La scadenza del 22 aprile
Aggiornato per il 2026
L'FTC ha aggiornato la COPPA. La nuova regola entra in vigore il 22 aprile 2026. È il primo cambiamento importante dal 2013. Le piattaforme EdTech che servono bambini sotto i 13 anni devono agire ora. Rimangono settimane, non mesi.
I cambiamenti sono profondi. Le piattaforme costruite sulle regole del 2013 devono verificare e aggiornare i sistemi principali. Le piccole correzioni non saranno sufficienti.
La multa a Reddit: un avvertimento chiaro
A marzo 2026, l'ICO britannico ha multato Reddit per £14,47 milioni. Perché? Reddit non ha protetto i minori da contenuti dannosi. I controlli sull'età erano insufficienti. I minori sono riusciti ad accedere.
Quella multa era ai sensi del GDPR britannico, non della COPPA. Ma il tipo di fallimento è lo stesso. La COPPA 2026 prende di mira le piattaforme che sanno che ci sono minori presenti ma non li proteggono.
L'EdTech si trova in una posizione più difficile. Queste piattaforme sanno chi sono i loro utenti. Vendono alle scuole. Si rivolgono ai genitori. Vedono gli indirizzi email degli studenti. La difesa "non lo sapevamo" non è disponibile.
Cosa ha cambiato la COPPA 2026
L'aggiornamento FTC ha aggiunto cinque regole chiave per le piattaforme EdTech.
1. La minimizzazione è ora obbligatoria
Raccogliere solo ciò di cui il servizio ha realmente bisogno. La regola del 2013 consentiva alle piattaforme di raccogliere molti dati con il consenso dei genitori. La regola del 2026 vieta la raccolta aggiuntiva anche con il consenso. Gli identificatori di dispositivo, i segnali di tracciamento e le informazioni sulla posizione non necessarie per il servizio devono cessare immediatamente.
2. Nessuna pubblicità mirata ai minori
Le piattaforme EdTech non possono utilizzare i dati dei bambini per annunci comportamentali. Il consenso non cambia questo. Alcune piattaforme usavano il consenso generico per giustificare un uso ampio dei dati. Quella scappatoia è ora chiusa.
3. Consenso separato per le funzionalità IA
Qualsiasi funzionalità IA che utilizza l'input dei bambini necessita di un modulo di consenso separato. I tutor IA, gli strumenti di scrittura e i motori adattativi rientrano tutti in questa categoria. Il consenso per il servizio principale non copre i componenti aggiuntivi IA.
4. Regole di cancellazione con vera efficacia
Cancellare i dati dei bambini quando non sono più necessari. Le piattaforme che eseguono la cancellazione automatizzata secondo un programma stabilito affrontano una responsabilità inferiore nelle azioni FTC. Questa è una vera protezione legale — utilizzarla.
5. Standard di de-identificazione più elevato
Rimuovere un nome non è sufficiente. Le piattaforme devono dimostrare che la re-identificazione non è ragionevolmente possibile. Per l'analisi aggregata, questo significa k-anonimato o privacy differenziale.
FERPA e COPPA: si applicano entrambe
Per le piattaforme K-12 che lavorano con le scuole, la FERPA si affianca alla COPPA. Ecco i punti importanti:
- La FERPA consente alle scuole di condividere i dati degli studenti con i fornitori — ma solo per i servizi contrattualizzati
- La COPPA si applica comunque ai bambini sotto i 13 anni, anche quando la FERPA consente la condivisione
- Il consenso scolastico ai sensi della FERPA non sostituisce il consenso genitoriale ai sensi della COPPA
La conformità alla FERPA non è conformità alla COPPA. Entrambe devono essere rispettate separatamente.
Cosa fare prima del 22 aprile
Elaborare questa lista di controllo prima della scadenza.
Inventario
- Elencare tutti i dati raccolti dagli utenti sotto i 13 anni
- Trovare ogni strumento di terze parti che riceve dati dei minori — analisi, CRM, monitoraggio
- Verificare il consenso per ogni tipo di raccolta
Anonimizzazione
- Aggiungere il rilevamento PII ai contenuti degli studenti prima che vengano registrati nei log
- Rimuovere nomi, indirizzi email e ID studente dagli eventi di analisi
- De-identificare i report aggregati usati per il lavoro sui prodotti
- Pulire i set di addestramento IA che includono input degli studenti
Consenso
- Costruire flussi di consenso separati per ogni funzionalità IA
- Registrare il consenso con timestamp
- Aggiungere un flusso di revoca che attivi immediatamente la cancellazione
Conservazione
- Stabilire un periodo di conservazione per ogni tipo di dato
- Automatizzare la cancellazione alla scadenza dei periodi
- Verificare i sistemi di backup per eventuali lacune
Fornitori
- Rivedere i contratti con tutti i sub-responsabili del trattamento
- Confermare che i fornitori di analisi non utilizzino i dati dei minori per la pubblicità
- Aggiornare i contratti per rispettare lo standard di de-identificazione del 2026
Come aiuta l'anonimizzazione
La nuova regola di de-identificazione è la parte più tecnica della COPPA 2026. Rimuovere solo i nomi non soddisfa lo standard. È necessario un sistema che individui e rimuova tutti i dati personali in ogni flusso di dati.
anonym.legal rileva 285+ tipi di entità in 48 lingue. Molte piattaforme EdTech servono studenti che parlano molte lingue. I dati personali degli studenti appaiono in spagnolo, mandarino, arabo e dozzine di altre lingue — non solo in inglese. La copertura linguistica estesa non è un optional. È una necessità di conformità.
La piattaforma individua anche i casi limite che la revisione manuale non coglie. Numeri di telefono, schemi di ID studente e identificatori indiretti sono comuni nei contenuti degli studenti. Il rilevamento automatizzato li trova su larga scala. La revisione manuale non lo fa.
La funzione di elaborazione batch consente ai team di passare i database esistenti attraverso lo strumento. Questo copre i vecchi contenuti degli studenti che ora devono soddisfare lo standard più elevato. La de-identificazione retroattiva fa parte del quadro di conformità ai sensi della regola del 2026.
Consulta la nostra panoramica sulla sicurezza e conformità per come gestiamo i dati sensibili. La pagina sulla conformità legale copre sia la FERPA che la COPPA in dettaglio.
Il costo dell'inazione
Le sanzioni COPPA arrivano fino a $51.744 per violazione al giorno. Per una piattaforma con 100.000 account studenti, una lacuna sistematica nella de-identificazione potrebbe significare decine di milioni in sanzioni.
La multa a Reddit è stata di £14,47 milioni. Reddit ha miliardi di fatturato. Per una piattaforma EdTech di medie dimensioni, una sanzione di quella portata potrebbe essere devastante.
Il 22 aprile è vicino. Il lavoro è fattibile se si inizia ora. I regolatori hanno chiarito che faranno rispettare la nuova regola. Aspettare non è una strategia.
Inizia ad anonimizzare i dati degli studenti oggi →
Fonti
- Aggiornamento regola COPPA FTC, Federal Register, 2025 (efficace dal 22 aprile 2026)
- Avviso di enforcement ICO su Reddit, marzo 2026 — sanzione di £14,47 milioni
- FERPA, 20 U.S.C. § 1232g, e regolamenti attuativi 34 CFR Part 99
- FAQ FTC COPPA: funzionalità basate su IA e consenso genitoriale, 2026