TikTok-gegevensbeschermingsregeling

• Wat het was: Een schikking van 92 miljoen dollar beëindigt 21 gecombineerde federale rechtszaken (MDL nr. 2948) waarin TikTok ervan werd beschuldigd biometrische gegevens en andere persoonlijke data zonder toestemming te hebben verzameld.
• Legale basis: Vooral de Biometric Information Privacy Act (BIPA) van Illinois, met gerelateerde claims onder de Video Privacy Protection Act (VPPA) en de Computer Fraud and Abuse Act (CFAA).
• Geen erkenning van schuld: TikTok ontkende de beschuldigingen, maar stemde ermee in om het schikkingsbedrag te betalen en bepaalde gegevensverwerkingspraktijken aan te passen.
• Niet hetzelfde geval als: De afzonderlijke schikking van 400 miljoen dollar die TikTok en ByteDance in augustus 2026 met het Amerikaanse ministerie van Justitie troffen in het kader van de COPPA-wetgeving, of de GDPR-boetes die de Ierse gegevensbeschermingscommissie aan TikTok oplegde. Dit zijn afzonderlijke rechtszaken onder verschillende wetten; dit artikel behandelt specifiek de collectieve rechtszaak van BIPA uit 2021 tot 2022.
• Waarom dit belangrijk is voor bedrijven: Deze zaak laat zien hoe het verzamelen van biometrische gegevens, het overdragen van gegevens over de grens en het ongeoorloofd delen van gegevens met derden kunnen leiden tot rechtszaken met schadevergoedingen van honderden miljoenen dollars, zelfs zonder dat er sprake is van een datalek.

Gepubliceerd: december 2022. Bijgewerkt: augustus 2026. Beoordeeld door het Compliance Advisory-team van Encryption Consulting.

Wat hield de schikking met TikTok over gegevensprivacy in?

De schikking in de privacyzaak rond TikTok verwijst naar de overeenkomst van 92 miljoen dollar die TikTok en moederbedrijf ByteDance hebben bereikt om de zaak In re: TikTok, Inc., Consumer Privacy Litigation , een collectieve rechtszaak (MDL nr. 2948) die was samengevoegd bij de Amerikaanse districtsrechtbank voor het noordelijke district van Illinois, te beëindigen. De zaak combineerde 21 afzonderlijke federale rechtszaken, waarvan er verschillende namens minderjarigen waren aangespannen, waarin TikTok ervan werd beschuldigd persoonlijke gegevens, waaronder biometrische gegevens, te hebben verzameld en gedeeld zonder de vereiste toestemming. De groep gedupeerden omvatte naar schatting 89 miljoen Amerikaanse TikTok-gebruikers.

TikTok ontkende alle aant allegations in de klachten. In een verklaring die werd uitgegeven toen de schikking werd aangekondigd, zei het bedrijf dat het er de voorkeur aan gaf "zich te richten op het creëren van een veilige en prettige ervaring voor de TikTok-community" in plaats van de rechtszaak voort te zetten. Het ontkennen van wangedrag tijdens een schikking is standaardpraktijk in collectieve privacyrechtszaken en betekent niet dat de onderliggende claims zwak waren; het weerspiegelt een kosten- en risicoafweging met betrekking tot de langdurige bewijsvergaring en de blootstelling aan de wettelijke schadevergoedingen van BIPA.

Tijdlijn van primaire bronnen

• 2020 naar 2021: Individuele en vermeende collectieve rechtszaken tegen TikTok en ByteDance zijn aangespannen in meerdere federale districten; het Judicial Panel on Multidistrict Litigation voegt deze samen tot MDL nr. 2948 in het Northern District of Illinois, zaaknummer 1:20-cv-04699.
• Februari 25, 2021: De partijen kondigen een schikkingsovereenkomst van 92 miljoen dollar aan om de gecombineerde vorderingen af ​​te handelen.
• 2021 tot begin 2022: De rechtbank verleent voorlopige goedkeuring; een kennisgevingsprogramma en een website voor claims (tiktokdataprivacysettlement.com) worden gelanceerd, zodat in aanmerking komende leden van de groep claims kunnen indienen of zich kunnen afmelden.
• Juli 28, 2022: De Amerikaanse districtsrechter John Z. Lee keurt de schikking van 92 miljoen dollar definitief goed en spreekt het eindvonnis uit.
• Augustus 2026: TikTok en ByteDance hebben een afzonderlijke schikking van 400 miljoen dollar getroffen met het Amerikaanse ministerie van Justitie over ongerelateerde claims in verband met de Children's Online Privacy Protection Act (COPPA). Deze aparte zaak wordt beschreven in het updateoverzicht hieronder.

