene indsamler en bred vifte af brugerdata — og at disse politikker er formuleret på en måde, der gør dem svære at forstå for almindelige brugere, herunder forældre (Böyük, 2024). Selv når platformene formelt lever op til minimumskravene i lovgivningen, er der langt fra de juridiske forpligtelser til reel, meningsfuld beskyttelse af mindreåriges data.

TikTok er et godt eksempel. Platformen har i sin kommunikation præsenteret sig som havende særlige beskyttelsesforanstaltninger for brugere under 16 år — herunder begrænsninger på direkte beskeder og indstillinger for kontosikkerhed. Men forskning har vist, at disse foranstaltninger ikke er tilstrækkelige til at forhindre indsamling og behandling af data, der falder ind under kravene i børnedatabeskyttelseslovgivningen (Polito, Valença & Sarinho, 2022).

Det er et strukturelt problem: Platformene er kommercielt afhængige af datadreven annoncering, og børn og unge er attraktive målgrupper. Incitamenterne til reelt at beskytte børns data er svage, medmindre håndhævelsen er skarp nok til at gøre overtrædelserne urentable.

Forældreansvaret er for tungt

Lovgivning på tværs af lande — også GDPR — bygger i vid udstrækning på, at forældre er i stand til at give et informeret samtykke på vegne af deres børn. Men det forudsætter, at forældrene forstår, hvad de samtykker til.

Forskning viser, at forældrenes parathed til at navigere i børnenes digitale privatliv er meget ujævn (Abreu, Viegas & Santin, 2025). Privatlivspolitikkerne er lange, teknisk formulerede og skrevet for at opfylde juridiske krav — ikke for at informere brugerne. I en dansk kontekst er det formentlig realistisk at antage, at et flertal af forældre ikke har læst TikToks privatlivspolitik, endsige forstår, hvad platformen konkret indsamler om deres barns brug.

Det er ikke et argument for at fjerne forældreansvaret, men for at lovgivningen ikke kan hvile på det alene. Platformene skal have direkte og håndhævbare forpligtelser, der ikke afhænger af forældrenes aktive indsats.

GDPR er stærk på papiret — men hvad med håndhævelsen?

EU's GDPR indeholder klare krav om særlig beskyttelse af børns personoplysninger. Artikel 8 fastslår, at behandling af børns data kræver forældrenes samtykke op til en vis alder, og artikel 5 kræver dataminimering — at platforme kun må indsamle de data, der er strengt nødvendige for det angivne formål.

Problemet er håndhævelsen. Sager under GDPR tager typisk mange år, og de afgørende myndigheder — særligt det irske DPC — har været kritiseret for at prioritere hensynet til techsektorens tilstedeværelse over effektiv håndhævelse. Det skaber en situation, hvor GDPR eksisterer som et stærkt lovværktøj, men sjældent bruges med tilstrækkelig skarphed over for de største platforme.

DSA, der er fuldt trådt i kraft for de meget store platforme siden 2024, tilføjer et nyt lag af forpligtelser: Platforme med over 45 millioner EU-brugere — herunder TikTok — er underlagt krav om risikovurdering, begrænsninger på profilering af mindreårige til reklamebrug og pligten til at gøre platforme sikrere for børn. Kommissionen har allerede indledt en formel sag mod TikTok under DSA. Men det er for tidligt at vurdere, om DSA vil resultere i reel adfærdsændring eller blot i store bøder, som platformene indregner som en driftsomkostning.

Det amerikanske forlig som præcedens

Det amerikanske forlig er bemærkelsesværdigt af flere grunde. For det første er beløbets størrelse alene et signal om, at amerikanske myndigheder er villige til at bruge regulatorisk magt med reel finansiel konsekvens. For det andet sender det et signal til branchen om, at børnedatabeskyttelse er et prioriteret håndhævelsesområde.

For europæiske regulatorer er spørgsmålet, om de kan matche denne skarphed. Datatilsynene i EU er formelt uafhængige og varierer i ressourcer og prioriteter. Det danske Datatilsyn er aktivt, men Danmark er et lille marked, og de store sager mod globale platforme afgøres typisk af de tilsyn, der har jurisdiktion over platformenes europæiske hovedkontorer.

Det er ikke sikkert, at et europæisk tilsvarende forlig ville opstå under de nuværende strukturer — selv om lovgrundlaget formelt set er stærkt nok.

Sharenting og det bredere privatliv-problem

Et beslægtet problem, som forskning peger på, er det, der kaldes "sharenting" — forældrenes deling af børnenes billeder og oplysninger på sociale medier (Situmeang, Alhakim & Chansrakaeo, 2026). Her er det ikke platformen, der indsamler data direkte, men forældrene der aktivt bidrager til børnenes digitale fodaftryk — ofte uden at tænke over de langsigtede konsekvenser.

GDPR beskytter i udgangspunktet mod tredjeparters ulovlige behandling af børnedata, men regulerer ikke forældrenes egen deling af børnebilleder. Det skaber et hul i beskyttelsen: Børns data kan befinde sig på platformene med fuld juridisk "tilladelse" fra forældrene, selv om barnet aldrig har haft indflydelse på det.

Det peger på et mere grundlæggende spørgsmål om, hvornår børn selv — ikke blot deres forældre — bør have rettigheder over egne digitale oplysninger. Det er et normativt spørgsmål, som lovgiverne endnu ikke har besvaret entydigt.

Konklusion

TikTok-forliget er et vigtigt signal fra den stærkeste regulatoriske magt i verden om, at techgiganter ikke er hævet over loven — selv ikke når det gælder dataindsamling om børn. Men forliget løser ikke det strukturelle problem: At platforme er kommercielt incitamenteret til at indsamle mest mulig data, at forældrene er sat til at beskytte børnene med utilstrækkelige redskaber, og at europæisk håndhævelse endnu ikke har vist, at den kan levere sammenlignelig effekt.

GDPR og DSA er stærke lovgivningsmæssige rammer — men regler håndhævet med årtiers forsinkelse og moderate bøder ændrer ikke adfærd. Det, der mangler, er konsistent, hurtig og tilstrækkeligt hård håndhævelse — kombineret med tekniske krav der gør det vanskeligere for platformene at omgå reglerne i første omgang.

For danske forældre er den praktiske konklusion desværre, at lovgivningen endnu ikke beskytter deres børn fuldt ud i praksis — selv om den formelt set burde gøre det.

Kilder

= Læs vores metodedokument →