Acuerdo de privacidad de datos de TikTok

• Qué era: Un acuerdo de 92 millones de dólares que resuelve 21 demandas federales consolidadas (MDL n.° 2948) que alegaban que TikTok recopilaba identificadores biométricos y otros datos personales sin consentimiento.
• Base legal: Principalmente la Ley de Privacidad de Información Biométrica de Illinois (BIPA), con reclamaciones relacionadas en virtud de la Ley de Protección de la Privacidad de Video (VPPA) y la Ley de Fraude y Abuso Informático (CFAA).
• No hay admisión de culpabilidad: TikTok negó las acusaciones, pero accedió a pagar la indemnización y a modificar ciertas prácticas de datos.
• No es el mismo caso que: El acuerdo extrajudicial independiente de 400 millones de dólares que TikTok y ByteDance alcanzaron con el Departamento de Justicia de EE. UU. en agosto de 2026, en virtud de la ley COPPA, o las multas impuestas por la Comisión Irlandesa de Protección de Datos a TikTok por incumplimiento del RGPD, son acciones legales distintas que se rigen por leyes diferentes; este artículo se centra específicamente en la demanda colectiva interpuesta en virtud de la ley BIPA entre 2021 y 2022.
• Por qué es importante para las empresas: Este caso demuestra cómo la recopilación de datos biométricos, la transferencia transfronteriza de datos y el intercambio de datos no revelados con terceros pueden convertirse en un riesgo de litigio multimillonario, incluso sin que se produzca una filtración de datos.

Publicado: diciembre de 2022. Actualizado: agosto de 2026. Revisado por el equipo de Asesoría en Cumplimiento Normativo de Encryption Consulting.

¿En qué consistió el acuerdo de privacidad de datos de TikTok?

El acuerdo sobre privacidad de datos de TikTok se refiere al acuerdo de 92 millones de dólares que TikTok y su empresa matriz, ByteDance, alcanzaron para resolver el caso In re: TikTok, Inc., Consumer Privacy Litigation , un litigio multidistrital (MDL n.° 2948) consolidado en el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de Illinois. El caso combinó 21 demandas federales separadas, varias presentadas en nombre de menores, que alegaban que TikTok recopiló y compartió datos personales, incluidos identificadores biométricos, sin el consentimiento adecuado. La demanda colectiva abarcaba a aproximadamente 89 millones de usuarios de TikTok en los Estados Unidos.

TikTok negó todas las acusaciones presentadas en las demandas. En un comunicado emitido al anunciarse el acuerdo, la compañía afirmó que prefería "centrar sus esfuerzos en crear una experiencia segura y agradable para la comunidad de TikTok" en lugar de continuar con el litigio. Negar las irregularidades al llegar a un acuerdo es una práctica habitual en los litigios colectivos sobre privacidad y no indica que las reclamaciones subyacentes fueran débiles; refleja un cálculo de costos y riesgos sobre la exposición prolongada a la investigación y al juicio, de acuerdo con las indemnizaciones previstas por la ley BIPA.

Cronología de fuentes primarias

• 2020 a 2021: Se presentan demandas individuales y presuntas demandas colectivas contra TikTok y ByteDance en varios distritos federales; el Panel Judicial sobre Litigios Multidistritales las consolida en el MDL n.° 2948 en el Distrito Norte de Illinois, caso n.° 1:20-cv-04699.
• Febrero 25, 2021: Las partes anuncian un acuerdo de conciliación de 92 millones de dólares para resolver las reclamaciones consolidadas.
• De 2021 a principios de 2022: El tribunal concede la aprobación preliminar; se pone en marcha un programa de notificación y un sitio web para presentar reclamaciones (tiktokdataprivacysettlement.com) para que los miembros elegibles del grupo puedan presentar reclamaciones o darse de baja.
• julio 28 del 2022: El juez de distrito estadounidense John Z. Lee otorga la aprobación final al acuerdo de 92 millones de dólares y emite la sentencia definitiva.
• Agosto 2026: TikTok y ByteDance llegan a un acuerdo extrajudicial por separado con el Departamento de Justicia de Estados Unidos por 400 millones de dólares en relación con demandas no relacionadas con la Ley de Protección de la Privacidad Infantil en Internet (COPPA), un caso distinto que se detalla en el registro de actualizaciones a continuación.