Welke gegevens en technologieën waren bij de rechtszaak betrokken?

De klachten hadden betrekking op het verzamelen en gebruiken van biometrische gegevens en gedragsdata door TikTok via de content- en aanbevelingsfuncties van de app. Eisers beschuldigden de app van de volgende praktijken:

• Gezichts- en biometrische scans: De eisers beweerden dat TikTok gezichtsherkenning gebruikte om kenmerken zoals leeftijd, geslacht en etniciteit af te leiden uit video's van gebruikers om de aanbevelingsengine voor content aan te drijven, zonder de schriftelijke toestemming die BIPA vereist voor inwoners van Illinois.
• Concepten en nog niet gepubliceerde content: In de rechtszaak werd beweerd dat de app video-concepten vastlegde en analyseerde die gebruikers hadden opgenomen maar nooit hadden gepubliceerd. Dit betekende dat content waarvan mensen dachten dat die privé was, toch verwerkt zou zijn.
• Gegevensdeling met derden: De eisers beweerden dat persoonsgegevens werden gedeeld met externe bedrijven, waaronder Google en Facebook, zonder adequate openbaarmaking of toestemming, wat aanleiding gaf tot claims onder de VPPA (Virtual Private Privacy Act).
• Toegang tot apparaat en klembord: De beschuldigingen onder de CFAA draaiden om het feit dat de app meer gegevens op apparaatniveau verzamelde dan in het eigen privacybeleid stond vermeld, en daarmee de toegang overschreed die gebruikers hadden geautoriseerd.
• Grensoverschrijdende gegevensopslag: De eisers beweerden dat Amerikaanse gebruikersgegevens werden verzonden naar en opgeslagen op servers buiten de Verenigde Staten, waardoor hetzelfde risico van grensoverschrijdende gegevensoverdracht ontstond als bij de handhaving van de AVG, ook al was de AVG zelf niet de juridische grondslag voor deze Amerikaanse zaak.

Als onderdeel van de schikking stemde TikTok ermee in om een ​​aantal van deze praktijken in de toekomst te wijzigen: het beperken van de opslag of overdracht van biometrische en geolocatiegegevens van binnenlandse gebruikers buiten de VS, het verwijderen van vooraf geüploade conceptcontent die nooit is opgeslagen of gepubliceerd, het jaarlijks geven van privacytrainingen aan werknemers en contractanten, en het onderwerpen van het bedrijf aan onafhankelijke privacy- en beveiligingsaudits door derden gedurende drie jaar.

Wat waren de daadwerkelijke gevolgen van de schikking in de praktijk?

De schikking van 92 miljoen dollar is een van de grootste terugvorderingen ooit in een BIPA-zaak, en de impact ervan reikte verder dan het uitgekeerde bedrag.

• Financieel: TikTok heeft een gezamenlijk schikkingsfonds van 92 miljoen dollar opgericht. De individuele uitbetalingen waren afhankelijk van het totale aantal geldige claims dat was ingediend; leden van de subgroep in Illinois ontvingen extra uitkeringen volgens het verdeelplan, omdat BIPA wettelijke schadevergoedingen bevat die inwoners van andere staten niet kunnen claimen, terwijl leden van de subgroep in het hele land een kleinere basisuitkering kregen.
• Reputatie: De zaak werd een veel geciteerd referentiepunt in het bredere debat over het gegevensbeleid van TikTok, naast een afzonderlijk onderzoek naar de nationale veiligheid van de app in het kader van wat algemeen bekend staat als Project Texas, en het voedde de publieke aandacht die voortduurde tijdens de latere COPPA-rechtszaken tegen de app.
• Regelgeving en juridische precedenten: De schikking versterkte de positie van BIPA als een van de belangrijkste wetten op het gebied van biometrische privacy in de Verenigde Staten, waardoor advocatenkantoren soortgelijke claims inzake biometrische gegevens tegen andere technologie- en detailhandelsbedrijven die in Illinois actief zijn, werden aangemoedigd.
• Operationele: De door TikTok vereiste wijzigingen, waaronder beperkingen op het verzamelen van biometrische gegevens, grensoverschrijdende opslagbeperkingen en terugkerende audits door derden, functioneren als een nalevingsprogramma dat de rechtbank feitelijk heeft opgelegd via een schikking in de vorm van een instemmingsbesluit in plaats van een formeel vonnis.

