4月22日の期限
2026年版に更新
FTCがCOPPAを改正しました。新しいルールは2026年4月22日に発効します。2013年以来最初の大きな変更です。13歳未満の子どもにサービスを提供するEdTechプラットフォームは今すぐ行動する必要があります。残り時間は数ヶ月ではなく、数週間です。
変化は根本的なものです。2013年のルールを基盤としたプラットフォームは、コアシステムを監査・更新する必要があります。小さな修正では不十分です。
Redditの罰金：明確な警告
2026年3月、英国のICOはRedditに1,447万ポンドの罰金を科しました。なぜでしょうか？Redditは子どもたちを有害なコンテンツから守れませんでした。年齢確認が不十分だったのです。未成年者が通り抜けてしまいました。
その罰金は英国GDPRに基づくものであり、COPPAではありません。しかし、失敗の種類は同じです。COPPA 2026は、未成年者が存在することを知りながら保護しないプラットフォームを標的にしています。
EdTechは、より難しい立場にあります。これらのプラットフォームはユーザーが誰であるかを知っています。学校に販売します。保護者にマーケティングします。生徒のメールアドレスを見ています。「知らなかった」という弁明は使えません。
COPPA 2026が変更した内容
FTCの更新はEdTechプラットフォームに5つの重要なルールを追加しました。
1. データ最小化が義務化
サービスが本当に必要とするものだけを収集してください。2013年のルールでは、保護者の同意があれば広範な収集が認められていました。2026年のルールでは、同意があっても余分な収集を禁止しています。サービスに不要なデバイスID、追跡シグナル、位置情報は今すぐ停止しなければなりません。
2. 未成年者への行動ターゲティング広告の禁止
EdTechプラットフォームは子どものデータを行動広告に使用することができません。同意があってもこれは変わりません。一部のプラットフォームは包括的な同意を使って広範なデータ使用を正当化していました。この抜け穴は今や閉じられています。
3. AI機能への別途同意
子どもの入力を使用するAI機能にはそれぞれ独自の同意フォームが必要です。AIチューター、ライティングツール、アダプティブエンジンはすべて対象です。メインサービスへの同意はAIアドオンをカバーしません。
4. 実効性のある削除ルール
子どものデータが不要になったら削除してください。定期的なスケジュールで自動削除を実施するプラットフォームはFTCの措置での責任が軽減されます。これは本物のセーフハーバーです——活用しましょう。
5. 匿名化の基準引き上げ
名前を削除するだけでは不十分です。プラットフォームは再識別が合理的に不可能であることを示す必要があります。集計分析にはk-匿名化または差分プライバシーが必要です。
FERPAとCOPPA：両方が適用される
学校と連携するK-12プラットフォームには、COPPAと並んでFERPAが適用されます。重要なポイントは以下の通りです：
- FERPAは学校がベンダーと生徒のデータを共有することを認めています——ただし契約されたサービスのみ
- FERPAが共有を許可する場合でも、13歳未満の子どもにはCOPPAが適用されます
- FERPAに基づく学校の同意はCOPPAの保護者の同意に代わるものではありません
FERPAへの準拠はCOPPAへの準拠ではありません。両方を別々に満たす必要があります。
4月22日までにすべきこと
期限前にこのチェックリストを確認してください。
棚卸し
- 13歳未満のユーザーから収集されたすべてのデータをリストアップする
- 子どものデータを受け取るすべてのサードパーティツールを探す——分析、CRM、監視
- 各収集タイプの同意を確認する
匿名化
- 記録される前に生徒のコンテンツにPII検出を追加する
- 分析イベントから名前、メールアドレス、生徒IDを削除する
- 製品作業に使用される集計レポートを非識別化する
- 生徒の入力を含むAIトレーニングセットをクリーニングする
同意
- 各AI機能に別々の同意フローを作成する
- タイムスタンプ付きで同意を記録する
- すぐに削除をトリガーする撤回フローを追加する
保持
- 各データタイプの保持期間を設定する
- 期間終了時に自動削除する
- バックアップシステムのギャップを確認する
ベンダー
- すべてのサブプロセッサとの処理契約を確認する
- 分析ベンダーが子どものデータを広告に使用しないことを確認する
- 2026年の非識別化基準に合わせて契約を更新する
匿名化がどのように役立つか
新しい非識別化ルールはCOPPA 2026の中で最も技術的な部分です。名前だけを削除しても基準を満たしません。すべてのデータフローでPIIを見つけて削除するシステムが必要です。
anonym.legalは48の言語で285以上のエンティティタイプを検出します。多くのEdTechプラットフォームは多くの言語を話す生徒にサービスを提供しています。生徒のPIIはスペイン語、中国語、アラビア語、その他何十もの言語で現れます——英語だけではありません。広い言語カバレッジはここではオプションではありません。コンプライアンスの必要条件です。
プラットフォームは手動レビューが見逃すエッジケースも検出します。電話番号、生徒IDのパターン、間接識別子は生徒のコンテンツでよく見られます。自動検出はこれらを大規模に見つけます。手動レビューではそうはいきません。
バッチ処理機能により、チームは既存のデータベースをツールで処理できます。これは2026年のルールの下でより高い基準を満たす必要がある古い生徒コンテンツをカバーします。遡及的な非識別化はコンプライアンス全体の一部です。
セキュリティとコンプライアンスの概要で、機密データの取り扱い方法をご確認ください。法的コンプライアンスページではFERPAとCOPPAの両方を詳しくカバーしています。
何もしないコスト
COPPA違反は1日1件の違反につき最大51,744ドルの罰則を伴います。10万人の生徒アカウントを持つプラットフォームでは、非識別化の組織的な欠陥が数千万ドルの罰金につながる可能性があります。
Redditの罰金は1,447万ポンドでした。Redditは数十億ドルの収益を持っています。中規模のEdTechプラットフォームにとって、同様の規模の罰金は会社の存続を脅かすものになります。
4月22日は近づいています。今始めれば作業は達成可能です。規制当局は新しいルールを執行することを明確にしています。待つことは戦略にはなりません。
出典
- FTC COPPA規則更新、連邦官報、2025年（2026年4月22日発効）
- ICOのRedditに対する執行通知、2026年3月——1,447万ポンドの罰金
- FERPA、20 U.S.C. § 1232g、および実施規則34 CFR第99部
- FTC COPPA FAQ：AIを活用した機能と保護者の同意、2026年