¿Qué datos y tecnologías estaban involucrados en la demanda?

Las quejas se centraron en la recopilación y el uso por parte de TikTok de identificadores biométricos y datos de comportamiento a través de las funciones de contenido y recomendación de la aplicación. Los demandantes alegaron las siguientes prácticas:

• Escaneo facial y biométrico: Los demandantes alegaron que TikTok utilizó el reconocimiento facial para obtener atributos como la edad, el género y la etnia a partir de los vídeos de los usuarios para alimentar su motor de recomendación de contenido, sin el consentimiento por escrito que exige la ley BIPA para los residentes de Illinois.
• Borradores y contenido no publicado: La demanda alegaba que la aplicación capturaba y analizaba borradores de vídeo que los usuarios grababan pero nunca publicaban, lo que significa que, supuestamente, el contenido que la gente creía privado seguía siendo procesado.
• Compartir datos con terceros: Los demandantes alegaron que sus datos personales fueron compartidos con empresas externas, incluidas Google y Facebook, sin la debida divulgación ni consentimiento, lo que implica reclamaciones en virtud de la VPPA.
• Acceso al dispositivo y al portapapeles: Las acusaciones presentadas en virtud de la CFAA se centraron en que la aplicación recopilaba más datos a nivel de dispositivo de los que revelaba su propia política de privacidad, excediendo el acceso que los usuarios habían autorizado.
• Almacenamiento de datos transfronterizos: Los demandantes alegaron que los datos de usuarios estadounidenses se transmitieron y almacenaron en servidores fuera de Estados Unidos, lo que plantea la misma categoría de riesgo de transferencia transfronteriza que aparece en la aplicación del RGPD, aunque el propio RGPD no fue la base legal para este caso estadounidense.

Como parte del acuerdo, TikTok aceptó modificar varias de estas prácticas en el futuro: restringir el almacenamiento o la transmisión de datos biométricos y de geolocalización de usuarios nacionales fuera de los EE. UU., eliminar el contenido borrador previamente subido que nunca se guardó ni se publicó, impartir formación anual sobre privacidad a empleados y contratistas, y someterse a auditorías independientes de privacidad y seguridad realizadas por terceros durante tres años.

¿Cuál fue el impacto real del acuerdo?

El acuerdo de 92 millones de dólares es una de las mayores indemnizaciones relacionadas con la BIPA registradas hasta la fecha, y su impacto fue más allá de la cifra del pago.

• Financiera: TikTok financió un fondo común de compensación de 92 millones de dólares. Los pagos individuales dependieron del número total de reclamaciones válidas presentadas; los miembros del subgrupo de Illinois recibieron participaciones de distribución adicionales según el plan de asignación, ya que la BIPA contempla daños legales que los residentes de otros estados no pueden reclamar, mientras que los miembros del subgrupo a nivel nacional compartieron una asignación base menor.
• Reputacional: El caso se convirtió en un punto de referencia ampliamente citado en el debate más amplio sobre las prácticas de datos de TikTok, junto con una revisión de seguridad nacional independiente de la aplicación bajo lo que comúnmente se conoce como Proyecto Texas, y alimentó el escrutinio público que continuó durante el posterior litigio de la aplicación bajo la ley COPPA.
• Precedentes regulatorios y legales: El acuerdo reforzó la Ley BIPA como una de las leyes estatales de privacidad biométrica más importantes del país, alentando a los bufetes de abogados de los demandantes a presentar demandas similares por datos biométricos contra otras empresas tecnológicas y minoristas que operan en Illinois.
• Operacional: Los cambios exigidos a TikTok, que incluyen límites a la recopilación de datos biométricos, restricciones al almacenamiento transfronterizo y auditorías periódicas de terceros, funcionan como un programa de cumplimiento que un tribunal impuso de hecho mediante un acuerdo de conciliación en lugar de un decreto de consentimiento formal.