Wat kunnen organisaties leren van de schikking met TikTok?

De directe les is beperkt: BIPA is van toepassing op elke organisatie die biometrische gegevens, zoals gezichtsgeometrie, vingerafdrukken of stemafdrukken, verzamelt van inwoners van Illinois zonder schriftelijke toestemming en een openbaar bewaarschema, en de wet voorziet in een schadevergoeding van $1,000 tot $5,000 per overtreding, ongeacht de bewezen schade. De bredere les reikt echter veel verder dan Illinois en veel verder dan TikTok.

De meeste organisaties die aanbevelingssystemen, personalisatiefuncties of authenticatietools ontwikkelen, hebben tegenwoordig te maken met een combinatie van biometrische signalen, gedragsgegevens en grensoverschrijdende gegevensstromen, vaak zonder dat één team verantwoordelijk is voor de naleving van de regelgeving op al deze gebieden. De zaak-TikTok laat zien dat toezichthouders en eisers geen datalek nodig hebben om een ​​claim in te dienen; een gedocumenteerde discrepantie tussen wat een privacybeleid openbaar maakt en wat het product daadwerkelijk verzamelt, is voldoende. Versleuteling en toegangscontrole verminderen het risico op datalekken, maar ze vervangen geen toestemmingsbeheer, dataminimalisatie en strikte bewaartermijnen, waar de kwetsbaarheid in deze zaak juist vandaan kwam.

Hoe kunt u vergelijkbare lacunes in de privacywetgeving binnen uw organisatie opsporen?

Begin met een directe vergelijking tussen wat uw product daadwerkelijk verzamelt en wat er volgens uw privacyverklaring wordt verzameld. Let op de volgende specifieke signalen:

• Elke functie die een gezicht, stem, vingerafdruk of andere biometrische identificatiecode scant, vergelijkt of er kenmerken van afleidt zonder een gedocumenteerde, schriftelijke toestemmingsprocedure.
• Mobiele SDK's of analysetools die apparaat-, klembord- of gebruiksgegevens verzamelen die verder gaan dan wat uw privacybeleid specifiek vermeldt.
• Video-, audio- of contentgegevens worden gedeeld met reclame- of analysepartners zonder duidelijke toestemming of gegevensverwerkingsovereenkomst.
• Door gebruikers gegenereerde inhoud, inclusief concepten of niet-gepubliceerde uploads, wordt verwerkt of geanalyseerd voordat de gebruiker deze definitief publiceert of deelt.
• Persoonsgegevens die worden gekopieerd, geback-upt of verwerkt in een land dat niet is vermeld in uw privacybeleid of gegevensverwerkingsovereenkomsten.
• Er is geen gedocumenteerd schema voor het bewaren of vernietigen van biometrische of andere gevoelige persoonsgegevens.

Een cryptografische en data-inventarisatie (waarin wordt vastgelegd welke gegevens u bezit, waar ze zich bevinden en hoe ze worden beschermd) is meestal de snelste manier om deze hiaten aan het licht te brengen, aangezien de meeste zich manifesteren als een discrepantie tussen de data-inventarisatie en het privacybeleid in plaats van als een technische kwetsbaarheid.

Checklist voor herstelmaatregelen: het risico op privacygeschillen binnen uw organisatie verkleinen

