22 अप्रैल की Deadline
2026 के लिए अपडेट किया गया
FTC ने COPPA को अपडेट किया है। नया नियम 22 अप्रैल 2026 से लागू होता है। 2013 के बाद यह पहला बड़ा बदलाव है। 13 साल से कम उम्र के बच्चों की सेवा करने वाले EdTech platforms को अभी काम करना होगा। सप्ताह बचे हैं, महीने नहीं।
बदलाव गहरे हैं। 2013 के नियमों पर बने platforms को core systems की audit और update करनी होगी। छोटे fixes पर्याप्त नहीं होंगे।
Reddit का जुर्माना: एक स्पष्ट चेतावनी
मार्च 2026 में, UK के ICO ने Reddit पर £14.47 million का जुर्माना लगाया। क्यों? Reddit बच्चों को हानिकारक सामग्री से दूर रखने में विफल रहा। Age checks कमज़ोर थे। Minors अंदर आ गए।
वह जुर्माना UK GDPR के तहत था, COPPA के नहीं। लेकिन विफलता एक ही प्रकार की है। COPPA 2026 उन platforms को target करता है जो जानते हैं कि minors मौजूद हैं लेकिन उनकी सुरक्षा नहीं करते।
EdTech एक कठिन स्थिति में है। ये platforms जानते हैं कि उनके users कौन हैं। वे schools को बेचते हैं। वे parents को market करते हैं। वे student email addresses देखते हैं। "हमें नहीं पता था" की defense यहाँ काम नहीं करती।
COPPA 2026 में क्या बदला
FTC update ने EdTech platforms के लिए पाँच प्रमुख नियम जोड़े।
1. Minimization अब अनिवार्य है
केवल वही collect करें जो service को वास्तव में चाहिए। 2013 के नियम ने parental consent के साथ बहुत कुछ collect करने की अनुमति दी। 2026 का नियम consent के साथ भी अतिरिक्त collection पर प्रतिबंध लगाता है। Service के लिए आवश्यक नहीं Device IDs, tracking signals, और location info अभी रोकनी होगी।
2. Minors के लिए Targeted Ads नहीं
EdTech platforms बच्चों के records का उपयोग behavioral ads के लिए नहीं कर सकतीं। Consent से यह नहीं बदलता। कुछ platforms ने व्यापक data use को उचित ठहराने के लिए blanket consent का उपयोग किया। वह loophole अब बंद है।
3. AI Features के लिए अलग Consent
किसी भी AI feature जो बच्चों के input का उपयोग करता है, उसे अपना consent form चाहिए। AI tutors, writing tools, और adaptive engines सभी count हैं। Main service के लिए consent AI add-ons को cover नहीं करता।
4. Deletion नियमों में दम
बच्चों के records delete करें जब वे आवश्यक नहीं रहे। निर्धारित schedule पर automated deletion चलाने वाले platforms को FTC actions में कम दायित्व का सामना करना पड़ता है। यह एक real safe harbor है — इसका उपयोग करें।
5. De-identification की ऊँची सीमा
नाम हटाना पर्याप्त नहीं है। Platforms को दिखाना होगा कि re-identification उचित रूप से संभव नहीं है। Aggregate analytics के लिए, इसका मतलब k-anonymity या differential privacy है।
FERPA और COPPA: दोनों लागू होते हैं
Schools के साथ काम करने वाले K-12 platforms के लिए, FERPA COPPA के साथ-साथ चलता है। जो मायने रखता है:
- FERPA schools को vendors के साथ student records share करने देता है — लेकिन केवल contracted services के लिए
- COPPA 13 साल से कम उम्र के बच्चों पर लागू होता है, तब भी जब FERPA sharing की अनुमति देता है
- FERPA के तहत school consent COPPA parental consent की जगह नहीं लेता
FERPA compliance COPPA compliance नहीं है। दोनों को अलग-अलग पूरा करना होगा।
22 अप्रैल से पहले क्या करें
Deadline से पहले इस checklist को पूरा करें।
Inventory
- 13 साल से कम उम्र के users से collect किए गए सभी records की list बनाएँ
- बच्चों के records receive करने वाले हर third-party tool को खोजें — analytics, CRM, monitoring
- प्रत्येक collection प्रकार के लिए consent जाँचें
Anonymization
- Log होने से पहले student content में PII detection जोड़ें
- Analytics events से नाम, email addresses, और student IDs हटाएँ
- Product work के लिए उपयोग की गई aggregate reports को de-identify करें
- Student input शामिल AI training sets को clean करें
Consent
- प्रत्येक AI feature के लिए अलग consent flows बनाएँ
- Timestamps के साथ consent log करें
- Withdrawal flow जोड़ें जो तुरंत deletion trigger करे
Retention
- प्रत्येक record प्रकार के लिए retention period निर्धारित करें
- Period समाप्त होने पर automated deletion करें
- Backup systems में gaps जाँचें
Vendors
- सभी sub-processors के साथ agreements review करें
- Confirm करें कि analytics vendors बच्चों के records का उपयोग ads के लिए नहीं करते
- 2026 de-identification standard से agreements update करें
Anonymization कैसे मदद करती है
COPPA 2026 का new de-identification नियम सबसे technical हिस्सा है। केवल नाम हटाना standard पूरा नहीं करता। आपको एक ऐसा system चाहिए जो हर data flow में सभी PII खोजे और हटाए।
anonym.legal 48 भाषाओं में 285+ entity प्रकार detect करता है। कई EdTech platforms ऐसे students की सेवा करते हैं जो कई भाषाएँ बोलते हैं। Student PII Spanish, Mandarin, Arabic, और दर्जनों अन्य भाषाओं में आता है — केवल English में नहीं। यहाँ व्यापक language coverage nice-to-have नहीं है। यह अनुपालन की जरूरत है।
Platform उन edge cases भी पकड़ता है जो manual review छोड़ देती है। Phone numbers, student ID patterns, और indirect identifiers student content में सामान्य हैं। Automated detection इन्हें scale पर खोजता है। Manual review नहीं करती।
Batch processing feature टीमों को existing databases को tool से run करने देता है। यह पुराने student content को cover करता है जिसे अब ऊँचे standard को पूरा करना होगा। 2026 के नियम के तहत retroactive de-identification अनुपालन की तस्वीर का हिस्सा है।
हम संवेदनशील records कैसे handle करते हैं, यह देखने के लिए हमारा security and compliance overview देखें। legal compliance page FERPA और COPPA दोनों को विस्तार से cover करता है।
Inaction की कीमत
COPPA fines प्रति उल्लंघन प्रति दिन $51,744 तक जाते हैं। 100,000 student accounts वाले platform के लिए, de-identification में एक systematic gap का मतलब करोड़ों में जुर्माना हो सकता है।
Reddit का जुर्माना £14.47 million था। Reddit के पास अरबों का revenue है। एक मध्यम आकार के EdTech platform के लिए, उस scale का जुर्माना company को खत्म कर देगा।
22 अप्रैल करीब है। काम अभी शुरू करने पर संभव है। Regulators ने स्पष्ट कर दिया है कि वे नए नियम को enforce करेंगे। प्रतीक्षा कोई strategy नहीं है।
Student records अभी anonymize करना शुरू करें →
स्रोत
- FTC COPPA Rule Update, Federal Register, 2025 (22 अप्रैल 2026 से प्रभावी)
- ICO Reddit enforcement notice, मार्च 2026 — £14.47M penalty
- FERPA, 20 U.S.C. § 1232g, और implementing regulations 34 CFR Part 99
- FTC COPPA FAQ: AI-powered features और parental consent, 2026