¿Qué deberían aprender las organizaciones del acuerdo con TikTok?

La lección directa es concisa: la ley BIPA se aplica a cualquier organización que recopile identificadores biométricos, como geometría facial, huellas dactilares o de voz, de residentes de Illinois sin consentimiento por escrito y sin un calendario público de retención de datos, y conlleva sanciones legales de entre 1,000 y 5,000 dólares por infracción, independientemente del daño demostrado. La lección más amplia se aplica mucho más allá de Illinois y mucho más allá de TikTok.

La mayoría de las organizaciones que desarrollan sistemas de recomendación, funciones de personalización o herramientas de autenticación manejan actualmente una combinación de señales biométricas, datos de comportamiento y flujos de datos transfronterizos, a menudo sin un único equipo responsable del cumplimiento normativo en los tres ámbitos. El caso de TikTok demuestra que los reguladores y los demandantes no necesitan una filtración de datos para presentar una demanda; basta con una discrepancia documentada entre lo que revela una política de privacidad y lo que el producto realmente recopila. El cifrado y los controles de acceso reducen el riesgo de filtración, pero no sustituyen la gestión del consentimiento, la minimización de datos ni la disciplina en la retención, que es donde se originó la vulnerabilidad en este caso.

¿Cómo puede detectar deficiencias similares en el cumplimiento de la normativa de privacidad en su organización?

Comience con una comparación directa entre lo que su producto realmente recopila y lo que dice su política de privacidad. Busque estas señales específicas:

• Cualquier función que escanee, compare o derive atributos de un rostro, voz, huella dactilar u otro identificador biométrico sin un proceso de consentimiento documentado y por escrito.
• Kits de desarrollo de software (SDK) para dispositivos móviles o herramientas de análisis que recopilan datos del dispositivo, del portapapeles o de uso más allá de lo que se especifica en su política de privacidad.
• Compartir datos de vídeo, audio o contenido con socios publicitarios o de análisis sin una base de consentimiento clara o un acuerdo de procesamiento de datos.
• Contenido generado por el usuario, incluidos borradores o archivos subidos no publicados, procesado o analizado antes de que el usuario lo publique o comparta de forma deliberada.
• Datos personales replicados, respaldados o procesados ​​en un país que su política de privacidad o acuerdos de procesamiento de datos no divulguen.
• No existe un calendario documentado de retención o destrucción de datos biométricos ni de otras categorías de datos personales sensibles.

Un inventario criptográfico y de datos (que mapea qué datos se poseen, dónde se almacenan y cómo se protegen) suele ser la forma más rápida de detectar estas deficiencias, ya que la mayoría de ellas se manifiestan como una discrepancia entre el mapa de datos y la política de privacidad, en lugar de como una vulnerabilidad técnica.

Lista de verificación para la remediación: Reducción del riesgo de litigios por privacidad en su organización

