La Fecha Límite del 22 de Abril
Actualizado para 2026
La FTC actualizó COPPA. La nueva regla entra en vigor el 22 de abril de 2026. Es el primer cambio importante desde 2013. Las plataformas EdTech que atienden a menores de 13 años deben actuar ahora. Quedan semanas, no meses.
Los cambios son profundos. Las plataformas construidas sobre las reglas de 2013 deben auditar y actualizar sus sistemas centrales. Los pequeños ajustes no serán suficientes.
La Multa de Reddit: Una Advertencia Clara
En marzo de 2026, el ICO del Reino Unido multó a Reddit con £14,47 millones. ¿Por qué? Reddit no protegió a los niños del contenido dañino. Las verificaciones de edad eran demasiado débiles. Los menores accedieron.
Esa multa fue bajo el RGPD del Reino Unido, no COPPA. Pero el tipo de fallo es el mismo. COPPA 2026 apunta a plataformas que saben que hay menores presentes pero no los protegen.
EdTech está en una posición más difícil. Estas plataformas saben quiénes son sus usuarios. Venden a escuelas. Hacen marketing a padres. Ven las direcciones de correo electrónico de los estudiantes. La defensa de "no lo sabíamos" no está disponible.
Lo que Cambió COPPA 2026
La actualización de la FTC añadió cinco reglas clave para las plataformas EdTech.
1. La Minimización Es Ahora Obligatoria
Recopile solo lo que el servicio realmente necesita. La regla de 2013 permitía una amplia recopilación con consentimiento parental. La regla de 2026 prohíbe la recopilación adicional incluso con consentimiento. Los ID de dispositivos, las señales de seguimiento y los datos de ubicación no necesarios para el servicio deben detenerse ahora.
2. Sin Publicidad Dirigida a Menores
Las plataformas EdTech no pueden usar los registros de niños para anuncios de comportamiento. El consentimiento no cambia esto. Algunas plataformas usaban consentimiento general para justificar el uso amplio de datos. Esa laguna está ahora cerrada.
3. Consentimiento Separado para Funciones de IA
Cualquier función de IA que use las entradas de niños necesita su propio formulario de consentimiento. Los tutores de IA, las herramientas de escritura y los motores adaptativos cuentan. El consentimiento para el servicio principal no cubre los complementos de IA.
4. Reglas de Eliminación con Consecuencias Reales
Elimine los registros de niños cuando ya no sean necesarios. Las plataformas que ejecutan la eliminación automatizada en un horario fijo enfrentan menor responsabilidad en las acciones de la FTC. Este es un puerto seguro real — úselo.
5. Mayor Estándar de De-identificación
Eliminar un nombre no es suficiente. Las plataformas deben demostrar que la re-identificación no es razonablemente posible. Para análisis agregados, esto significa k-anonimato o privacidad diferencial.
FERPA y COPPA: Ambas Aplican
Para las plataformas K-12 que trabajan con escuelas, FERPA se aplica junto con COPPA. Esto es lo que importa:
- FERPA permite a las escuelas compartir registros de estudiantes con proveedores — pero solo para servicios contratados
- COPPA sigue aplicando para menores de 13 años, incluso cuando FERPA permite el intercambio
- El consentimiento escolar bajo FERPA no reemplaza el consentimiento parental de COPPA
El cumplimiento de FERPA no es cumplimiento de COPPA. Ambos deben cumplirse por separado.
Qué Hacer Antes del 22 de Abril
Trabaje esta lista de verificación antes de la fecha límite.
Inventario
- Liste todos los registros recopilados de usuarios menores de 13 años
- Encuentre cada herramienta de terceros que recibe registros de niños — análisis, CRM, monitoreo
- Verifique el consentimiento para cada tipo de recopilación
Anonimización
- Agregue detección de PII al contenido de estudiantes antes de que se registre
- Elimine nombres, direcciones de correo electrónico e ID de estudiantes de los eventos de análisis
- De-identifique los informes agregados usados para trabajo de producto
- Limpie los conjuntos de entrenamiento de IA que incluyen entradas de estudiantes
Consentimiento
- Cree flujos de consentimiento separados para cada función de IA
- Registre el consentimiento con marcas de tiempo
- Agregue un flujo de retiro que active la eliminación de inmediato
Retención
- Establezca un período de retención para cada tipo de registro
- Automatice la eliminación cuando terminen los períodos
- Verifique los sistemas de respaldo para brechas
Proveedores
- Revise los acuerdos de procesamiento con todos los subprocesadores
- Confirme que los proveedores de análisis no usen registros de niños para anuncios
- Actualice los acuerdos para cumplir el estándar de de-identificación de 2026
Cómo Ayuda la Anonimización
La nueva regla de de-identificación es la parte más técnica de COPPA 2026. Eliminar nombres solos no cumple el estándar. Necesita un sistema que encuentre y elimine todos los PII en cada flujo de datos.
anonym.legal detecta más de 285 tipos de entidades en 48 idiomas. Muchas plataformas EdTech atienden a estudiantes que hablan muchos idiomas. Los PII de estudiantes aparecen en español, mandarín, árabe y docenas de otros — no solo en inglés. La amplia cobertura de idiomas no es un lujo aquí. Es una necesidad de cumplimiento.
La plataforma también detecta casos límite que la revisión manual pasa por alto. Los números de teléfono, los patrones de ID de estudiantes y los identificadores indirectos son comunes en el contenido de estudiantes. La detección automatizada los encuentra a escala. La revisión manual no lo hace.
La función de procesamiento por lotes permite a los equipos procesar bases de datos existentes con la herramienta. Eso cubre el contenido antiguo de estudiantes que ahora debe cumplir el estándar más alto. La de-identificación retroactiva es parte del panorama de cumplimiento bajo la regla de 2026.
Consulte nuestra descripción general de seguridad y cumplimiento sobre cómo manejamos los registros sensibles. La página de cumplimiento legal cubre tanto FERPA como COPPA en detalle.
El Costo de la Inacción
Las violaciones de COPPA conllevan sanciones de hasta $51,744 por violación por día. Para una plataforma con 100,000 cuentas de estudiantes, una brecha sistémica en la de-identificación podría significar decenas de millones en multas.
La multa de Reddit fue de £14,47 millones. Reddit tiene miles de millones en ingresos. Para una plataforma EdTech de tamaño mediano, una multa similar sería existencial.
El 22 de abril está cerca. El trabajo es factible si comienza ahora. Los reguladores han dejado claro que aplicarán la nueva regla. Esperar no es una estrategia.
Comience a anonimizar los registros de estudiantes hoy →
Fuentes
- Actualización de la Regla COPPA de la FTC, Federal Register, 2025 (en vigor el 22 de abril de 2026)
- Aviso de aplicación de la ICO contra Reddit, marzo de 2026 — multa de £14,47 millones
- FERPA, 20 U.S.C. § 1232g, y regulaciones de implementación 34 CFR Parte 99
- Preguntas frecuentes de COPPA de la FTC: características impulsadas por IA y consentimiento parental, 2026