1. Inventariseer elk systeem, elke functie en elke SDK die te maken heeft met biometrische identificatiegegevens (gezicht, stem, vingerafdruk, loopstijl) of andere gevoelige persoonsgegevens.
2. Breng elke gegevensstroom in kaart aan de hand van uw gepubliceerde privacybeleid en markeer elke vorm van gegevensverzameling of -deling die niet in het beleid is opgenomen.
3. Stel een schriftelijk, verifieerbaar toestemmingsproces op voor het verzamelen van biometrische gegevens, inclusief een openbaar schema voor het bewaren en vernietigen van gegevens, voordat u een biometrische functie introduceert of blijft gebruiken.
4. Controleer de overeenkomsten voor het delen van gegevens met derden (advertentienetwerken, analyseleveranciers, cloudproviders) om te bevestigen dat elk van deze partijen een gedocumenteerde juridische basis en contractuele bepalingen inzake gegevensbescherming heeft.
5. Beperk en registreer grensoverschrijdende gegevensoverdrachten; documenteer het juridische mechanisme (standaard contractuele bepalingen, adequaatheidsbesluit of equivalent) voor elke overdracht.
6. Versleutel biometrische en andere gevoelige persoonsgegevens, zowel in rust als tijdens verzending, en beheer de onderliggende sleutels via een gecentraliseerd, controleerbaar systeem in plaats van ingebedde applicatiegeheimen.
7. Voer periodieke, gedocumenteerde trainingen uit voor werknemers en contractanten over de omgang met gegevensprivacy, die overeenkomen met de jaarlijkse trainingen waartoe TikTok zich in het kader van de schikking heeft verbonden.
8. Laat periodiek een onafhankelijke privacy- en beveiligingsaudit uitvoeren door een derde partij, en niet alleen nadat een klacht of rechtszaak daartoe aanleiding geeft.
9. Wijs één verantwoordelijke persoon aan (privacyfunctionaris, complianceverantwoordelijke of een gelijkwaardige functionaris) voor het dichten van de hiaten die uit de inventarisatie en de audit naar voren komen, met een bijgehouden tijdlijn voor de herstelwerkzaamheden.

Welk privacyraamwerk is van toepassing op uw organisatie?

De TikTok BIPA-zaak valt binnen een breder kader van privacywetgeving die doorgaans van toepassing is op dezelfde onderliggende gegevensverwerkingspraktijken. Gebruik deze tabel om te zien welke vereisten relevant zijn, naast de specifieke wetgeving waaronder deze schikking is getroffen.

Kader	Wat het vereist	Relevantie voor deze zaak	Hoe dit van toepassing is op uw organisatie
BIPA (Illinois Biometric Information Privacy Act)	Schriftelijke toestemming voorafgaand aan het verzamelen van biometrische gegevens; een openbaar bewaar- en vernietigingsschema; een particulier recht van actie met wettelijke schadevergoeding.	De kernbepaling achter de schikking van 92 miljoen dollar met TikTok.	Voor elke biometrische inlogmethode, gezichtsherkenning of stemauthenticatietool die inwoners van Illinois raakt, is schriftelijke toestemming en een bewaarbeleid vereist.
VPPA (Video Privacy Protection Act)	Het is verboden om iemands videokijkgeschiedenis zonder toestemming openbaar te maken.	Dit wordt aangehaald in combinatie met beweringen dat TikTok gegevens over videobetrokkenheid met derden heeft gedeeld.	Elk platform dat gegevens over het bekijken van video's of interactie met gebruikers registreert en deelt, heeft een op toestemming gebaseerde overeenkomst voor gegevensdeling nodig.
CFAA (Computer Fraud and Abuse Act)	Het is verboden om de geautoriseerde toegang tot een computer of apparaat te overschrijden.	Geklaagd naar aanleiding van beschuldigingen dat de SDK van TikTok meer apparaatgegevens verzamelde dan openbaar gemaakt.	App-SDK's en mobiele telemetrie mogen alleen gegevens verzamelen die zijn toegestaan ​​volgens het privacybeleid en de toestemmingsprocedure.
COPPA (Children's Online Privacy Protection Act)	Aantoonbare toestemming van de ouders voordat gegevens worden verzameld van kinderen jonger dan 13 jaar.	Niet de juridische grondslag van deze zaak van 92 miljoen dollar; maar wel de grondslag van de afzonderlijke schikking van TikTok met het Amerikaanse ministerie van Justitie van 400 miljoen dollar in augustus 2026.	Elk platform met gebruikers die mogelijk jonger zijn dan 13 jaar, heeft leeftijdscontroles en procedures voor ouderlijke toestemming nodig, onafhankelijk van de BIPA-verplichtingen.
AVG (Algemene Verordening Gegevensbescherming van de EU)	Wettelijke grondslag voor verwerking, dataminimalisatie, waarborgen bij grensoverschrijdende overdrachten	Niet van toepassing op deze Amerikaanse zaak, maar de Ierse gegevensbeschermingscommissie heeft TikTok afzonderlijk een boete opgelegd op grond van de AVG voor soortgelijke praktijken met betrekking tot gegevensverwerking.	Organisaties die in de EU actief zijn, hebben parallelle biometrische en grensoverschrijdende gegevensoverdrachtcontroles nodig, zelfs nadat een Amerikaanse claim is afgehandeld.

