Fristen 22. april
Oppdatert for 2026
FTC oppdaterte COPPA. Den nye regelen trer i kraft 22. april 2026. Dette er den forste store endringen siden 2013. EdTech-plattformer som betjener barn under 13 ar ma handle na. Det er uker igjen, ikke maneder.
Endringene er dyptgripende. Plattformer bygget pa 2013-reglene ma revidere og oppdatere kjernersystemer. Sma fikser vil ikke vaere nok.
Reddits bot: En klar advarsel
I mars 2026 bot det britiske ICO Reddit £14,47 millioner. Hvorfor? Reddit klarte ikke a holde barn borte fra skadelig innhold. Alderskontroller var svake. Mindrearrige kom gjennom.
Den boten var under britisk GDPR, ikke COPPA. Men feilen er av samme type. COPPA 2026 retter seg mot plattformer som vet at mindrearrige er til stede, men ikke beskytter dem.
EdTech er i en vanskeligere situasjon. Disse plattformene vet hvem brukerne er. De selger til skoler. De markedsforer til foreldre. De ser student-e-postadresser. Forsvaret "vi visste det ikke" er ikke tilgjengelig.
Hva COPPA 2026 endret
FTC-oppdateringen la til fem nye regler for EdTech-plattformer.
1. Minimering er na pakrevd
Saml bare det tjenesten virkelig trenger. 2013-regelen lot plattformer samle mye med foreldresamtykke. 2026-regelen forbyr ekstrainnsamling selv med samtykke. Enhets-ID-er, sporingssignaler og stedsinformasjon som ikke er nodvendig for tjenesten ma stoppes na.
2. Ingen malrettede annonser til mindrearrige
EdTech-plattformer kan ikke bruke barns oppforinger til atferdsbasert reklame. Samtykke endrer ikke dette. Noen plattformer brukte blankt samtykke for a rettferdiggjore bred databruk. Det smutthullet er na lukket.
3. Separat samtykke for AI-funksjoner
Enhver AI-funksjon som bruker barns inndata trenger eget samtykkeskjema. AI-tutorer, skriveverktoy og adaptive motorer teller alle. Samtykke for hovedtjenesten dekker ikke AI-tillegg.
4. Sletteregler med ekte konsekvenser
Slett barns oppforinger nar de ikke lenger er nodvendige. Plattformer som kjorer automatisk sletting etter en fast tidsplan, star overfor lavere ansvar i FTC-tiltak. Dette er en reell trygg havn — bruk den.
5. Hoyre standarder for avidentifisering
A fjerne et navn er ikke nok. Plattformer ma vise at re-identifisering ikke er rimelig mulig. For aggregert analyse betyr dette k-anonymitet eller differensiell personvern.
FERPA og COPPA: Begge gjelder
For K-12-plattformer som arbeider med skoler, gjelder FERPA ved siden av COPPA. Her er hva som er viktig:
- FERPA lar skoler dele elevoppforinger med leverandorer — men bare for kontrakterte tjenester
- COPPA gjelder fortsatt for barn under 13, selv nar FERPA tillater delingen
- Skolers samtykke under FERPA erstatter ikke COPPAs foreldresamtykke
FERPA-samsvar er ikke COPPA-samsvar. Begge ma oppfylles separat.
Hva du skal gjore for 22. april
Ga gjennom denne sjekklisten for fristen.
Inventar
- List opp alle oppforinger samlet fra brukere under 13 ar
- Finn alle tredjeparts verktoy som mottar barns oppforinger — analyse, CRM, overvaking
- Sjekk samtykke for hver innsamlingstype
Anonymisering
- Legg til PII-deteksjon for elevinnhold for det logges
- Fjern navn, e-postadresser og student-ID-er fra analysehendelser
- Avidentifiser aggregerte rapporter brukt for produktarbeid
- Rens AI-treningssett som inneholder studentinndata
Samtykke
- Bygg separate samtykkeflytkontroller for hver AI-funksjon
- Logg samtykke med tidsstempler
- Legg til en tilbaketrekkingsflytkontroll som utloser umiddelbar sletting
Oppbevaring
- Sett en oppbevaringsperiode for hver oppforingstype
- Automatiser sletting nar periodene avsluttes
- Sjekk sikkerhetskopieringssystemer for gap
Leverandorer
- Gjennomga avtaler med alle underprosessorer
- Bekreft at analyseverknoy ikke bruker barns oppforinger til annonser
- Oppdater avtaler for a matche 2026-avidentifiseringsstandarden
Hvordan anonymisering hjelper
Den nye avidentifiseringsregelen er den mest tekniske delen av COPPA 2026. A fjerne navn alene oppfyller ikke standarden. Du trenger et system som finner og fjerner all PII pa tvers av alle datastrommer.
anonym.legal oppdager 285+ enhetstyper pa 48 sprak. Mange EdTech-plattformer betjener studenter som snakker mange sprak. Student-PII vises pa spansk, mandarin, arabisk og dusinvis av andre — ikke bare engelsk. Bred sprakdekning er ikke en hyggelig tilleggsfunksjon her. Det er et samsvars behov.
Plattformen fanger ogsa kanttilfeller som manuell gjennomgang overser. Telefonnumre, student-ID-monster og indirekte identifikatorer er vanlige i studentinnhold. Automatisert deteksjon finner disse i stor skala. Manuell gjennomgang gjor det ikke.
Bunkeprosesseringsfunksjonen lar team kjore eksisterende databaser gjennom verkteket. Det dekker gammelt studentinnhold som na ma oppfylle den hoyere standarden. Retroaktiv avidentifisering er en del av samsvarsbildet under 2026-regelen.
Se vart oversikt over sikkerhet og samsvar for hvordan vi handterer sensitive oppforinger. Juridisk samsvarsside dekker bade FERPA og COPPA i detalj.
Kostnaden for inaksjon
COPPA-bøter loper opp til $51 744 per brudd per dag. For en plattform med 100 000 studentkontoer kan et systemisk gap i avidentifisering bety titalls millioner i bøter.
Reddits bot var £14,47 millioner. Reddit har milliarder i inntekter. For en mellomstort EdTech-plattform ville en bot i den storrelseorden vaere selskapsdrepende.
- april nærmer seg. Arbeidet er gjennomforbart hvis det starter na. Regulatorer har gjort det klart at de vil handheve den nye regelen. A vente er ikke en strategi.
Begynn a anonymisere elevoppforinger i dag →
Kilder
- FTC COPPA-regeloppdatering, Federal Register, 2025 (gjelder fra 22. april 2026)
- ICO Reddit handhevingsvarsel, mars 2026 — £14,47 millioner i bot
- FERPA, 20 U.S.C. § 1232g, og gjennomforingsbestemmelser 34 CFR del 99
- FTC COPPA FAQ: AI-drevne funksjoner og foreldresamtykke, 2026