1. Inventaría todos los sistemas, funciones y SDK que tengan contacto con identificadores biométricos (rostro, voz, huella dactilar, forma de andar) u otros datos personales confidenciales.
2. Compare cada flujo de datos con su política de privacidad publicada e indique cualquier práctica de recopilación o intercambio que la política no divulgue.
3. Antes de lanzar o continuar utilizando cualquier función biométrica, es necesario crear un flujo de consentimiento escrito y verificable para la recopilación de datos biométricos, que incluya un calendario público de retención y destrucción.
4. Revise los acuerdos de intercambio de datos con terceros (redes publicitarias, proveedores de análisis, proveedores de servicios en la nube) para confirmar que cada uno tenga una base legal documentada y términos contractuales de protección de datos.
5. Restringir y registrar las transferencias transfronterizas de datos; documentar el mecanismo legal (cláusulas contractuales estándar, decisión de adecuación o equivalente) para cada transferencia.
6. Encripta los datos biométricos y otros datos personales sensibles, tanto en reposo como en tránsito, y gestiona las claves subyacentes mediante un sistema centralizado y auditable, en lugar de utilizar secretos de aplicación integrados.
7. Impartir formación periódica y documentada a empleados y contratistas sobre el manejo de la privacidad de los datos, de forma similar a la formación anual que TikTok acordó en virtud de su acuerdo.
8. Encargue una auditoría independiente de privacidad y seguridad a un tercero de forma periódica, y no solo después de que una queja o una demanda la desencadene.
9. Asigne un único responsable (oficial de privacidad, responsable de cumplimiento o equivalente) para subsanar las deficiencias detectadas en el inventario y la auditoría, con un cronograma de remediación supervisado.

¿Qué marco de privacidad se aplica a su organización?

El caso de TikTok bajo la ley BIPA se enmarca dentro de un conjunto más amplio de marcos de privacidad que se aplican comúnmente a las mismas prácticas de datos subyacentes. Utilice esta tabla para ver qué requisitos son relevantes más allá de la ley específica bajo la cual se dictó esta resolución.

Marco conceptual	Lo que se requiere	Relevancia para este caso	Cómo se aplica a su organización
BIPA (Ley de Privacidad de la Información Biométrica de Illinois)	Consentimiento por escrito antes de recopilar identificadores biométricos; un calendario público de retención y destrucción; derecho a interponer una demanda privada con indemnización por daños y perjuicios.	El estatuto fundamental que sustenta el acuerdo de TikTok por 92 millones de dólares	Cualquier sistema de inicio de sesión biométrico, función de reconocimiento facial o herramienta de autenticación por voz que afecte a los residentes de Illinois requiere consentimiento documentado y una política de retención de datos.
VPPA (Ley de Protección de la Privacidad en Video)	Prohíbe la divulgación del historial de visualización de vídeos de una persona sin su consentimiento.	Citado junto con afirmaciones de que TikTok compartió datos de interacción de video con terceros.	Cualquier plataforma que registre y comparta datos de visualización de videos o de interacción necesita un acuerdo de intercambio de datos basado en el consentimiento.
Ley de Fraude y Abuso Informático (CFAA)	Prohíbe exceder el acceso autorizado a una computadora o dispositivo.	Citada por acusaciones de que el SDK de TikTok recopiló más datos del dispositivo de los que se divulgaron.	Los SDK de las aplicaciones y la telemetría móvil solo deben recopilar la información autorizada por la política de privacidad y el flujo de consentimiento.
COPPA (Ley de protección de la privacidad infantil en línea)	Consentimiento parental verificable antes de recopilar datos de niños menores de 13 años.	No es la base legal de este caso de 92 millones de dólares; es la base del acuerdo extrajudicial de TikTok con el Departamento de Justicia por 400 millones de dólares en agosto de 2026.	Cualquier plataforma con usuarios que puedan ser menores de 13 años necesita controles de verificación de edad y flujos de trabajo de consentimiento parental, independientemente de las obligaciones de BIPA.
RGPD (Reglamento General de Protección de Datos de la UE)	Base jurídica para el tratamiento de datos, minimización de datos, garantías en las transferencias transfronterizas	Aunque no es aplicable a este caso estadounidense, la Comisión Irlandesa de Protección de Datos multó por separado a TikTok en virtud del RGPD por prácticas relacionadas de gestión de datos.	Las organizaciones que operan en la UE necesitan controles biométricos y de transferencias transfronterizas paralelos, incluso después de resolver una reclamación de EE. UU.