Beperkingen

Deze schikking loste de BIPA-, VPPA- en CFAA-claims op die waren samengevoegd in MDL nr. 2948; er werd niet vastgesteld dat TikTok een van deze wetten had overtreden, aangezien TikTok schikte zonder aansprakelijkheid te erkennen. De schikking dekt niet de andere, afzonderlijke privacykwesties van TikTok, waaronder de COPPA-schikking van het Amerikaanse ministerie van Justitie in 2026, de handhavingsacties van de Ierse gegevensbeschermingscommissie met betrekking tot de AVG, of latere rechtszaken over het volgen van browsergebruik binnen de app. Elk van deze zaken is gebaseerd op een andere juridische theorie met eigen feiten en uitkomsten. De individuele uitbetalingsbedragen worden hier niet in detail beschreven, omdat deze afhankelijk waren van het uiteindelijke claimpercentage en rechtstreeks via de schikkingsprocedure werden beheerd. Lezers die een specifieke betalingsstatus willen weten, dienen contact op te nemen met de officiële beheerder van de schikking in plaats van dit artikel. Dit artikel is gebaseerd op openbaar beschikbare rechtbankdocumenten en juridische verslaggeving, en niet op toegang tot vertrouwelijke dossierstukken.

Wat zou Encryption Consulting aanbevelen?

Dergelijke gevallen gaan zelden over een enkele fout. Ze zijn meestal het gevolg van het verzamelen van biometrische of gedragsgegevens dat de door een organisatie ingestelde controlemechanismen voor toestemming, gegevensbewaring en grensoverschrijdende verwerking overstijgt. Drie maatregelen dichten het grootste deel van die kloof.

• Begin met een Compliance Advies Een samenwerking om uw daadwerkelijke gegevensstromen in kaart te brengen aan de hand van uw privacyverklaringen en toepasselijke kaders (BIPA, COPPA, GDPR en sectorspecifieke regels), en om de documentatie op te stellen waar een toezichthouder of advocaat van een eiser als eerste om zal vragen.
• Gebruik Versleutelingsadvies Om te bevestigen dat biometrische en andere gevoelige persoonsgegevens zowel in rust als tijdens verzending versleuteld zijn met centraal beheerde sleutels, en niet overgelaten worden aan standaardbeveiliging op applicatieniveau.
• Implementeren PKI-as-a-Service Het doel is om certificaatgebaseerde authenticatie en encryptie voor grensoverschrijdende gegevensoverdracht te standaardiseren, zodat de technische controles overeenkomen met de contractuele en toestemmingscontroles die uw complianceprogramma hanteert.

Encryption Consulting werkt volgens ISO/IEC 27001:2022 en SOC 2-normen en hanteert gegevensbeschermingspraktijken die voldoen aan de AVG (Algemene Verordening Gegevensbescherming), dezelfde categorieën van beheersmaatregelen die TikTok na de rechtszaak feitelijk van de rechter heeft geëist. Het vooraf implementeren ervan is aanzienlijk goedkoper dan het implementeren ervan onder tijdsdruk.

Updatelogboek

Datum	Veranderen
25 februari 2021	TikTok en de eisers hebben een schikkingsovereenkomst van 92 miljoen dollar bereikt in MDL-zaak nr. 2948, ND Illinois.
2021 tot begin 2022	De rechtbank verleent voorlopige goedkeuring; het programma voor kennisgeving van schadeclaims gaat van start voor de groep van ongeveer 89 miljoen gebruikers.
July 28, 2022	Rechter John Z. Lee verleent definitieve goedkeuring en wijst het eindvonnis uit.
December 2022	Oorspronkelijke versie van dit artikel gepubliceerd.
August 21, 2026	TikTok en ByteDance hebben een afzonderlijke schikking van 400 miljoen dollar getroffen met het Amerikaanse ministerie van Justitie over claims in verband met COPPA. Deze zaak staat hier apart vermeld om verwarring met de BIPA-schikking die in dit artikel wordt behandeld te voorkomen.
Augustus 2026	Dit artikel is herzien en bijgewerkt door het Compliance Advisory-team van Encryption Consulting: de tijdlijn van de primaire bronnen, de vergelijkingstabel van de frameworks, de richtlijnen voor detectie en herstel, de FAQ en dit updateverslag zijn toegevoegd; alle data en cijfers zijn geverifieerd aan de hand van gerechtelijke documenten en juridische rapportages.

