22. aprilli tähtaeg
Uuendatud 2026. aastaks
FTC uuendas COPPA-t. Uus reegel jõustub 22. aprillil 2026. See on esimene suurem muudatus alates 2013. aastast. EdTechi platvormid, mis teenindavad alla 13-aastaseid lapsi, peavad tegutsema kohe. Nädalad, mitte kuud, on jäänud.
Muudatused on põhjalikud. Platvormid, mis on ehitatud 2013. aasta reeglitele, peavad auditeerima ja uuendama põhisüsteeme. Väikesed parandused ei ole piisavad.
Redditi trahv: selge hoiatus
- aasta märtsis trahvis Ühendkuningriigi ICO Redditi 14,47 miljoni naelsterlingiga. Miks? Reddit ei suutnud hoida lapsi kahjuliku sisu eest eemal. Vanusekontrollid olid nõrgad. Alaealised pääsesid läbi.
See trahv oli UK GDPR-i, mitte COPPA alusel. Kuid rikkumine on sama laadi. COPPA 2026 on suunatud platvormidele, kes teavad, et alaealised on kohal, kuid ei kaitse neid.
EdTechi positsioon on raskem. Need platvormid teavad, kes nende kasutajad on. Nad müüvad koolidele. Nad turundavad vanematele. Nad näevad õpilaste e-posti aadresse. Kaitse "me ei teadnud" ei ole saadaval.
Mida COPPA 2026 muutis
FTC uuendus lisas EdTechi platvormidele viis põhireeglit.
1. Minimeerimine on nüüd nõutav
Koguge ainult seda, mida teenus tegelikult vajab. 2013. aasta reegel lubas platvormidel koguda palju vanemate nõusolekuga. 2026. aasta reegel keelab lisaandmete kogumise isegi nõusoleku korral. Seadme ID-d, jälgimissignaalid ja asukohateave, mida teenus ei vaja, tuleb kohe peatada.
2. Alaealistele suunatud reklaamid on keelatud
EdTechi platvormid ei saa kasutada laste andmeid käitumisreklaamide jaoks. Nõusolek ei muuda seda. Mõned platvormid kasutasid üldist nõusolekut laialdase andmekasutuse õigustamiseks. See lünk on nüüd suletud.
3. Eraldi nõusolek tehisintellekti funktsioonide jaoks
Iga tehisintellekti funktsioon, mis kasutab laste sisendit, vajab oma nõusolekuvormi. Tehisintellekti koduõpetajad, kirjutamistööriistad ja kohanduvad mootorid kõik loevad. Nõusolek põhiteenusele ei kata tehisintellekti lisandusi.
4. Kustutamisreeglid tõeliste hammastega
Kustutage laste andmed, kui neid enam ei vajata. Platvormid, mis käitavad automaatset kustutamist kindla ajakava alusel, seisavad FTC toimingutes väiksema vastutusega. See on tõeline turvaala — kasutage seda.
5. Kõrgem de-identifitseerimise standard
Nime eemaldamine ei ole piisav. Platvormid peavad näitama, et taasvastamine ei ole mõistlikult võimalik. Agregeeritud analüütika jaoks tähendab see k-anonüümisust või diferentsiaalset privaatsust.
FERPA ja COPPA: mõlemad kehtivad
K-12 platvormide puhul, mis töötavad koolidega, kehtib FERPA koos COPPA-ga. Siin on oluline:
- FERPA lubab koolidel jagada õpilaste andmeid müüjatega — kuid ainult lepinguliste teenuste jaoks
- COPPA kehtib endiselt alla 13-aastaste laste puhul, isegi kui FERPA lubab jagamist
- Kooli nõusolek FERPA alusel ei asenda COPPA vanema nõusolekut
FERPA-le vastamine ei ole COPPA-le vastamine. Mõlemad tuleb täita eraldi.
Mida teha enne 22. aprilli
Töötage läbi see kontrollnimekiri enne tähtaega.