Limitaciones

Este acuerdo resolvió las demandas de BIPA, VPPA y CFAA consolidadas en el MDL n.° 2948; no incluyó una determinación de hecho de que TikTok violara alguna de estas leyes, ya que TikTok llegó a un acuerdo sin admitir responsabilidad. No abarca otros asuntos de privacidad de TikTok, incluidos el acuerdo de COPPA del Departamento de Justicia de EE. UU. de 2026, las acciones de cumplimiento del RGPD por parte de la Comisión Irlandesa de Protección de Datos, ni los litigios posteriores sobre el seguimiento del navegador dentro de la aplicación, cada uno de los cuales se rige por diferentes teorías legales con sus propios hechos y resultados. Los montos de pago individuales no se detallan aquí porque dependían de la tasa final de reclamaciones y se administraron directamente a través del proceso de reclamaciones del acuerdo; los lectores que deseen conocer el estado de un pago específico deben consultar al administrador oficial del acuerdo en lugar de este artículo. Este texto también refleja documentos judiciales y reportajes legales disponibles públicamente, en lugar de acceso a materiales del caso sellados.

¿Qué recomendaría Encryption Consulting?

Casos como este rara vez se deben a un único fallo. Suelen ser consecuencia de que la recopilación de datos biométricos o de comportamiento excede los controles de consentimiento, retención y transfronterizos que la organización tiene implementados para gestionarla. Tres medidas permiten subsanar la mayor parte de esta deficiencia.

• Comience con una Asesoramiento de cumplimiento Colaboramos para mapear sus flujos de datos reales en función de sus declaraciones de privacidad y los marcos aplicables (BIPA, COPPA, GDPR y normas específicas del sector), y para elaborar la documentación que un regulador o un abogado del demandante solicitará en primer lugar.
• Usar Aviso sobre cifrado Para confirmar que los datos biométricos y otros datos personales sensibles están cifrados tanto en reposo como en tránsito, con claves gestionadas de forma centralizada, y no se dejan a la protección predeterminada a nivel de aplicación.
• Despliegue PKI como servicio Estandarizar la autenticación y el cifrado basados ​​en certificados para las transferencias de datos transfronterizas, de modo que los controles técnicos coincidan con los controles contractuales y de consentimiento que establece su programa de cumplimiento.

Encryption Consulting opera bajo los controles ISO/IEC 27001:2022 y SOC 2, y trabaja con prácticas de protección de datos alineadas con el RGPD, las mismas categorías de control que un tribunal exigió a TikTok que adoptara posteriormente. Implementarlas con antelación resulta mucho más económico que hacerlo bajo la presión de un plazo límite para llegar a un acuerdo.

Registro de actualización

Fecha	CAMBIAR
Febrero 25, 2021	TikTok y los demandantes llegan a un acuerdo extrajudicial de 92 millones de dólares en el caso MDL n.º 2948, ND Illinois.
2021 hasta principios de 2022	El tribunal concede la aprobación preliminar; se pone en marcha el programa de notificación de reclamaciones para la clase de aproximadamente 89 millones de usuarios.
28 de julio de 2022	El juez John Z. Lee otorga la aprobación final y emite el fallo definitivo.
de diciembre de 2022.	Versión original de este artículo publicada.
21 de agosto de 2026	TikTok y ByteDance llegan a un acuerdo extrajudicial por separado con el Departamento de Justicia por 400 millones de dólares en relación con las demandas presentadas en virtud de la ley COPPA, un caso distinto que se menciona aquí para evitar confusiones con el acuerdo de la ley BIPA que se aborda en este artículo.
Agosto del 2026	Artículo revisado y actualizado por el equipo de Asesoría de Cumplimiento de Encryption Consulting: se añadieron la cronología de la fuente primaria, la tabla comparativa de marcos, la guía de detección y remediación, las preguntas frecuentes y este registro de actualizaciones; se verificaron todas las fechas y cifras cotejándolas con los documentos judiciales y los informes legales.