Conclusie

De schikking van 92 miljoen dollar met TikTok draaide niet om een ​​hack of datalek. Het ging om de kloof tussen wat de app openbaar maakte en wat er daadwerkelijk werd verzameld, met name biometrische gegevens, niet-gepubliceerde concepten en het delen van gegevens met derden. Die kloof is precies wat BIPA, en steeds meer andere privacywetgeving, beoogt aan te pakken. Bedrijven die aanbevelingssystemen, biometrische authenticatie of andere functies ontwikkelen die gevoelige persoonsgegevens verwerken, zouden deze zaak als een checklist moeten beschouwen, niet als een krantenkop: inventariseer de gegevens, documenteer de toestemming, controleer de overdrachten en voer periodiek audits uit in plaats van te wachten tot een advocaat van de eiser dat eerst doet.

Veelgestelde Vragen / FAQ

Waar ging de schikking van 92 miljoen dollar met TikTok nu eigenlijk over? Het betrof 21 gecombineerde federale rechtszaken (MDL nr. 2948) waarin TikTok ervan werd beschuldigd biometrische gegevens te hebben verzameld, niet-gepubliceerde conceptvideo's te hebben geanalyseerd en persoonlijke gegevens te hebben gedeeld met derden zoals Google en Facebook zonder de vereiste toestemming. De rechtbank keurde de schikking definitief goed op 28 juli 2022.

Is dit dezelfde zaak als de COPPA-schikking die TikTok met het Amerikaanse ministerie van Justitie trof? Nee. De schikking van 92 miljoen dollar betrof claims op grond van BIPA, VPPA en CFAA van 2021 tot 2022. TikTok en ByteDance bereikten in augustus 2026 een aparte schikking van 400 miljoen dollar met het Amerikaanse ministerie van Justitie vanwege schendingen van de Children's Online Privacy Protection Act (COPPA). Dit is een aparte zaak met eigen feiten, rechtbank en uitkomst.

Wat is BIPA en waarom was het van toepassing op TikTok? De Illinois Biometric Information Privacy Act (BIPA) vereist schriftelijke toestemming voordat een bedrijf biometrische gegevens, zoals gezichtsgeometrie, verzamelt van inwoners van Illinois. De wet stelt individuen ook in staat om rechtstreeks een rechtszaak aan te spannen wegens schendingen. Eisers beweerden dat TikTok gezichtsanalyse gebruikte om contentaanbevelingen te genereren zonder die toestemming.

Heeft TikTok in de schikking schuld bekend? Nee. TikTok ontkende alle aant allegations in de oorspronkelijke aanklachten. Schikken zonder aansprakelijkheid te erkennen is standaard in collectieve privacyrechtszaken en weerspiegelt een afweging van kosten en risico's, niet een feitelijke vaststelling ten nadele van het bedrijf.

Wat zouden bedrijven concreet moeten veranderen na het lezen over deze casus? Inventariseer waar biometrische en gedragsgegevens worden verzameld, controleer of er schriftelijke toestemming en bewaartermijnen voor zijn, herzie overeenkomsten met derden voor het delen van gegevens en beheer grensoverschrijdende gegevensoverdrachten. De bovenstaande checklist voor herstelmaatregelen doorloopt elke stap in de juiste volgorde.

Referenties

• NPR, “TikTok betaalt 92 miljoen dollar om collectieve rechtszaak over ‘diefstal’ van persoonsgegevens te schikken” (25 februari 2021): npr.org
• The National Law Review, “Definitieve goedkeuring voor de schikking van 92 miljoen dollar met TikTok”: natlawreview.com
• Privacy World, “TikTok-schikking krijgt definitieve goedkeuring van de rechtbank” (augustus 2022): privacyworld.blog
• MediaPost, “TikTok-schikking van 92 miljoen dollar wegens privacygeschil goedgekeurd” (28 juli 2022): mediapost.com
• Amerikaans ministerie van Justitie, “Ministerie van Justitie bereikt schikking van 400 miljoen dollar met TikTok en ByteDance om rechtszaak over privacy van kinderen op te lossen” (21 augustus 2026): justitie.gov
• Federal Trade Commission, “FTC-onderzoek leidt tot rechtszaak tegen TikTok en ByteDance wegens flagrante schending van de privacywetgeving voor kinderen” (augustus 2024): ftc.gov