Inventuur
- Loetlege kõik alla 13-aastastelt kasutajatelt kogutud andmed
- Leidke iga kolmanda osapoole tööriist, mis saab laste andmeid — analüütika, CRM, seire
- Kontrollige nõusolekut iga kogumistüübi jaoks
Anonuümimine
- Lisage isikuandmete tuvastamine õpilaste sisule enne selle logimist
- Eemaldage nimed, e-posti aadressid ja õpilaste ID-d analüütikasündmustest
- De-identifitseerige tootearenduses kasutatavad agregeeritud aruanded
- Puhastage tehisintellekti treeningandmestikud, mis sisaldavad õpilaste sisendit
Nõusolek
- Ehitage eraldi nõusolekuvood iga tehisintellekti funktsiooni jaoks
- Logige nõusolek koos ajatemplitega
- Lisage tagasivõtmisvoog, mis käivitab kohe kustutamise
Säilitamine
- Seadke säilitamisperiood iga andmetüübi jaoks
- Automatiseerige kustutamine perioodide lõppedes
- Kontrollige varundussüsteeme lünkade osas
Müüjad
- Vaadake üle kõik alltöötleja lepingud
- Kinnitage, et analüütikamüüjad ei kasuta laste andmeid reklaamide jaoks
- Uuendage lepinguid vastama 2026. aasta de-identifitseerimise standardile
Kuidas anonuümimine aitab
Uus de-identifitseerimise reegel on COPPA 2026 kõige tehnilisem osa. Ainult nimede eemaldamine ei vasta standardile. Vajate süsteemi, mis leiab ja eemaldab kõik isikuandmed kõigist andmevoogudest.
anonym.legal tuvastab 285+ olemitüüpi 48 keeles. Paljud EdTechi platvormid teenindavad õpilasi, kes räägivad palju keeli. Õpilaste isikuandmed esinevad hispaania, mandariini, araabia ja kümnetes teistes keeltes — mitte ainult inglise keeles. Lai keelekatvus ei ole siin vabatahtlik. See on vastavusvajadus.
Platform püüab ka äärmisjuhud, mida käsitsi ülevaade vahele jätab. Telefoninumbrid, õpilaste ID-mustrid ja kaudsed identifikaatorid on õpilaste sisus tavalised. Automaatne tuvastamine leiab need skaalal. Käsitsi ülevaatus seda ei tee.
Pakett-töötlusfunktsioon võimaldab meeskondadel käitada olemasolevaid andmebaase läbi tööriista. See katab vana õpilaste sisu, mis peab nüüd vastama kõrgemale standardile. Retroaktiivne de-identifitseerimine on 2026. aasta reegli alusel vastavuspildi osa.
Vaadake meie turvalisuse ja vastavuse ülevaadet tundlike andmete käsitlemise kohta. Õigusliku vastavuse leht katab nii FERPA-d kui ka COPPA-t üksikasjalikult.
Tegevusetuse hind
COPPA trahvid ulatuvad 51 744 dollarini rikkumise kohta päevas. Platvormi puhul, millel on 100 000 õpilaskontot, võib de-identifitseerimise süstemaatiline lünk tähendada kümneid miljoneid trahvi.
Redditi trahv oli 14,47 miljonit naelsterlingit. Redditi käive on miljardeid. Keskmise suurusega EdTechi platvormi puhul oleks sellise trahvi ulatus ettevõttele lõppev.
- aprill on lähedal. Töö on teostatav, kui see algab kohe. Regulaatorid on selgelt märku andnud, et nad jõustavad uut reeglit. Ootamine ei ole strateegia.
Alustage õpilaste andmete anonuumimist juba täna
Allikad
- FTC COPPA reegli uuendus, Federal Register, 2025 (jõustub 22. aprillil 2026)
- ICO Redditi täitmisteade, märts 2026 — 14,47 miljoni naelsterlingi trahv
- FERPA, 20 U.S.C. § 1232g, ja rakendavad määrused 34 CFR Part 99
- FTC COPPA KKK: tehisintellektipõhised funktsioonid ja vanema nõusolek, 2026