Conclusión

El acuerdo de 92 millones de dólares de TikTok no se debió a un hackeo ni a una filtración de datos. Se debió a la discrepancia entre la información que la aplicación divulgaba y la que realmente recopilaba, especialmente en lo que respecta a datos biométricos, borradores no publicados y el intercambio con terceros. Esta discrepancia es precisamente lo que la BIPA, y cada vez más otros marcos de privacidad, buscan detectar. Las empresas que desarrollan sistemas de recomendación, autenticación biométrica o cualquier función que involucre datos personales sensibles deberían tomar este caso como una lista de verificación, no como un titular: inventariar los datos, documentar el consentimiento, controlar las transferencias y auditarlos periódicamente en lugar de esperar a que el abogado del demandante lo haga primero.

Preguntas frecuentes

¿De qué se trató realmente el acuerdo de 92 millones de dólares de TikTok? Resolvió 21 demandas federales consolidadas (MDL n.° 2948) que alegaban que TikTok recopilaba datos biométricos, extraía borradores de videos no publicados y compartía datos personales con terceros como Google y Facebook sin el consentimiento adecuado. El tribunal otorgó la aprobación final el 28 de julio de 2022.

¿Es este el mismo caso que el acuerdo de TikTok con el Departamento de Justicia por la COPPA? No. El acuerdo de 92 millones de dólares cubrió las reclamaciones de BIPA, VPPA y CFAA entre 2021 y 2022. TikTok y ByteDance llegaron a un acuerdo aparte de 400 millones de dólares con el Departamento de Justicia de EE. UU. en agosto de 2026 por violaciones de la Ley de Protección de la Privacidad Infantil en Internet (COPPA), un caso distinto con sus propios hechos, tribunal y resultado.

¿Qué es BIPA y por qué se aplicó a TikTok? La Ley de Privacidad de Información Biométrica de Illinois (BIPA) exige el consentimiento por escrito antes de que una empresa recopile identificadores biométricos, como la geometría facial, de los residentes de Illinois, y permite que las personas demanden directamente por infracciones. Los demandantes alegaron que TikTok utilizó el análisis facial para ofrecer recomendaciones de contenido sin dicho consentimiento.

¿Admitió TikTok alguna irregularidad en el acuerdo? No. TikTok negó todas las acusaciones de las demandas originales. Llegar a un acuerdo sin admitir responsabilidad es habitual en los litigios colectivos sobre privacidad y refleja una decisión basada en costos y riesgos, no una determinación de los hechos en contra de la empresa.

¿Qué cambios deberían implementar las empresas tras conocer este caso? Inventariar dónde se recopilan los datos biométricos y de comportamiento, confirmar que existen consentimientos por escrito y calendarios de retención, revisar los acuerdos de intercambio de datos con terceros y controlar las transferencias de datos transfronterizas. La lista de verificación de medidas correctivas anterior describe cada paso en orden.

Referencias

• NPR, “TikTok pagará 92 millones de dólares para resolver una demanda colectiva por el 'robo' de datos personales” (25 de febrero de 2021): npr.org
• Revista Nacional de Derecho, “El acuerdo de TikTok por 92 millones de dólares recibe la aprobación final”: natlawreview.com
• Privacy World, “El acuerdo con TikTok recibe la aprobación final del tribunal” (agosto de 2022): privacyworld.blog
• MediaPost, “Se aprueba el acuerdo de privacidad de TikTok por 92 millones de dólares” (28 de julio de 2022): mediapost.com
• Departamento de Justicia de EE. UU., “El Departamento de Justicia logra un acuerdo de 400 millones de dólares con TikTok y ByteDance para resolver el litigio sobre la privacidad de los niños” (21 de agosto de 2026): justicia.gov
• Comisión Federal de Comercio, “Investigación de la FTC conduce a una demanda contra TikTok y ByteDance por violar flagrantemente la ley de privacidad infantil” (agosto de 2024): ftc.gov